Une application accessible uniquement depuis l’Europe peut sembler relever d’un périmètre territorial clairement fermé. Pourtant, une restriction géographique visible dans l’interface ne suffit pas à déterminer si le RGPD s’applique aux traitements de données.
Le règlement examine notamment l’existence d’un établissement dans l’Union et le ciblage de personnes qui s’y trouvent. Ces critères permettent de distinguer une simple limitation territoriale d’une véritable délimitation territoriale au regard du droit européen.
A retenir :
- Un accès limité par pays ne décide pas, seul, de l’application du RGPD
- L’établissement européen peut couvrir des traitements réalisés hors de l’Union
- L’offre ciblée et le suivi comportemental déclenchent un examen spécifique
- La géolocalisation complète l’analyse sans remplacer les critères juridiques
Application limitée à l’Europe : les critères du RGPD
Cette délimitation commence par l’article 3 du RGPD, qui fixe le champ d’application territorial selon plusieurs situations. Une entreprise doit donc examiner ses établissements, ses activités et les personnes visées, plutôt que le seul emplacement de ses serveurs.
L’établissement européen peut couvrir des traitements hors de l’Union
Selon le Comité européen de la protection des données (CEPD), l’article 3, paragraphe 1, vise le traitement effectué dans le cadre des activités d’un établissement situé dans l’Union. Le traitement peut alors avoir lieu ailleurs, y compris chez un prestataire établi hors du territoire européen.
La notion d’établissement s’interprète largement : une présence stable et une activité réelle peuvent compter, sans exiger une succursale portant une enseigne locale. En revanche, selon le CEPD, la présence isolée d’un salarié dans l’Union ne suffit pas automatiquement ; le traitement doit aussi s’inscrire dans le cadre de ses activités.
Une société française qui pilote depuis Paris un service client dont les données sont hébergées au Canada doit donc analyser le lien entre ce traitement et son établissement. À l’inverse, une activité commerciale européenne très éloignée du traitement concerné ne conduit pas nécessairement au même résultat.
Les deux situations qui orientent l’analyse de l’établissement sont les suivantes :
- Traitement associé aux activités d’un établissement dans l’Union
- Traitement effectué à l’étranger sans que ce lieu écarte le RGPD
- Présence d’un salarié européen examinée avec son rôle réel
| Situation | Élément à examiner | Conséquence possible |
|---|---|---|
| Responsable établi dans l’Union | Lien entre traitement et activités locales | Article 3, paragraphe 1, potentiellement applicable |
| Hébergement hors Union | Établissement qui détermine le traitement | Le lieu du serveur ne suffit pas à écarter le RGPD |
| Salarié présent dans l’Union | Rôle concret dans le traitement concerné | Présence seule insuffisante selon le CEPD |
| Activité commerciale locale éloignée | Lien réel avec le traitement de données | Application à apprécier au cas par cas |
Le ciblage concerne les personnes présentes dans l’Union
Pour une organisation sans établissement européen, l’article 3, paragraphe 2, s’applique notamment lorsqu’elle offre des biens ou services à des personnes qui se trouvent dans l’Union. Il couvre aussi le suivi de leur comportement lorsqu’il se déroule dans cet espace, que les services soient payants ou gratuits.
Selon le CEPD, l’analyse porte sur l’activité concernée, non automatiquement sur toutes les opérations de l’entreprise. La citoyenneté n’est pas décisive : un visiteur étranger présent à Paris peut être concerné par un traitement relevant de ce critère pendant son séjour.
Pour apprécier une offre, une entreprise comme « Atlas », fictive et basée hors UE, doit regarder si elle vise réellement des clients européens. Une version française du site, des prix en euros ou une livraison organisée vers des pays de l’Union peuvent éclairer l’analyse ; la simple accessibilité du site ne tranche pas, à elle seule, la question.
Les indices utiles pour examiner une offre ou un suivi sont les suivants :
- Contenu et modalités orientés vers des personnes dans l’Union
- Livraison ou service proposé dans des pays européens
- Suivi d’un comportement observé dans une zone géographique de l’Union
Restriction géographique : ce qu’elle change réellement
Une fois les critères juridiques établis, la restriction géographique devient un outil opérationnel, et non une frontière juridique automatique. Elle peut réduire l’accès à une application, mais elle ne redessine pas à elle seule la portée régionale du RGPD.
Le géoblocage limite l’accès, pas nécessairement les obligations
Une entreprise peut bloquer des connexions provenant de certains pays grâce à l’adresse IP, aux paramètres de compte ou à des contrôles de livraison. Cette limitation territoriale peut réduire l’exposition commerciale, mais elle ne neutralise pas un établissement européen ni un traitement déjà couvert par l’article 3.
Selon le CEPD, il faut également distinguer le responsable du traitement et son sous-traitant. Un prestataire européen doit respecter ses propres obligations, même si son client se trouve hors de l’Union ; inversement, la présence d’un sous-traitant dans l’Union ne soumet pas automatiquement son client au RGPD, sauf autres éléments pertinents.
Cette distinction est importante pour Atlas, si l’entreprise confie à un sous-traitant européen le traitement de données liées à des utilisateurs situés hors de l’Union. Le contrat prévu par l’article 28 encadre la relation, mais les responsabilités de chaque partie doivent être déterminées séparément.
| Mesure ou relation | Effet pratique | Point de vigilance |
|---|---|---|
| Blocage d’adresses IP | Restriction technique de certains accès | Ne supprime pas un établissement européen |
| Service orienté vers l’Union | Indice de ciblage possible | Examiner l’ensemble des modalités de l’offre |
| Sous-traitant établi dans l’Union | Obligations propres du prestataire | Ne rend pas toujours le client hors UE assujetti |
| Transfert de données hors UE | Analyse distincte au regard du RGPD | Vérifier séparément les règles du chapitre V |
Représentant et transferts : deux analyses complémentaires
Lorsqu’une organisation hors Union relève de l’article 3, paragraphe 2, elle doit généralement désigner un représentant dans l’Union, sous réserve des exceptions prévues par l’article 27. Ce représentant facilite les échanges avec les autorités et les personnes concernées ; il ne devient pas, de ce seul fait, responsable des manquements de l’organisation représentée.
Le CEPD distingue cette fonction des obligations directes du représentant, notamment celles liées à la tenue de certaines informations et à la coopération avec les autorités. Une entreprise ne devrait donc pas confondre désignation d’un représentant et transfert de responsabilité juridique.
La question des transferts internationaux demande un examen séparé : l’application du RGPD à une organisation hors UE ne règle pas automatiquement les garanties requises pour chaque flux. Selon le CEPD, les règles relatives aux transferts doivent être prises en compte dans les relations avec les prestataires et les sous-traitants ultérieurs.
Pour vérifier concrètement la conformité d’une application, une équipe peut suivre cette séquence :
- Cartographier les établissements et leurs rôles dans les traitements
- Repérer les offres et suivis liés à des personnes dans l’Union
- Distinguer responsable, sous-traitant et représentant désigné
- Évaluer les transferts internationaux indépendamment du géoblocage
Source : Comité européen de la protection des données, « Lignes directrices 3/2018 relatives au champ d’application territorial du RGPD », version finale ; Règlement (UE) 2016/679, article 3 et article 27.
