Article 3 RGPD : où le règlement s’applique-t-il ?

L’Art. 3 du RGPD ne rattache pas son application au seul emplacement des serveurs. Il prévoit un critère d’établissement dans l’Union, un critère lié à l’offre ou au suivi de personnes dans l’Union, et une hypothèse relevant du droit international public.

Analyse vérifiée le 28 septembre 2026. Le texte de l’Art. 3 doit être appliqué à l’acteur et au traitement concernés, après vérification du champ matériel de l’Art. 2.

Art. 3(1) : le traitement lié à un établissement dans l’Union

Le règlement s’applique au traitement effectué dans le cadre des activités d’un établissement d’un responsable du traitement ou d’un sous-traitant dans l’Union, que le traitement ait lieu ou non dans l’Union.

Le considérant 22 vise l’exercice effectif et réel d’une activité au moyen d’un dispositif stable. La forme juridique n’est pas déterminante. Il faut ensuite établir le lien entre l’activité de cet établissement et le traitement étudié.

Ainsi, externaliser une opération hors de l’Union ne fait pas disparaître le rattachement d’un traitement réalisé dans le cadre des activités d’un établissement français. Inversement, la seule présence d’une filiale ne dispense pas de déterminer les acteurs et les opérations auxquels le critère s’applique.

Art. 3(2)(a) : offrir des biens ou services aux personnes dans l’Union

Pour un responsable ou sous-traitant non établi dans l’Union, l’Art. 3(2)(a) vise les traitements liés à l’offre de biens ou services aux personnes qui s’y trouvent. Le paiement n’est pas nécessaire.

Le considérant 23 précise que la simple accessibilité d’un site ne suffit pas à établir l’intention d’offrir ces biens ou services. Examinez un ensemble d’indices : possibilité de commander pour les marchés concernés, communication ciblée, langues, devises ou présentation de clients dans l’Union.

La nationalité ne constitue pas le critère de l’Art. 3(2). La présence de la personne dans l’Union et le lien avec l’activité visée doivent être examinés. L’ouverture d’un nouveau marché mérite donc une nouvelle qualification ; la fiche extension d’un service à un pays aide à préparer cette revue.

Art. 3(2)(b) : suivre un comportement dans l’Union

Ce critère concerne les traitements liés au suivi du comportement des personnes dans la mesure où ce comportement a lieu dans l’Union. Le considérant 24 vise notamment le suivi sur internet et l’utilisation de techniques de profilage pour analyser ou prédire préférences, comportements et attitudes.

Décrivez les observations, leur continuité, les rapprochements et l’usage des résultats. La seule présence d’un composant technique ne remplace pas cette analyse. Un dispositif qui reconstitue un parcours pour adapter la publicité doit être examiné selon ses opérations réelles et les rôles des intervenants.

Le sous-traitant doit être qualifié séparément

Les lignes directrices 3/2018 du CEPD, version finale du 12 novembre 2019, distinguent les acteurs. Le recours à un sous-traitant européen ne constitue pas, à lui seul, un établissement du responsable étranger. Le recours à un prestataire hors Union ne le soumet pas automatiquement à tout le RGPD parce que son client y est établi. Il faut examiner son propre rattachement ; pour l’Art. 3(2), le lien de ses opérations avec l’activité de ciblage compte.

Le responsable soumis au RGPD doit néanmoins encadrer la prestation conformément à l’Art. 28. Les obligations contractuelles et l’application directe du règlement ne doivent pas être confondues.

Art. 3(3), représentant et transferts

L’Art. 3(3) vise un responsable non établi dans l’Union, dans un lieu où le droit d’un État membre s’applique en vertu du droit international public. Le considérant 25 donne l’exemple d’une représentation diplomatique ou consulaire.

Lorsqu’un acteur relève de l’Art. 3(2), examinez l’obligation de représentant dans l’Union, avec les exceptions de l’Art. 27(2). Le représentant et le DPO répondent à des fonctions différentes ; l’un ne remplace pas automatiquement l’autre.

Enfin, l’assujettissement au RGPD ne règle pas à lui seul la licéité d’un transfert international. Les garanties de l’Art. 46 et les autres mécanismes du chapitre V doivent être examinés lorsqu’ils sont pertinents.

Une grille de décision par traitement

Datez la qualification. Une nouvelle activité ou intégration peut modifier l’analyse, sans que toute l’organisation change de régime de manière uniforme.

Préparer une décision d’ouverture du marché français

Considérons un projet fictif : la société Sauge, établie au Canada, vend des fournitures de dessin. Son site est déjà disponible en français pour sa clientèle locale. Elle prépare une offre destinée aux personnes en France, avec livraison à une adresse française et un parcours de commande dédié. Aucun établissement dans l’Union n’existe dans les faits retenus pour cette première analyse.

La qualification doit porter sur les traitements liés à cette offre : création du compte, prise de commande, organisation de la livraison et gestion des demandes correspondantes. Le projet ne se résume pas à une traduction du site. La possibilité de commander pour une livraison en France et la présentation explicite de ce marché montrent ici que l’offre concerne des personnes dans l’Union.

Une note qui distingue les faits et leurs conséquences

Cette note permet de répondre à une objection fréquente : « nous n’avons pas de bureau européen ». L’absence d’établissement conduit à examiner l’article 3(2) ; elle ne met pas fin au raisonnement. Inversement, il faut éviter de transformer le dossier commercial en conclusion universelle sur tous les fichiers de Sauge.

Conservez les conditions de vente correspondant au projet, les paramètres de livraison et la description du parcours étudié. Ces pièces expliquent l’activité examinée. Il n’est pas nécessaire de collecter les passeports de tous les visiteurs pour déterminer si l’entreprise a conçu une offre visant des personnes dans l’Union.

Examiner ce que change un intermédiaire européen

Sauge envisage ensuite un prestataire de stockage établi en France. Son intervention doit être décrite : conserve-t-il les données sur instructions, les exploite-t-il pour un objectif propre, ou participe-t-il à d’autres décisions ? Le nom commercial de l’offre informatique ne répond pas à ces questions.

Si le fournisseur agit comme sous-traitant, son établissement français et le contexte de ses opérations doivent être examinés pour lui. Il ne devient pas pour autant le bureau commercial de Sauge. Dans le scénario, l’offre française peut déjà rattacher les traitements du responsable à l’article 3(2)(a) ; il n’est donc pas nécessaire de fabriquer un établissement à partir du contrat d’hébergement.

Une implantation commerciale propre soulèverait une autre question. Si Sauge crée une présence stable dans l’Union, il faudrait décrire l’activité effectivement exercée et son lien avec les traitements. Le contrat d’une filiale, une adresse postale ou une présentation du groupe ne remplacent pas cette analyse concrète. La conclusion antérieure doit être revue à partir des nouveaux faits.

Le dossier d’achat peut séparer trois réponses : application directe du règlement à chaque acteur, obligations prévues dans le contrat de sous-traitance, règles concernant les transferts. Une réponse favorable sur la première ne rend pas les deux autres inutiles.

Étudier le suivi comportemental comme une opération propre

Dans le même projet, une équipe peut vouloir enregistrer les produits consultés pour établir des préférences individuelles et personnaliser les offres. Décrivez alors les identifiants, les observations, les rapprochements entre visites et l’usage du profil. Pour l’article 3(2)(b), il faut examiner le comportement suivi dans l’Union et la présence des personnes concernées dans l’Union.

Cette qualification ne doit pas être remplacée par une phrase telle que « le site contient des statistiques ». Un simple total de commandes et un parcours individuel conservé pour prédire les centres d’intérêt ne décrivent pas la même opération. Il faut d’abord établir les faits et vérifier si des données personnelles sont traitées.

Dans le dossier Sauge, le rattachement lié à l’offre ne dispense pas d’étudier la finalité de personnalisation, sa base légale et les règles applicables aux traceurs. L’article 3 répond à la question du champ territorial. Il ne donne pas, par lui-même, l’autorisation de suivre les visiteurs.

Transformer la qualification en décisions de lancement

La conclusion utile désigne les opérations, le paragraphe applicable et les hypothèses retenues. Pour Sauge : traitements liés à l’offre française relevant de l’article 3(2)(a), absence d’établissement supposée et à recontrôler si le projet évolue, personnalisation à instruire séparément avant son activation.

Elle ouvre ensuite un travail opérationnel : préciser l’information des personnes, organiser leurs demandes, encadrer les prestataires et analyser les flux. Pour une offre régulière, il ne faut pas présumer que l’exception de traitement occasionnel de l’article 27(2)(a) dispense de représentant. Ses conditions sont cumulatives et doivent être examinées dans leur ensemble.

Enfin, attribuez les points encore ouverts. Le service commercial décrit le marché visé, les équipes techniques décrivent les opérations et accès, et le responsable de traitement arrête la qualification avec l’appui juridique nécessaire. Une mention « RGPD applicable » sans périmètre ni suites laisse les décisions essentielles en suspens.

Ce qu’il faut retenir

• Le lieu des serveurs ne détermine pas seul l’application du RGPD.
• La simple accessibilité d’un site ne suffit pas au critère d’offre.
• Qualifiez séparément responsable, sous-traitant et traitement.
• Distinguez application territoriale, représentation et transferts.

FAQ

Des serveurs hors Union permettent-ils d’écarter le RGPD ?

Non si le traitement relève notamment de l’Art. 3(1). Le lieu du traitement ne supprime pas ce rattachement.

Un client français soumet-il automatiquement tout son fournisseur étranger au RGPD ?

Non. Il faut examiner les opérations et le rattachement du fournisseur, en plus des obligations contractuelles du client.

Le représentant remplace-t-il le DPO ?

Non. Les conditions de désignation et missions sont distinctes et doivent être vérifiées séparément.

Recevez nos analyses du RGPD et des flux internationaux.

Thiébaut Devergranne, docteur en droit, fondateur de donneespersonnelles.fr et de Legiscope, travaille depuis plus de vingt ans sur le droit des technologies.