Nouveau pays : revoir le périmètre RGPD du service

Une entreprise française ouvre son service dans un nouveau pays. La traduction du formulaire est prête, mais une équipe locale doit accéder aux dossiers et le support pourrait être confié à un autre fournisseur. Le pays des clients, l’entité qui décide du traitement et le lieu des accès sont trois questions différentes. Une revue territoriale doit les rapprocher avant le lancement.

L’objectif n’est pas de produire une fiche abstraite sur chaque État. Il est de décider quels parcours peuvent être ouverts, quelles opérations restent à vérifier et quelles conditions devront être réexaminées si l’organisation change.

Partir du scénario opérationnel, pas du drapeau du site

Décrivez le service comme il fonctionnera : qui contracte avec le client, décide des finalités, choisit les données, fournit l’assistance et reçoit les informations. Identifiez les entités juridiques et les lieux où les équipes interviennent. Une marque commune ne démontre pas une responsabilité unique.

L’Art. 3(1) du RGPD s’applique aux traitements effectués dans le cadre des activités d’un établissement dans l’Union, que le traitement ait lieu ou non dans l’Union. Un client situé à l’étranger ne sort donc pas automatiquement de ce cadre. Sa nationalité n’est pas le critère unique.

L’Art. 3(2) vise, pour un organisme non établi dans l’Union, certaines activités liées à l’offre de biens ou services aux personnes qui s’y trouvent ou au suivi de leur comportement dans l’Union. Il ne faut pas appliquer ce second mécanisme à la place du premier simplement parce qu’un site devient multilingue.

La création d’une nouvelle société, l’ouverture d’une équipe et l’ajout d’une langue doivent être examinés selon leurs effets réels. À l’inverse, ne concluez pas que rien ne change parce que la société contractante demeure française : un nouvel accès de support peut modifier la sécurité et les transferts.

Comparer les rôles pour chaque finalité

Les définitions des Art. 4(7) et (8) portent sur les décisions et sur le traitement pour le compte d’un responsable. La qualification ne dépend pas seulement du titre « partenaire local » figurant dans le contrat.

Un acteur peut avoir des rôles différents selon l’opération. Son service d’assistance sur instructions et l’exploitation de ses propres contacts ne doivent pas être fusionnés dans une qualification globale. Les accords entre responsables distincts ne conviennent pas automatiquement à une sous-traitance ou à une responsabilité conjointe.

Les Art. 26 et 28 du RGPD apportent les cadres à examiner. Un accord ne peut pas transformer des faits contraires : écrire « sous-traitant » ne suffit pas si l’acteur décide réellement d’une finalité propre.

Cartographier les accès, y compris ceux du support

Pour chaque opération, notez les données consultées, l’acteur destinataire, son pays et les outils utilisés. Incluez les tickets, captures, diagnostics, exports et sauvegardes. Une base hébergée dans l’Union peut être rendue accessible à une société distincte située hors de l’Espace économique européen.

Le chapitre V impose alors d’examiner le régime de transfert applicable, au-delà de la sécurité de la connexion. Le guide du support hors UE détaille cette question. Les Art. 44–46 du RGPD distinguent notamment adéquation et garanties appropriées, chacune avec son champ et ses conditions.

N’associez pas automatiquement une « TIA » à tout mouvement de données : la CNIL précise les situations nécessitant cette analyse. Inversement, la signature d’un contrat ne résout pas une analyse nécessaire mais non effectuée. Le mécanisme doit être identifié pour le destinataire et le flux réellement prévus.

Le passage d’un pays de l’Union à un autre ne constitue pas, par lui-même, un transfert vers un pays tiers au sens de ce chapitre. Cela ne dispense pas de vérifier les autres intervenants et accès : un parcours commercial européen peut utiliser un support ou un outil externe introduisant un autre flux.

Dossier E-12 : ouvrir un service en Belgique

Voici un exemple fictif, qui ne constitue pas une analyse complète du droit belge. Une société établie en France, Atelier Rive, propose la réservation de prestations de réparation. Elle veut ouvrir le même service à des adultes en Belgique. Elle reste contractante, décide des finalités et conserve l’exploitation informatique en France.

Le projet comporte deux volets. Le premier prévoit une interface et une information adaptées en français et en néerlandais, avec assistance assurée par l’équipe existante en France. Le second envisage un prestataire d’assistance hors EEE. La sélection et l’examen de ses flux ne sont pas achevés.

La fiche de revue sépare donc les décisions :

Le RGPD n’est pas considéré comme une option liée à la nationalité belge ou française du client. L’analyse porte sur le service et l’établissement qui l’opère. Le dossier conserve cette justification au lieu d’ajouter une simple case « pays européen ».

La direction ne signe pas une autorisation globale incluant le futur support. Elle conditionne l’ouverture du premier volet aux validations restantes : parcours d’information, fonctionnement des droits, sécurité et revue locale. Le second volet exige une décision distincte après qualification du prestataire, contractualisation et examen du transfert.

Transformer les réserves en conditions vérifiables

Une réserve utile désigne un fait manquant, un responsable et une condition de clôture. « Vérifier le RGPD belge » est trop vague pour piloter E-12. « Confirmer les règles applicables au contenu de ce formulaire et consigner la source examinée » permet une action délimitée.

Pour l’information, le responsable du parcours vérifie les deux versions en situation : écran de réservation, confirmation et contact droits. Pour l’assistance, l’administrateur confirme que les dossiers ne sont pas routés au prestataire futur et qu’aucun compte ne lui donne accès. Pour les règles locales, le juriste consigne les textes applicables, leur date et leur conséquence précise.

Si la fonction de support ne peut pas être séparée techniquement du service, la simple phrase « prestataire exclu du pilote » ne suffit pas. Le lancement dépend alors de la résolution de ce point ou d’une autre organisation démontrée. Une réduction de périmètre doit se traduire dans les accès et les flux.

Ces contrôles sont proposés pour votre déploiement, sans prétendre qu’Atelier Rive ou un produit réel a été testé. Les pièces attendues sont des résultats de vérification et des décisions effectives, pas des cases préremplies « conforme ».

Adapter l’information et les droits au parcours réel

L’Art. 12(1) demande une information compréhensible et accessible. Les Art. 13(1)–(2) et 14(1)–(3) fixent son contenu et son moment selon la collecte. Il faut vérifier les traductions, mais aussi les destinataires, finalités, bases légales, durées et contacts propres à l’organisation retenue. Source : RGPD, chapitre III.

Dans E-12, la notice ne doit pas annoncer un prestataire comme déjà opérationnel si son accès est encore exclu. Préparez la mise à jour correspondant à une future activation et vérifiez les obligations d’information applicables avant celle-ci. Un document traduit mais décrivant un autre circuit n’est pas exact.

Les droits doivent être praticables dans les langues et canaux retenus pour le service. Organisez l’orientation vers l’équipe compétente et la continuité en cas d’absence. La coordination des demandes entre entités ou enseignes évite de demander aux personnes de comprendre votre organigramme.

La circulation interne d’une demande ne remet pas le délai de l’Art. 12(3) à zéro. Conservez la réception initiale et les actions en cours. Une réponse automatique dans la langue du client n’est pas la preuve que la recherche ou l’effacement demandé a été exécuté.

Examiner les règles locales sans recopier une règle française

Le RGPD s’articule avec des dispositions nationales et sectorielles. Il prévoit lui-même des possibilités d’adaptation, notamment à l’Art. 6(2)–(3), à l’Art. 8(1) ou à l’Art. 9(4). Cela ne signifie pas qu’une règle différente existe nécessairement pour chaque opération. Il faut rechercher celle qui concerne votre traitement. Source : RGPD, chapitre II.

Constituez une liste motivée : conservation des pièces, activité réglementée, travail, mineurs si le service les vise, communications commerciales ou traceurs si ces fonctions existent. Distinguez l’obligation applicable de la simple préférence interne. Ne transposez pas une durée française à une autre entité sans vérifier pourquoi elle lui serait applicable.

Réévaluez aussi le risque. Un élargissement limité et une nouvelle collecte à grande échelle ne se traitent pas de façon identique. L’Art. 35(1) détermine l’obligation d’AIPD selon le risque élevé ; l’Art. 35(11) prévoit son réexamen lorsque nécessaire, notamment en cas de changement du risque. Le seul ajout d’un pays n’impose ni n’exclut automatiquement cette analyse.

Identifier les interlocuteurs sans choisir son autorité

La compétence et le guichet unique suivent les conditions des Art. 4(16), 4(23), 55 et 56. Ils ne se déterminent pas à partir de la langue du site ou de l’autorité jugée la plus commode. La CNIL présente le mécanisme de coopération entre autorités ; les règles de compétence doivent être appliquées à l’organisation réelle.

Le représentant de l’Art. 27 constitue une autre question : il concerne certaines situations de l’Art. 3(2), avec les exceptions prévues. Il ne s’agit pas d’une nomination automatiquement requise à chaque extension d’une société française.

Conservez enfin la version du scénario accepté. Nouveau partenaire, déplacement du centre de décision, ajout de mineurs ou changement d’accès au support peuvent rendre certaines conclusions caduques. La fiche d’extension doit alors être reprise sur ces changements, sans supposer que la première validation couvre toute évolution future.

Ce qu’il faut retenir

• Séparez champ territorial, rôles, marché visé et localisation des accès.
• Vérifiez les flux du support autant que l’hébergement principal.
• Transformez les réserves en conditions de lancement effectivement contrôlables.
• Adaptez information, droits et règles locales au service réellement ouvert.

FAQ

Un client hors de l’Union sort-il automatiquement du RGPD ?

Non. L’Art. 3(1) peut s’appliquer au traitement effectué dans le cadre d’un établissement dans l’Union. Il faut examiner l’activité concernée.

Traduire la notice suffit-il pour ouvrir un pays ?

Non. Le contenu doit correspondre aux rôles, flux et usages retenus. Les accès, les droits et les exigences locales pertinentes demandent leur propre vérification.

Faut-il nommer un nouveau représentant pour chaque pays ?

L’Art. 27 ne crée pas cette obligation générale. Examinez ses conditions lorsque le traitement relève de l’Art. 3(2), plutôt que de confondre représentant et équipe locale.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.