Article 3 du RGPD : Le champ d’application territorial du règlement

L’Article 3 du RGPD définit le champ d’application territorial du règlement. C’est l’un des piliers qui explique pourquoi le RGPD s’applique à de nombreuses entreprises dans le monde, même si elles ne sont pas établies en Europe. Cet article impose une protection renforcée pour tous les citoyens européens, où qu’ils soient dans le monde numérique.

L’Article 3 du RGPD expliqué

L’Article 3 prévoit que le RGPD s’applique :

à tout traitement de données effectué par un responsable ou un sous-traitant établi dans l’UE, quel que soit le lieu où se déroulent les traitements ;
à tout traitement relatif à des personnes se trouvant dans l’UE, effectué par un responsable ou sous-traitant non établi dans l’UE, lorsque les activités visent :
- l’offre de biens ou de services à ces personnes ;
- ou le suivi de leur comportement (notamment en ligne).

Ainsi, le RGPD s’applique au-delà des frontières de l’UE dès lors que des données de citoyens européens sont concernées.

Pourquoi cet article est-il important pour votre conformité RGPD ?

C’est grâce à l’Article 3 que le RGPD a une portée extraterritoriale. Il impose aux entreprises du monde entier de se conformer aux exigences européennes dès lors qu’elles traitent des données de résidents de l’UE.

Cela permet de mieux protéger les utilisateurs européens, même face à des acteurs basés hors de l’Union.

Comment se mettre en conformité avec l’Article 3 du RGPD ?

Déterminez si vous êtes établi dans l’Union européenne : si oui, le RGPD s’applique à tous vos traitements, même en dehors de l’UE.
Si vous êtes hors UE, évaluez si vous ciblez des personnes dans l’Union (publicité, services, cookies, géolocalisation…).
Le cas échéant, désignez un représentant dans l’UE et mettez en place les exigences du RGPD (registre, droits des personnes, sécurité, etc.).

Exemples d’application de l’Article 3 du RGPD

Une société américaine proposant un site e-commerce en français, avec livraison dans l’UE, est soumise au RGPD.
Une startup basée en Inde qui analyse le comportement des internautes européens via des cookies marketing est également concernée.
Une entreprise française qui collecte les données de ses clients en Asie doit aussi respecter le RGPD si elle est établie dans l’UE.