Le RGPD (Règlement européen sur la protection des données ) s’applique en premier lieu aux entreprises présentes dans l’UE.
A titre exceptionnel, le RGPD prévoit aussi une application extraterritoriale, par exemple à une entreprise suisse sans présence dans l’UE, si des données de personnes qui se trouvent sur le territoire de l’UE sont traitées, et que les activités de traitement sont liées soit à l’offre de biens ou de services à ces personnes dans l’UE (indépendamment de l’exigence d’un paiement), soit au suivi du comportement de ces personnes au sein de l’UE (profilage).
Il faut que l’entreprise envisage d’offrir des services à des personnes dans l’UE. La simple accessibilité du site web ou d’une adresse électronique ne suffit pas. Par contre, l’affichage de prix en euros, la traduction du site dans une langue européenne (hormis le Français, l’Allemand, l’Italien et l’Anglais), des offres destinées aux résidents de l’UE ou des modalités de livraison spécifiques peuvent en revanche indiquer cette intention.
Les entreprises suisses qui ne visent pas le marché européen mais compteraient occasionnellement un touriste européen dans leurs clients ne sont pas concernées.
Les entreprises qui ne sont pas concernées
Une entreprise suisse qui n’a pas d’établissement dans l’UE, et qui n’envisage pas d’y fournir des biens et services ou de faire du suivi du comportement (profilage) en ligne de résidents européens, n’est pas soumise au RGPD, même si :
– elle traite en Suisse des données de nationaux européens résidant en Suisse ;
– elle traite en Suisse des données d’employés frontaliers travaillant en Suisse et habitant dans l’UE ;
– elle traite en Suisse des données de résidents européens en lien avec des biens et des services qu’elle n’a pas envisagé de proposer spécifiquement à des résidents européens ;
– elle traite en Suisse en tant que sous-traitant des données pour un responsable de traitement établi dans l’UE ;
– elle recourt à un sous-traitant établi dans l’UE.