Conformité au RGPD pour les entreprises américaines et non européennes : guide pratique

Beaucoup d’entreprises américaines supposent que le Règlement général sur la protection des données (RGPD) ne concerne que les sociétés établies en Europe. Cette hypothèse est risquée. Si votre entreprise offre des biens ou des services à des personnes dans l’Union européenne, surveille leur comportement ou traite leurs données personnelles dans le cadre de ces activités, le RGPD peut s’appliquer même si votre société est constituée et exploitée aux États-Unis.

Pour les fondateurs, les jeunes entreprises et les petites entreprises en croissance, la question n’est pas seulement théorique sur le plan juridique. Le RGPD peut avoir une incidence sur la manière dont vous collectez des adresses courriel, gérez des campagnes publicitaires, utilisez des témoins, conservez des dossiers de clients, traitez des paiements, gérez des sous-traitants et réagissez aux incidents de sécurité. Si votre entreprise est incorporée aux États-Unis et sert un public international, la conformité en matière de protection de la vie privée doit faire partie de votre modèle d’exploitation dès le départ.

Ce guide explique ce qu’est le RGPD, pourquoi des entreprises non européennes peuvent devoir s’y conformer, quelles données sont visées et quelles mesures pratiques peuvent aider à réduire les risques.

Ce qu’est le RGPD

Le RGPD est la loi de l’Union européenne sur la protection des données. Il a été conçu pour donner aux personnes un meilleur contrôle sur la manière dont leurs données personnelles sont recueillies, utilisées, partagées, conservées et supprimées.

La portée de la loi est vaste. Elle s’applique à de nombreux types d’activités de traitement des données, notamment :

• La collecte de coordonnées au moyen de formulaires
• L’exécution de campagnes de marketing par courriel
• Le suivi des visiteurs d’un site Web à l’aide de témoins ou d’outils d’analyse
• La conservation de dossiers de clients ou d’employés
• Le partage de données avec des fournisseurs, des plateformes ou des prestataires de services
• Le traitement des paiements et des données d’abonnement
• L’utilisation de systèmes automatisés pour profiler ou segmenter les utilisateurs

Le RGPD crée aussi des obligations en matière de transparence, de sécurité, de droits des personnes concernées, de réponse aux atteintes à la sécurité et de responsabilisation. En pratique, cela signifie que les entreprises ont besoin de plus qu’une politique de confidentialité. Elles ont besoin de processus réels.

Pourquoi des entreprises américaines peuvent être visées

Le RGPD ne se limite pas aux entreprises physiquement situées dans l’UE. La loi peut s’appliquer à des organisations situées à l’extérieur de l’Europe lorsqu’elles font l’une des choses suivantes :

• Offrir des biens ou des services à des personnes dans l’UE
• Surveiller le comportement de personnes dans l’UE, notamment au moyen de technologies de suivi ou d’analyses comportementales

Cela signifie qu’une jeune entreprise américaine, une boutique en ligne, une société SaaS, un consultant, un développeur d’applications ou une marque de commerce électronique peut être visée par le RGPD même si tous ses propriétaires, employés et serveurs se trouvent aux États-Unis.

Exemples :

• Une société du Delaware qui vend des produits numériques à des clients en France ou en Allemagne
• Une LLC du Texas qui diffuse des annonces payées ciblant des résidents de l’UE
• Une jeune entreprise californienne qui utilise des analyses et des témoins pour étudier les visiteurs de l’UE
• Un cabinet de conseil de New York qui recueille des demandes provenant de clients potentiels établis dans l’UE

Si votre entreprise entretient une relation intentionnelle avec des personnes dans l’UE, vous devriez évaluer si le RGPD s’applique.

Ce qui constitue des données personnelles

Le RGPD définit les données personnelles de façon large. Elles ne se limitent pas aux identifiants évidents comme un nom ou un numéro d’identification gouvernemental. La loi peut couvrir toute information se rapportant à une personne identifiable.

Exemples courants :

• Nom
• Adresse courriel
• Adresse postale
• Numéro de téléphone
• Adresse IP
• Identifiants d’appareil
• Données de localisation
• Identifiants de témoins
• Informations de paiement
• Identifiants de connexion à un compte
• Dossiers d’emploi
• Informations de santé
• Données comportementales fondées sur l’adresse IP

Une information n’a pas besoin d’identifier une personne à elle seule pour être considérée comme donnée personnelle. Si elle peut raisonnablement être reliée à une personne, elle peut être visée par le RGPD.

Cette définition large est l’une des raisons pour lesquelles de nombreuses entreprises sous-estiment la portée de la loi. Un simple formulaire d’inscription à une infolettre, un portail client ou un outil d’analyse Web peut déclencher des obligations s’il concerne des résidents de l’UE.

Pourquoi « nous sommes établis aux États-Unis » n’est pas un argument suffisant

Certaines entreprises pensent que, parce qu’elles sont constituées en vertu du droit d’un État américain, le RGPD ne les touche pas. Ce n’est pas ainsi que le règlement fonctionne.

Le RGPD met l’accent sur l’activité, la personne dont les données sont traitées et le lien avec l’UE. Le lieu de constitution de votre entreprise compte beaucoup moins que ce que fait réellement votre entreprise.

Si votre entreprise traite des données personnelles de l’UE d’une manière visée par le RGPD, vous pourriez devoir vous conformer à la loi, peu importe que vous soyez :

• Une société constituée dans le Delaware, au Wyoming, en Floride ou dans tout autre État
• Une LLC à associé unique
• Une jeune entreprise autofinancée
• Une entreprise à distance sans bureau physique à l’extérieur des États-Unis

C’est l’une des raisons pour lesquelles les fondateurs devraient penser à la conformité dès le démarrage d’une nouvelle entreprise. La constitution de la société n’est que le début. Les opérations, les fournisseurs, les contrats et les parcours clients de l’entreprise comptent aussi.

Les principaux principes du RGPD que les entreprises devraient connaître

Le RGPD repose sur des principes fondamentaux qui façonnent la conformité au quotidien. Les plus importants pour les petites entreprises sont les suivants :

Licéité, loyauté et transparence

Vous devez avoir une base juridique valable pour traiter des données personnelles et vous devez expliquer ce que vous faites dans un langage clair.

Limitation des finalités

Utilisez les données personnelles uniquement pour la finalité précise que vous avez divulguée. Ne recueillez pas des données pour une raison donnée pour ensuite les réutiliser à une fin sans rapport sans avis approprié ni base juridique.

Minimisation des données

Ne recueillez que les données dont vous avez réellement besoin. Plus vous conservez de données, plus le risque augmente.

Exactitude

Gardez les données personnelles exactes et mettez les dossiers à jour au besoin.

Limitation de la conservation

Ne conservez pas les données personnelles indéfiniment simplement parce que vous le pouvez. Ne les gardez que pendant la durée nécessaire à la finalité divulguée.

Intégrité et confidentialité

Protégez les données personnelles au moyen de mesures de sécurité techniques et organisationnelles raisonnables.

Responsabilisation

Soyez en mesure de démontrer votre conformité. Les politiques comptent, mais les registres, les contrats et les procédures internes comptent aussi.

Les bases juridiques du traitement des données

En vertu du RGPD, les entreprises ont généralement besoin d’une base légale pour traiter des données personnelles. Les bases courantes comprennent :

• Le consentement
• L’exécution d’un contrat
• Une obligation légale
• La protection des intérêts vitaux
• Une mission d’intérêt public
• Les intérêts légitimes

Pour de nombreuses entreprises américaines, les bases les plus courantes sont le consentement, l’exécution d’un contrat et les intérêts légitimes.

Le point important est que le consentement n’est pas toujours requis, mais lorsqu’il est utilisé, il doit être éclairé, précis, donné librement et facile à retirer. Les cases précochées ou les autorisations générales vagues ne suffisent généralement pas.

Déclencheurs fréquents pour les petites entreprises

Vous pourriez devoir examiner vos obligations au titre du RGPD si votre entreprise fait l’une des choses suivantes :

• Vendre à des clients dans l’UE
• Offrir un site Web qui fait activement du marketing auprès de résidents de l’UE
• Faire du reciblage publicitaire ou de la publicité comportementale
• Utiliser des témoins, des pixels ou des outils d’analyse qui suivent les visiteurs
• Envoyer des courriels promotionnels à des contacts de l’UE
• Conserver des profils de comptes clients
• Utiliser des processeurs de paiement, des CRM ou des logiciels de soutien technique tiers qui traitent des données de l’UE
• Recueillir des candidatures d’emploi provenant de candidats de l’UE

Même si votre entreprise est petite, la présence de clients ou d’utilisateurs de l’UE peut créer des obligations.

Pourquoi le blocage par adresse IP n’est pas une stratégie fiable

Certaines entreprises essaient d’éviter le RGPD en bloquant les visiteurs de l’UE ou en exigeant qu’ils cliquent sur une clause de non-responsabilité disant qu’ils ne se trouvent pas dans l’UE. Ces raccourcis sont peu fiables.

La géolocalisation par IP n’est pas parfaite. Les VPN, les réseaux mobiles, les réseaux partagés et les voyages peuvent tous masquer la véritable localisation d’un utilisateur. Un champ de formulaire ou une case à cocher ne règle pas non plus la question fondamentale de savoir si votre entreprise offre réellement des services à des personnes dans l’UE ou surveille leur comportement.

Si votre entreprise veut réduire son exposition au RGPD, la seule solution durable consiste à concevoir son modèle d’affaires et les pratiques de son site Web en conséquence. Dans bien des cas, la meilleure réponse est de se conformer.

Mesures pratiques pour améliorer votre préparation au RGPD

Une petite entreprise n’a pas besoin d’un énorme service juridique pour devenir plus prête au RGPD. Elle a besoin d’une approche structurée.

1. Cartographiez vos données

Identifiez quelles données personnelles vous recueillez, d’où elles proviennent, où elles vont, qui peut y accéder et pendant combien de temps vous les conservez.

2. Réduisez la collecte inutile

Si vous n’avez pas besoin d’un champ dans un formulaire, retirez-le. Si un outil de fournisseur recueille des données que vous n’utilisez jamais, reconsidérez son utilisation.

3. Mettez à jour votre avis de confidentialité

Votre avis de confidentialité devrait expliquer clairement :

• Quelles données vous recueillez
• Pourquoi vous les recueillez
• La base légale du traitement
• Si vous partagez les données avec des tiers
• Combien de temps vous les conservez
• Quels sont les droits des utilisateurs
• Comment les utilisateurs peuvent vous contacter

4. Examinez les témoins et les outils de suivi

Si vous utilisez des outils d’analyse, des pixels publicitaires, des outils de reciblage ou des logiciels de relecture de session, déterminez si un consentement ou d’autres divulgations sont requis.

5. Mettez en place des ententes avec vos fournisseurs

Si des prestataires traitent des données personnelles en votre nom, vous avez besoin de contrats qui répartissent correctement les responsabilités. C’est particulièrement important pour l’hébergement, la paie, les CRM, le marketing par courriel et les plateformes de soutien à la clientèle.

6. Établissez un processus pour les demandes des personnes concernées

Les personnes de l’UE peuvent avoir le droit d’accéder à leurs données personnelles, de les corriger, de les supprimer ou d’en restreindre l’utilisation. Vous devriez savoir comment les demandes seront reçues, vérifiées, suivies et traitées.

7. Préparez-vous aux atteintes à la sécurité

Ayez un plan de réponse aux incidents de sécurité. Le RGPD peut exiger un avis rapide dans certains scénarios d’atteinte, donc vous devriez savoir qui est responsable, ce qui doit être documenté et quand une évaluation juridique est nécessaire.

8. Formez votre équipe

Toute personne qui manipule des données clients devrait comprendre les attentes de base en matière de confidentialité et de sécurité. Une politique n’est utile que si les gens la suivent.

La sécurité des données compte

La sécurité n’est pas seulement une question informatique. En vertu du RGPD, les données personnelles doivent être protégées contre l’accès non autorisé, la divulgation, l’altération et la perte.

De bons contrôles de base comprennent souvent :

• Des mots de passe robustes et l’authentification multifacteur
• Des contrôles d’accès fondés sur les rôles
• Le chiffrement en transit et au repos, lorsque approprié
• Une vérification diligente des fournisseurs
• Des mises à jour et correctifs logiciels réguliers
• Des procédures de sauvegarde et de récupération
• Un journal des accès aux systèmes sensibles
• La destruction sécurisée des dossiers obsolètes

Les petites entreprises n’ont pas besoin de tout surconstruire, mais elles devraient être capables d’expliquer leurs choix et de démontrer qu’elles ont pris des mesures raisonnables.

Une attention particulière pour les jeunes entreprises et les nouvelles sociétés

Si vous fondez une entreprise maintenant, la conformité à la protection de la vie privée devrait faire partie de votre liste de lancement. C’est particulièrement vrai si vous prévoyez servir des clients au-delà des États-Unis.

Lorsque les fondateurs mettent en place une société, ils prennent déjà des décisions sur le type d’entité, la répartition de la propriété, les services de représentant enregistré, les conventions d’exploitation, les services bancaires et l’enregistrement fiscal. C’est aussi un bon moment pour réfléchir à :

• Quelles données l’entreprise recueillera
• Quels fournisseurs traiteront ces données
• Quels marchés clients l’entreprise visera
• Si l’entreprise aura des visiteurs ou des clients de l’UE
• Quelles politiques internes devraient exister avant le lancement

Zenind soutient les entrepreneurs dans le processus de constitution en société, et la préparation en matière de protection des données s’inscrit dans la même approche rigoureuse : bâtir correctement l’entreprise dès le départ afin que la croissance future ne crée pas de risques évitables.

Quand obtenir de l’aide juridique

Le RGPD est détaillé, et de nombreuses entreprises ont besoin d’un soutien juridique pour évaluer leurs obligations particulières. Vous devriez envisager une aide professionnelle si :

• Votre entreprise a des clients ou des utilisateurs dans l’UE
• Vous recueillez des données personnelles sensibles
• Vous dépendez fortement de la publicité, du suivi ou du profilage
• Vous traitez des données à grande échelle
• Vous ne savez pas quelle base légale s’applique
• Vous devez rédiger ou réviser des ententes avec des fournisseurs
• Vous avez reçu une demande d’un résident de l’UE ou d’un organisme de réglementation

Cet article donne un aperçu pratique, et non un avis juridique. Pour une véritable évaluation de conformité, travaillez avec un avocat qualifié ou un professionnel de la protection des données.

Points essentiels à retenir

• Le RGPD peut s’appliquer aux entreprises américaines et non européennes.
• La loi met l’accent sur la manière dont vous traitez les données personnelles, et pas seulement sur le lieu où votre entreprise est constituée.
• Les données personnelles sont définies largement et peuvent inclure les adresses IP, les témoins et les identifiants comportementaux.
• Les petites entreprises devraient cartographier les flux de données, mettre à jour les avis, contrôler les fournisseurs et se préparer aux demandes des utilisateurs concernant leurs droits.
• Si votre entreprise sert des clients de l’UE ou suit des visiteurs de l’UE, le RGPD devrait faire partie de votre plan d’exploitation.

Conclusion

Pour les entreprises américaines, le RGPD n’est pas un enjeu européen lointain. C’est une question pratique de conformité qui peut influencer le fonctionnement de votre site Web, la rédaction de vos contrats, l’exécution de votre marketing et la sécurité de vos données.

Les entreprises qui gèrent le mieux le RGPD ne sont pas celles qui l’ignorent. Ce sont celles qui le repèrent tôt, recueillent moins de données, établissent des règles claires et intègrent la conformité à leur flux de travail dès le départ. Si votre entreprise est en train d’être constituée ou se prépare à prendre de l’expansion à l’international, c’est le bon moment pour vous organiser.