Qui est concerné par le RGPD ? Le guide complet | Actito

Qui est concerné par le RGPD ?

Bien que le RGPD concerne toutes les entreprises de l’UE, il s’applique également à de nombreuses organisations qui interagissent avec des consommateurs dans l’un des 27 États membres.

Le respect du RGPD est une obligation pour les entreprises qui :

• Exercent leurs activités dans l’UE et traitent les données personnelles de ses citoyens ou résidents ;
• Exercent leurs activités en dehors de l’UE, mais proposent des produits et services à ses citoyens ou résidents ;
• Exercent leurs activités en dehors de l’UE, mais surveillent le comportement de ses citoyens ou résidents.

Si l’obligation de respecter le RGPD est assez claire pour les entreprises opérant dans l’UE, les responsables marketing des entreprises non européennes peuvent facilement être confrontés à des incertitudes quant aux lois sur la protection des données qui leur sont applicables. Deux questions reviennent fréquemment chez les entreprises non européennes :

• Le RGPD s’applique-t-il aux citoyens américains ?
• Le RGPD s’applique-t-il à mon site web ?

Il est important que les CMO et leurs équipes marketing comprennent s’ils sont ou non tenus de respecter le RGPD. Clarifions ce que signifient réellement les deux conditions mentionnées ci-dessus pour les entreprises non européennes.

Clarifier les exigences de conformité au RGPD pour les entreprises non européennes

Comprendre la définition donnée par le RGPD de la proposition de biens et services et de la surveillance des comportements est essentiel pour déterminer si votre organisation est tenue de respecter les règles en matière de protection des données.

Proposer des biens et services

Pour ces entreprises, chercher à faire affaire avec un consommateur situé dans l’UE suffit souvent à entrer dans le champ d’application du RGPD. Le Comité européen de la protection des données (EDPB), chargé de veiller à l’application des nouvelles règles en matière de protection des données, s’intéresse notamment aux entreprises qui « ciblent activement » le marché européen.

Au-delà du fait d’accepter des paiements provenant de résidents de l’UE, les activités pouvant nécessiter le respect du RGPD comprennent notamment :

• des campagnes marketing ciblant une audience dans l’UE ;
• la présence d’une adresse ou d’un numéro de téléphone dédié dans l’UE ;
• la mention de clients résidant dans un État membre de l’UE, notamment à travers des témoignages ;
• l’utilisation d’un nom de domaine européen ;
• l’utilisation de langues ou de devises de l’UE ;
• la livraison de produits dans un État membre de l’UE.

Surveiller les comportements

L’autre condition pouvant obliger les entreprises non européennes à respecter le RGPD est la « surveillance du comportement » des résidents de l’UE. Mais qu’est-ce que cela signifie pour les professionnels du marketing ?

Dans notre contexte, la surveillance peut être effectuée en ligne ou par toute autre méthode impliquant le traitement de données personnelles. Les activités concernées comprennent notamment :

• la publicité comportementale ;
• le suivi de l’état de santé d’une personne ;
• la géolocalisation à des fins publicitaires ;
• les études comportementales et enquêtes de marché ;
• le suivi en ligne à l’aide de cookies ;
• les méthodes de suivi hors ligne telles que le fingerprinting ;
• la vidéosurveillance ;
• l’analyse des données de santé en ligne.

En plus de ces activités, une entreprise non européenne doit respecter le RGPD si elle :

• emploie ne serait-ce qu’un seul salarié dans l’UE ;
• fait référence à des clients européens dans ses actions marketing ou publicitaires ;
• dispose d’un business plan mentionnant l’acquisition de clients dans l’UE.

Cette liste n’est pas exhaustive et certaines zones d’ombre subsistent dans la réglementation. Toutefois, chacune de ces activités peut entraîner l’obligation de se conformer au RGPD.

Êtes-vous concerné par le RGPD ?

Nous avons vu quelles entreprises doivent respecter le RGPD, mais qui, au sein de l’organisation, est responsable de cette conformité ? Le RGPD concerne principalement deux catégories d’acteurs : les responsables du traitement et les sous-traitants. Par ailleurs, toute personne soumise auparavant au Data Protection Act du Royaume-Uni est probablement également tenue de respecter les exigences du RGPD.

Un responsable du traitement est une personne ou une entité qui, seule ou conjointement avec d’autres, détermine les finalités du traitement des données personnelles.

Un sous-traitant est une personne ou une entité qui traite ces données pour le compte d’un responsable du traitement.

Selon l’Information Commissioner’s Office (ICO) du Royaume-Uni, les responsables du traitement et les sous-traitants ont une « responsabilité juridique nettement plus importante » lorsqu’ils sont responsables d’une violation de données. Le maintien de la conformité constitue une nouvelle obligation pour eux dans le cadre du RGPD.

Le RGPD exige notamment des sous-traitants qu’ils tiennent des registres des traitements de données personnelles effectués. Il impose également aux responsables du traitement de s’assurer que leurs sous-traitants respectent les exigences de conformité.

Comment Actito aide les professionnels du marketing à respecter le RGPD

Notre plateforme d'engagement client a aidé des centaines d’entreprises à attirer et fidéliser leurs clients, à augmenter leurs conversions et à accroître leurs revenus, tout en restant pleinement conformes au RGPD. Voici comment Actito peut aider votre entreprise à se mettre en conformité avec le RGPD :

• créer des formulaires de collecte de données conformes au RGPD et stocker de manière sécurisée les preuves de consentement ;
• conserver des pistes d’audit de chaque modification apportée aux données ;
• utiliser des données first-party afin de garantir que vos méthodes de traitement des données restent dans le cadre du consentement donné par les clients ;
• collecter et traiter uniquement les données pour les finalités auxquelles le client a consenti ;
• garantir la qualité des données traitées ;
• supprimer ou archiver automatiquement les données inactives.

Avec Actito, vous pouvez vous concentrer sur la construction de relations clients significatives et durables, plutôt que de vous préoccuper en permanence de votre conformité au RGPD.