Le règlement général sur la protection des données encadre l'usage des données personnelles des personnes qui se trouvent dans l'UE.
Qui est concerné
- Toute entreprise établie dans l'Union qui utilise des données personnelles, même si les données sont traitées ailleurs (article 3, § 1).
- Une entreprise d'Asie sans établissement en Europe, dès qu'elle propose des biens ou des services à des personnes qui se trouvent dans l'Union (payants ou non), ou qu'elle suit leur comportement en ligne (article 3, § 2).
Le point qui touche l'Asie : le représentant
Une entreprise visée par l'article 3, § 2 doit désigner par écrit un représentant dans un pays de l'Union où se trouvent ses clients (article 27, § 1 et § 3). C'est à lui que les autorités et les personnes peuvent s'adresser. Exception : un traitement occasionnel, sans données sensibles à grande échelle et sans risque pour les personnes (article 27, § 2).
Ce qu'il faut faire
- Avoir une base légale pour chaque usage : le consentement n'est que l'une des six (contrat, obligation légale, intérêt légitime…) (article 6).
- Informer clairement les personnes (politique de confidentialité).
- Répondre aux demandes (accès, correction, effacement…) dans un délai d'un mois ; prolongeable de deux mois si la demande est complexe, en prévenant la personne dans le premier mois (article 12, § 3).
- En cas de fuite de données : prévenir l'autorité (en France, la CNIL) dans les meilleurs délais et, si possible, 72 heures au plus tard, sauf si la fuite ne présente pas de risque pour les personnes ; au-delà de 72 heures, expliquer le retard (article 33).
Envoyer des données vers la Chine, la Thaïlande ou le Vietnam
Une entreprise européenne qui transmet des données personnelles hors de l'Union (fichier clients, coordonnées) doit respecter des conditions (article 44) : une décision d'adéquation de la Commission pour ce pays (article 45), ou des garanties comme les clauses types adoptées par la Commission (article 46, § 2, c), ou, à défaut, une exception, par exemple le consentement explicite de la personne, informée des risques (article 49, § 1, a).
Dates
- Applicable depuis le 25 mai 2018 (article 99).
Source officielle (texte lu le 01/11/2026) : Règlement (UE) 2016/679 (RGPD) — EUR-Lex · CNIL — le règlement européen
Information générale, pas un conseil juridique. Vérifiez auprès de la source officielle avant de décider.