Une entreprise française peut héberger son site aux États-Unis, utiliser un CRM américain, proposer ses services depuis la Suisse ou vendre à des clients situés partout en Europe. 

Dans ce contexte, une question revient souvent : quelles règles du RGPD s’appliquent lorsqu’un site ou ses prestataires sont situés à l’étranger ? 

Contrairement à une idée assez répandue, la réponse ne dépend pas uniquement de l’endroit où le site est hébergé. Pour comprendre les obligations d’une entreprise, il faut regarder plus largement qui exploite le site, à qui il s’adresse et surtout où circulent les données personnelles collectées. 

Le pays d’hébergement ne détermine pas à lui seul l’application du RGPD 

Le premier point à comprendre est que déplacer son hébergement en dehors de l’Union européenne ne permet pas d’échapper au RGPD. 

L’article 3 du RGPD prévoit que le règlement s’applique aux traitements effectués dans le cadre des activités d’un établissement situé dans l’Union européenne, que le traitement lui-même ait lieu ou non dans l’Union. 

Une société française qui héberge son site aux États-Unis reste donc soumise au RGPD. 

L’hébergement à l’étranger ajoute cependant une autre question : les données personnelles sont-elles transférées en dehors de l’Espace économique européen ? 

C’est sur ce point que le choix de l’hébergeur, mais également des nombreux services connectés au site, devient particulièrement important. 

Le RGPD peut aussi concerner des entreprises situées hors d’Europe 

Le règlement européen ne concerne pas uniquement les entreprises européennes. 

Une société située aux États-Unis, en Suisse, au Royaume-Uni ou dans n’importe quel autre pays peut également être soumise au RGPD lorsqu’elle propose volontairement des biens ou des services à des personnes situées dans l’Union européenne, ou lorsqu’elle suit leur comportement. Là encore, c’est l’article 3 du RGPD qui définit ce principe. 

Cela ne signifie pas pour autant que tous les sites accessibles depuis la France sont automatiquement soumis au règlement. 

Le simple fait qu’un internaute français puisse consulter un site américain ne suffit pas. 

Le Comité européen de la protection des données explique dans ses lignes directrices relatives au champ d’application territorial du RGPD qu’il faut rechercher une véritable intention de cibler des personnes présentes dans l’Union. 

Plusieurs éléments peuvent entrer en compte : proposer explicitement des livraisons en France, accepter une monnaie européenne, mener des campagnes publicitaires destinées au marché européen ou encore présenter une offre commerciale spécifiquement pensée pour plusieurs pays de l’Union. 

Autrement dit, être accessible depuis l’Europe et chercher à vendre en Europe sont deux situations différentes. 

Le vrai enjeu : savoir où vont les données du site 

Pour une entreprise française disposant d’un site WordPress, la question la plus importante n’est généralement pas de savoir dans quel pays se trouve physiquement le site. 

Il faut surtout comprendre ce qui se passe lorsqu’un utilisateur le consulte ou remplit un formulaire. 

Un site peut être entièrement hébergé en France tout en transmettant des informations à plusieurs sociétés étrangères. C’est extrêmement fréquent. 

Un formulaire peut envoyer automatiquement un prospect dans un CRM. Une inscription à une newsletter peut être transmise à une plateforme d’emailing. Une carte interactive, une vidéo intégrée, un outil statistique ou un service publicitaire peut contacter les serveurs d’un prestataire externe. 

Les données concernées peuvent être évidentes, comme un nom ou une adresse email, mais également plus discrètes : 

• adresse IP ; 

• identifiants techniques ; 

• informations relatives au navigateur ; 

• données de navigation ; 

• informations de commande ; 

• données saisies dans un formulaire ; 

• identifiants publicitaires. 

Un audit RGPD sérieux doit donc examiner l’ensemble des flux de données du site, pas uniquement son serveur d’hébergement. 

Un transfert hors d’Europe n’est pas forcément interdit 

Le RGPD n’interdit pas d’utiliser des services étrangers. 

En revanche, les transferts de données personnelles hors de l’Union européenne et de l’Espace économique européen doivent être encadrés. 

La CNIL rappelle que ces transferts sont possibles, mais seulement à condition d’assurer un niveau de protection suffisant et approprié. 

Le mécanisme le plus simple est celui de la décision d’adéquation. 

La Commission européenne peut considérer qu’un pays ou qu’un dispositif juridique particulier offre un niveau de protection des données suffisamment proche de celui garanti en Europe. La liste est régulièrement mise à jour sur le site de la Commission européenne consacré aux décisions d’adéquation. 

Lorsque le pays ou l’organisme concerné ne bénéficie pas d’une telle décision, d’autres dispositifs peuvent être utilisés, notamment les clauses contractuelles types adoptées par la Commission européenne. 

La CNIL présente les différents mécanismes possibles sur sa page consacrée aux transferts de données hors de l’Union européenne. 

Il ne suffit donc pas de constater qu’un prestataire est américain, canadien ou asiatique pour conclure qu’il est interdit de l’utiliser. 

Il faut étudier le service utilisé, les données transmises, le pays dans lequel elles sont traitées et le cadre juridique du transfert. 

Le cas particulier des services américains 

Les services américains représentent évidemment une grande partie des outils utilisés sur le Web : analyse d’audience, CRM, solutions marketing, hébergement, CDN, vidéo, outils collaboratifs ou services cloud. 

Depuis 2023, certains transferts vers les États-Unis peuvent s’appuyer sur le EU-US Data Privacy Framework, mais uniquement lorsque l’entreprise américaine concernée participe effectivement au dispositif. 

Le simple fait qu’une société soit basée aux États-Unis ne signifie donc pas automatiquement que tous ses services entrent dans ce cadre. 

C’est un bon exemple de la raison pour laquelle une analyse doit être réalisée service par service plutôt qu’à partir de règles trop générales. 

Cookies et transferts internationaux : deux sujets différents 

Le bandeau cookies est souvent la partie la plus visible du RGPD sur un site internet. Mais il ne représente qu’une petite partie du sujet. 

La réglementation relative aux cookies et autres traceurs impose notamment que certains traceurs ne soient déposés qu’après avoir obtenu le consentement de l’utilisateur. La CNIL rappelle que ce consentement doit intervenir avant le dépôt ou la lecture des traceurs concernés et que l’utilisateur doit pouvoir accepter ou refuser simplement. 

Tous les cookies ne nécessitent cependant pas un consentement. Certains traceurs strictement nécessaires au fonctionnement du service peuvent en être exemptés. 

Mais surtout, consentement aux cookies et transfert international de données sont deux problématiques distinctes. 

Autoriser un utilisateur à accepter un service externe ne suffit pas nécessairement à rendre conforme un transfert de données vers un pays tiers. 

C’est pourquoi installer un gestionnaire de consentement ne doit jamais être considéré comme l’intégralité d’une mise en conformité RGPD. 

Un site hébergé en Europe peut donc transmettre des données partout dans le monde 

Prenons un site WordPress hébergé en France. 

À première vue, tout semble européen. 

Mais imaginons qu’il utilise Google Maps pour afficher une carte, une plateforme américaine pour envoyer ses newsletters, un CRM SaaS pour enregistrer les prospects, une solution de statistiques, un système de paiement externe et plusieurs extensions communiquant avec leurs propres serveurs. 

L’hébergement du site n’est alors qu’une partie de l’infrastructure. 

C’est exactement pour cette raison qu’une démarche RGPD doit commencer par une cartographie des outils et des flux de données. 

Il faut comprendre quelles données sont collectées, pourquoi elles le sont, quels services les reçoivent, où elles sont traitées et combien de temps elles sont conservées. 

Cette cartographie permet ensuite de déterminer les actions réellement nécessaires. 

Choisir des solutions européennes peut simplifier la conformité 

Il n’est pas obligatoire d’héberger toutes ses données dans l’Union européenne. 

Néanmoins, lorsque plusieurs solutions comparables existent, choisir des prestataires européens peut réduire significativement la complexité juridique et technique d’un projet. 

Moins il existe de transferts internationaux, moins il y a de mécanismes spécifiques à analyser et à documenter. 

Cela peut concerner l’hébergement, mais également les outils de statistiques, de newsletter, de gestion de formulaires, de CRM ou de sauvegarde. 

Il ne faut cependant pas tomber dans l’excès inverse : un prestataire européen ne garantit pas automatiquement qu’aucune donnée ne quitte l’Europe. 

Il faut également examiner ses propres sous-traitants et son infrastructure technique. 

Pour un site WordPress, la conformité passe aussi par la technique 

Sur WordPress, une grande partie des transferts de données peut provenir du thème, des extensions ou de services ajoutés progressivement au site. 

Un simple plugin peut charger des ressources externes ou transmettre certaines informations à un service tiers. 

Une iframe YouTube, une carte Google Maps, un pixel publicitaire ou un captcha peuvent également provoquer des communications avec des serveurs externes. 

C’est pourquoi la conformité RGPD ne doit pas uniquement être abordée sous l’angle des textes juridiques. 

Elle nécessite aussi une analyse technique du site. 

Chez TYTAE, cette partie peut notamment consister à identifier les scripts et services externes utilisés, analyser les cookies réellement déposés, vérifier le comportement des formulaires, contrôler le déclenchement des services soumis au consentement ou encore remplacer certaines solutions par des alternatives plus respectueuses des données. 

L’objectif n’est pas d’ajouter une couche de contraintes au site, mais de comprendre précisément son fonctionnement afin de pouvoir appliquer les bonnes règles. 

Une approche pragmatique du RGPD 

Pour un site qui travaille avec plusieurs services ou prestataires internationaux, la bonne méthode consiste finalement à ne pas partir d’une liste générique d’interdictions. 

Il faut partir du fonctionnement réel du site. 

Où sont les utilisateurs ? Quelles données sont collectées ? Où sont-elles envoyées ? Quels services les reçoivent ? Et pourquoi ? 

Ce sont les réponses à ces questions qui permettent de déterminer les obligations applicables. 

Le RGPD n’interdit donc ni les sites internationaux ni l’utilisation de services étrangers. Il impose surtout que la circulation des données personnelles soit comprise, maîtrisée et correctement encadrée. 

Besoin de savoir quelles données votre site transmet réellement ? 

TYTAE peut réaliser l’analyse technique de votre site WordPress afin d’identifier les cookies, scripts, formulaires et services externes utilisés, puis mettre en place les adaptations techniques nécessaires à votre démarche de conformité. 

Pour approfondir le sujet, vous pouvez également consulter directement les ressources officielles de la CNIL sur les transferts hors de l’Union européenne, les règles relatives aux cookies et traceurs et le texte complet du RGPD sur EUR-Lex. 

Cet article fournit des informations générales sur les aspects techniques et réglementaires liés aux sites internet. Il ne constitue pas un conseil juridique.