Réponse courte
Le RGPD lui-même ne change pas dès que vous vendez également à des clients à l'étranger. Le règlement est un règlement européen, non une directive, et s'applique donc directement et de la même manière dans chaque État membre de l'UE et de l'EEE. Ce qui varie effectivement ne se trouve pas dans le RGPD lui-même, mais dans les lois nationales qui subsistent à côté de celui-ci, comme les règles relatives aux cookies, et dans des questions pratiques telles que la langue de votre déclaration de confidentialité et l'autorité de surveillance que vous contactez en cas de question ou de plainte.
Pour une boutique en ligne qui vend uniquement aux Pays-Bas, cette distinction n'est souvent pas pertinente. Dès que vous avez des visiteurs ou des clients dans d'autres pays de l'UE, ou en dehors, il est bon de savoir où s'arrête la base commune et où les règles nationales ou le transfert international deviennent pertinents.
Pourquoi la base est identique partout
Parce que le RGPD est un règlement, les États membres n'ont pas besoin de le transposer d'abord dans leur propre législation, contrairement à ce qui est nécessaire avec une directive européenne. Les droits des personnes concernées, les fondements du traitement et l'obligation de tenir un registre des activités de traitement s'appliquent donc avec le même libellé en Allemagne, en France ou en Espagne qu'aux Pays-Bas. Les différences d'interprétation surviennent principalement parce que les autorités de surveillance de différents pays mettent parfois l'accent légèrement différemment dans leurs lignes directrices, ce que vous retrouvez dans les publications du Comité européen de la protection des données et des autorités nationales de surveillance elles-mêmes.
Où les différences existent réellement : cookies et technologies similaires
Le placement de cookies et de technologies similaires sur l'ordinateur d'un visiteur ne relève pas du RGPD, mais des règles ePrivacy. Celles-ci sont établies en Europe dans une directive, et une directive doit être transposée dans la législation nationale de chaque pays. De ce fait, la manière dont le consentement aux cookies doit être demandé et enregistré peut différer en détail entre les pays, même si le point de départ est partout comparable. Pour une boutique en ligne qui cible plusieurs pays, c'est l'un des rares endroits où les règles diffèrent réellement d'un pays à l'autre, et pas seulement dans leur interprétation.
Langue et obligation d'information
Le RGPD exige que les informations destinées aux personnes concernées soient compréhensibles, mais ne fournit pas de liste fixe de langues obligatoires. En pratique, les autorités de surveillance regardent qui visite votre boutique en ligne : si vous ciblez activement des clients en Allemagne, une déclaration de confidentialité en allemand s'impose d'elle-même, simplement parce que les informations ne seraient autrement pas compréhensibles pour ce groupe cible. Ce n'est pas une règle juridique distincte par pays, mais une mise en œuvre pratique de la même exigence qui s'applique partout.
Traitement transfrontalier et l'autorité de surveillance compétente
Lorsque votre entreprise est active dans plusieurs pays de l'UE, la question peut se poser de savoir quelle autorité de surveillance est compétente en cas de problème. Le RGPD prévoit à cet effet le mécanisme dit du guichet unique : les entreprises ayant des établissements dans plusieurs États membres sont confrontées dans certains cas à une seule autorité de surveillance chef de file, généralement celle du pays où se situe l'établissement principal. Pour une petite entreprise ayant uniquement un établissement aux Pays-Bas qui vend occasionnellement à des clients étrangers, c'est différent que pour une entreprise ayant plusieurs établissements dans l'UE. La mise en œuvre précise de ceci est décrite dans le RGPD lui-même et dans les lignes directrices du Comité européen de la protection des données ; pour votre situation personnelle, c'est une question pour un juriste ou l'autorité de surveillance compétente, et non quelque chose que vous devez évaluer vous-même.
Vente en dehors de l'UE et de l'EEE
Une autre situation se présente dès que les données des clients quittent le territoire de l'UE et de l'EEE, par exemple parce qu'un fournisseur, un prestataire de paiement ou un prestataire d'hébergement est établi en dehors de l'Europe. Il ne s'agit plus de différences entre les pays de l'UE, mais des règles relatives aux transferts de données à caractère personnel vers un pays situé en dehors de ce territoire. Le RGPD l'autorise sous certaines conditions, comme une décision d'adéquation de la Commission européenne pour le pays concerné, ou des garanties supplémentaires comme les clauses contractuelles types. C'est l'un des points pour lequel un contrat de traitement avec une partie étrangère mérite une attention particulière, et à ce sujet la banque de connaissances par sujet explique le contexte.
Ce que cela signifie pour votre registre et vos documents
Pour le registre lui-même, rien ne change quant à l'obligation : vous documentez les traitements qui ont lieu, leur finalité et leur base juridique, quel que soit le pays où se trouvent vos clients. Ce qui est judicieux de documenter, c'est si et où les données quittent le territoire de l'UE et de l'EEE, afin que cela reste transparent si un client, une autorité de contrôle ou un assureur le demande. Qui souhaite maîtriser cet aspect sans devoir le suivre manuellement peut le faire suivre dans l' aperçu de l'endroit où les données se trouvent et comment elles sont sécurisées.
Que votre boutique en ligne ne fasse que commencer à vendre à l'étranger ou que vous le fassiez depuis longtemps, l'essentiel est de distinguer ce que le RGPD lui-même régit de ce qui dépend de lois nationales ou de transferts en dehors de l'Europe. Les réponses aux questions fréquemment posées à ce sujet, y compris la référence au texte officiel, se trouvent dans la collection de questions fréquemment posées.
Voulez-vous voir comment cela fonctionne dans votre propre entreprise, sans avoir à y passer vous-même un après-midi ? Avec le diagnostic rapide gratuit, vous obtenez une première indication et pouvez ensuite décider vous-même si un compte professionnel pourrait vous être utile.