RGPD pour une boutique en ligne

Le RGPD (Règlement général sur la protection des données de l'UE, règlement 2016/679) est la loi de l'UE sur le traitement des données personnelles. Il s'applique aussi à une boutique située hors de l'UE si elle propose des biens à des personnes qui se trouvent dans l'UE, ou si elle y suit leur comportement.

Ceci n'est pas un conseil juridique : vous trouverez ci-dessous ce que disent les sources, avec les liens. Pour votre cas, il vous faut un juriste spécialisé en RGPD.

Quand le RGPD s'applique à une boutique hors de l'UE

Selon l'art. 3, par. 2 du RGPD, le règlement s'applique aux entreprises établies hors de l'UE si elles traitent les données de personnes qui se trouvent dans l'UE et que le traitement est lié :

• à l'offre de biens ou de services à ces personnes, qu'un paiement soit exigé ou non, ou
• au suivi de leur comportement dans l'UE (RGPD, art. 3).

Comment savoir si l'on « propose » des biens dans l'UE ? Le considérant 23 dit : il faut déterminer s'il est évident que l'entreprise envisage de proposer des biens à des personnes dans un ou plusieurs pays de l'UE. La simple accessibilité d'un site web dans l'UE, une adresse e-mail ou des coordonnées, ou une langue utilisée dans le pays du vendeur ne suffisent pas. Une langue ou une monnaie communément utilisée dans un ou plusieurs pays de l'UE, associée à la possibilité de commander des biens, ainsi que la mention de clients de l'UE, peuvent révéler une telle intention. Lisez le texte complet du considérant 23 dans le RGPD.

Un exemple pour illustrer : une boutique établie hors de l'UE dont le site est en polonais, avec des prix en zlotys et une livraison à Varsovie, « propose » très probablement des biens dans l'UE. Une boutique qui n'a qu'une version dans la langue de son pays et ne livre que dans ce pays ne le fait très probablement pas, même si quelqu'un de l'étranger a ouvert le site par hasard.

Si le RGPD s'applique à vous, l'art. 27 exige de désigner par écrit un représentant dans l'UE, mais pas pour un traitement occasionnel qui ne comporte pas de traitement à grande échelle de catégories particulières de données et qui n'est pas susceptible d'engendrer un risque pour les droits des personnes (RGPD, art. 27). Une boutique qui reçoit régulièrement des commandes de l'UE a peu de chances de relever de cette exception : demandez conseil à un juriste.

Quelles données une boutique collecte

Nom, téléphone, adresse de livraison, e-mail, historique des commandes, informations de paiement, adresse IP, identifiants dans les cookies, abonnement à la newsletter. Tout cela peut compter comme données personnelles s'il permet d'identifier une personne.

Ce que doit faire une boutique : les obligations principales

1. Avoir une base juridique pour chaque traitement (art. 6) : le consentement ; les besoins d'un contrat (commande et livraison) ; le respect de la loi (comptabilité) ; un intérêt légitime, s'il ne prévaut pas sur les droits de la personne ; et d'autres. Pour une commande, la base est généralement le contrat ; pour les newsletters et la publicité, le consentement.
2. Respecter les règles du consentement (art. 7) : libre, spécifique, éclairé, univoque ; vous devez pouvoir le prouver ; le retirer doit être aussi simple que le donner. Pour apprécier si le consentement est libre, le règlement dit de tenir le plus grand compte du fait que l'exécution d'un contrat est subordonnée ou non au consentement à des données qui ne sont pas nécessaires au contrat (art. 7, par. 4). Plus d'informations : bandeau de cookies.
3. Informer les personnes (art. 13) : qui vous êtes, pourquoi vous collectez des données, à qui vous les transmettez, combien de temps vous les conservez, quels droits les personnes ont. C'est la politique de confidentialité sur le site et à côté des formulaires.
4. Répondre aux demandes : dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande ; ce délai peut être prolongé de deux mois supplémentaires si la demande est complexe (art. 12, par. 3).
5. Avoir des contrats avec les sous-traitants (art. 28) : CRM, e-mail, analytique, logistique.
6. Protéger les données et notifier une violation : dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à l'autorité de contrôle, si la violation est susceptible d'engendrer un risque pour les personnes (art. 33).
7. Transferts de données hors de l'EEE : le chapitre V (art. 44 et suivants) fixe des conditions.
8. Registre des traitements (art. 30) : l'exemption pour les entreprises de moins de 250 salariés ne s'applique pas si le traitement n'est pas occasionnel, comporte un risque ou porte sur des catégories particulières de données. Pour une boutique qui reçoit des commandes en permanence, il est plus simple de tenir un registre.
9. Cookies et pixels : une règle distincte de la directive ePrivacy, voir cookies et Consent Mode.

Amendes

Le RGPD fixe des plafonds, pas des montants fixes : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les violations énumérées à l'art. 83, par. 4 ; jusqu'à 20 millions d'euros ou 4 % pour les violations énumérées à l'art. 83, par. 5, le montant le plus élevé étant retenu (RGPD, art. 83). Le montant imposé dans chaque cas est décidé par l'autorité de contrôle.

Ce qui change : Digital Omnibus

En novembre 2025, la Commission européenne a proposé de simplifier les règles (Digital Omnibus), notamment sur les cookies. Le Comité européen de la protection des données (EDPB) et le Contrôleur européen de la protection des données (EDPS), dans l'avis conjoint 2/2026 (10 février 2026), ont appelé à ne pas adopter les modifications proposées de la définition des données personnelles (EDPB). Selon une analyse juridique, le 21 octobre 2026, le Conseil a convenu d'un mandat : il a laissé inchangée la définition des données personnelles de l'art. 4, par. 1 et n'a pas transféré les règles sur les cookies dans le RGPD ; le Parlement européen n'avait pas adopté de position au 24 octobre 2026 (Legal247). Il s'agit d'une proposition, pas d'une loi : les règles actuelles du RGPD s'appliquent.

Erreurs fréquentes

• penser que le RGPD « ne nous concerne pas » parce que la boutique est hors de l'UE, alors que le site vise des acheteurs de l'UE ;
• recueillir le consentement avec une case « J'accepte tout » en même temps que les conditions de vente ;
• ne pas avoir de politique de confidentialité dans la langue des acheteurs ;
• transmettre des données à un service tiers sans contrat ;
• ne pas savoir quel employé est responsable des demandes des personnes et des violations de données.

FAQ

Une boutique établie hors de l'UE doit-elle respecter le RGPD ? Si vous proposez des biens à des personnes dans l'UE ou si vous suivez leur comportement (art. 3, par. 2), oui.

Ai-je besoin d'un représentant dans l'UE ? Selon l'art. 27, si l'art. 3, par. 2 s'applique, oui, à l'exception de cas limités de traitement occasionnel.

Quelle est l'amende en cas de violation du RGPD ? Les plafonds : 10 millions d'euros ou 2 % et 20 millions d'euros ou 4 % du chiffre d'affaires selon la violation (art. 83).

Faut-il un consentement pour une newsletter ? Le consentement est l'une des bases du traitement (art. 6, par. 1, point a) ; les newsletters relèvent aussi de règles nationales distinctes, qu'il faut vérifier séparément.

De combien de temps dispose-t-on pour répondre à la demande d'une personne ? Un mois, avec une prolongation possible de deux mois supplémentaires (art. 12, par. 3).

Termes associés

• Cookies
• Bandeau de cookies
• CRM pour une boutique en ligne

Sources

• Règlement (UE) 2016/679 (RGPD), art. 3, 4, 6, 7, 12, 13, 27, 28, 30, 33, 83, considérant 23 — eur-lex.europa.eu/eli/reg/2016/679/oj
• EDPB-EDPS, news on the joint opinion on the Digital Omnibus (11.02.2026) — edpb.europa.eu/news/digital-omnibus-edpb-and-edps-support-simplification-and-competitiveness-while-raising-key_en
• Legal247, Digital Omnibus and the GDPR: the Council mandate — legal247.no/en/insights/digital-omnibus-gdpr