À quels pays le RGPD s'applique-t-il ?
%20(1).png)
DPO Consulting Rejoint Grant Thornton
Si votre entreprise traite des données personnelles, vous devez avoir entendu parler du Règlement général sur la protection des données (RGPD). Il est considéré comme la référence absolue en matière de réglementation de la confidentialité des données. Mais à quels pays le RGPD s'applique-t-il exactement, et lesquels restent en dehors de son champ ?
Bien que le règlement soit originaire de l'UE, son impact s'étend bien au-delà de l'Europe. Il influence les lois et les pratiques commerciales mondiales en matière de protection des données. Dans cet article, nous allons explorer les pays couverts par le RGPD. Nous parlerons également de ceux qui ont des réglementations similaires et des défis auxquels sont confrontés les pays non couverts par le RGPD.
Le Règlement général sur la protection des données (RGPD) est une législation sur la confidentialité des données adoptée par l'Union européenne en 2016 et applicable depuis le 25 mai 2018. Il a remplacé la directive européenne sur la protection des données de 1995.
Le RGPD vise à unifier les lois sur la protection des données dans les États membres de l'UE et à renforcer les droits à la vie privée des individus. Il régit la manière dont les données personnelles sont collectées, traitées, stockées et partagées tout en garantissant la transparence et la responsabilité des organisations qui traitent ces données.
À cette fin, le RGPD établit des directives strictes concernant la confidentialité des données des personnes au sein de l'UE et de l'Espace économique européen (EEE). Le règlement vise à donner aux individus un meilleur contrôle sur leurs informations personnelles tout en responsabilisant les entreprises des pays du RGPD en matière de protection des données. Pour approfondir, consultez notre article À qui s'applique le RGPD ?
Si votre entreprise exerce ses activités en Europe ou gère des données personnelles de citoyens européens, il est essentiel de comprendre où s'applique le RGPD. Le règlement s'applique également à certains pays non membres de l'UE faisant partie de l'Espace économique européen (EEE). Ces pays sont directement régis par le RGPD. Explorons donc les pays couverts par le RGPD.
La liste des pays du RGPD inclut les 27 États membres de l'UE. Il s'agit de l'Autriche, de la Belgique, de la Bulgarie, de la Croatie, de Chypre, de la République tchèque, du Danemark, de l'Estonie, de la Finlande, de la France, de l'Allemagne, de la Grèce, de la Hongrie, de l'Irlande, de l'Italie, de la Lettonie, de la Lituanie, du Luxembourg, de Malte, des Pays-Bas, de la Pologne, du Portugal, de la Roumanie, de la Slovaquie, de la Slovénie, de l'Espagne et de la Suède. Ces régions du RGPD respectent des exigences strictes en matière de protection des données personnelles.
Outre la liste des pays du RGPD, trois pays de l'EEE ne faisant pas partie de l'UE appliquent également le RGPD. Il s'agit de l'Islande, du Liechtenstein et de la Norvège. Ces pays ont intégré le RGPD dans leur législation nationale dans le cadre de leurs accords avec l'UE.
La liste des pays concernés par le RGPD compte 30 pays. Les voici en un coup d'œil.
Toute organisation établie dans l'un de ces 30 pays, ou qui y cible des personnes, entre dans le champ du règlement.
Le RGPD va au-delà des frontières européennes et oblige les entreprises du monde entier à s'y conformer si elles traitent les données personnelles de personnes dans l'UE ou l'EEE. Alors, dans quels pays le RGPD s'applique-t-il indirectement ? Potentiellement dans tous : même si une organisation est basée en dehors des régions du RGPD, elle doit respecter ses règles sous certaines conditions.
Les organisations situées en dehors de l'UE/EEE doivent se conformer au RGPD (article 3.2) si elles :
Cela vaut pour les entreprises de toutes tailles, qu'il s'agisse de multinationales ou de petits magasins de commerce électronique qui vendent à des clients de l'UE.
Les entreprises situées en dehors de l'UE/EEE qui entrent dans le champ d'application du RGPD doivent respecter les mesures suivantes :
En vertu de l'article 45 du RGPD, la Commission européenne a déterminé que les territoires non membres de l'UE/EEE suivants offraient une protection « essentiellement équivalente » afin que des données personnelles puissent leur être transmises depuis l'UE/EEE sans clauses contractuelles types ou règles d'entreprise contraignantes :
Il est important de noter que les décisions d'adéquation sont revues au moins tous les quatre ans et peuvent être suspendues en cas d'érosion des protections. La Commission a par ailleurs reconnu l'Organisation européenne des brevets comme adéquate en juillet 2025, première organisation internationale à obtenir ce statut.
Au-delà du RGPD, de nombreuses juridictions ont adopté leurs propres régimes de confidentialité complets pour donner aux individus le contrôle de leurs données personnelles et imposer des obligations strictes aux organisations. Certains ont même obtenu une décision d'adéquation de l'UE, permettant des flux de données fluides en provenance de l'UE/EEE ; d'autres restent des cadres « de type RGPD » sans cette reconnaissance officielle. Ensemble, ces lois représentent une convergence mondiale vers des normes de protection des données plus strictes, même si tous ces États ne sont pas pour autant des pays conformes au RGPD au sens strict.
Examinons en détail comment différents pays ont mis en œuvre des réglementations similaires à celles des pays européens du RGPD.
Le CCPA est une loi de l'État qui est entrée en vigueur le 1er janvier 2020, accordant aux résidents de Californie le droit d'accéder à leurs informations personnelles, de les supprimer et de s'opposer à leur vente, et imposant des obligations de sécurité des données aux entreprises.
La LPRPDE fédérale du Canada, en vigueur depuis le 1er janvier 2001, réglemente la manière dont les organisations du secteur privé collectent, utilisent et divulguent les données personnelles dans le cadre des activités commerciales, et a été jugée « adéquate » par l'UE pour les transferts de données.
À compter du 16 août 2020, la LGPD (Loi 13 709/2018) reflète étroitement les exigences du RGPD en matière de consentement, de droits des personnes concernées (accès, correction, effacement), de notification des violations et de portée extraterritoriale. Cette convergence a abouti le 27 janvier 2026 à des décisions d'adéquation mutuelles entre l'UE et le Brésil, qui libèrent les flux de données entre les deux zones.
L'APPI japonaise, modifiée de manière significative en 2020, a renforcé les exigences en matière de consentement et les droits des utilisateurs, et la Commission européenne l'a reconnue comme fournissant des garanties « adéquates » pour les transferts de données entre l'UE et le Japon.
Promulguée le 20 août 2021 (entrée en vigueur le 1er novembre 2021), la PIPL impose des règles strictes en matière de consentement, de transparence et de localisation des données, avec des pénalités pouvant atteindre 5 % du chiffre d'affaires annuel, ce qui est fréquemment comparé à la rigueur du RGPD.
Initialement adoptée en 2011 et révisée en 2020, la PIPA accorde de larges droits aux personnes concernées, impose des notifications de violation et est appliquée par une commission indépendante de protection des informations personnelles.
La PDPA a été promulguée le 28 mai 2019 et est pleinement applicable depuis le 1er juin 2022, introduisant des bases juridiques de type RGPD pour le traitement, les droits des utilisateurs (accès, effacement) et un comité chargé de superviser les transferts transfrontaliers de données.
La loi australienne sur la protection de la vie privée (modifiée à plusieurs reprises) établit les principes de confidentialité australiens (APP) couvrant les obligations de collecte, d'utilisation, de divulgation et de notification des violations pour les agences gouvernementales et les grandes entités privées.
La POPIA, adoptée le 19 novembre 2013 et pleinement en vigueur le 1er juillet 2021, crée les conditions d'un traitement légal (consentement, nécessité), impose des notifications de violation et a créé un régulateur de l'information indépendant.
Promulguée le 11 août 2023, la DPDPA a introduit des droits inspirés du RGPD (accès, correction, effacement), des exigences de consentement et établit un Conseil de protection des données pour statuer sur les litiges.
Exemples de pays non membres de l'UE/EEE dotés de lois similaires
Après le Brexit, le Royaume-Uni a pris le contrôle de ses lois sur la protection des données. Cependant, cela ne signifie pas que le RGPD a disparu. Au lieu de cela, le Royaume-Uni a conservé la majeure partie du cadre du RGPD dans le cadre du RGPD britannique, garantissant ainsi la continuité avec les pays couverts par le règlement, statut confirmé par une décision d'adéquation.
Les entreprises qui traitent les données du Royaume-Uni et de l'UE doivent désormais se conformer à la fois au RGPD britannique et au RGPD de l'UE, en particulier en ce qui concerne les transferts de données transfrontaliers, les obligations de conformité et la surveillance réglementaire.
Lorsque le Royaume-Uni a quitté l'UE le 1er janvier 2021, il est effectivement devenu un « pays tiers » au regard de la législation de l'UE. Cela signifiait que le RGPD de l'UE ne s'appliquait plus directement au Royaume-Uni.
Pour maintenir la continuité, le Royaume-Uni a fusionné le RGPD de l'UE avec sa loi de protection des données de 2018 existante pour créer le RGPD britannique. La loi sur la protection des données de 2018 (DPA 2018), entrée en vigueur le 25 mai 2018, s'inscrit dans le cadre du RGPD du Royaume-Uni et comble les lacunes. En juin 2025, le Data (Use and Access) Act 2025 a apporté des ajustements ciblés à ce cadre, sans le bouleverser. En savoir plus sur notre comparatif RGPD britannique contre RGPD européen.
Implications pour les transferts de données entre le Royaume-Uni et l'UE/EEE
Les transferts de données post-Brexit reposaient initialement sur un arrangement temporaire permettant des flux de données illimités jusqu'à la mi-2021. L'UE a ensuite accordé au Royaume-Uni un statut d'adéquation officiel en juin 2021, reconnaissant que les lois britanniques sur les données étaient « équivalentes » au RGPD. Cette décision arrivait à échéance en juin 2025. Après une prolongation technique de six mois, la Commission européenne a renouvelé les deux décisions d'adéquation britanniques le 19 décembre 2025, après examen du Data (Use and Access) Act 2025. Les nouvelles décisions courent jusqu'au 27 décembre 2031, avec une revue à mi-parcours au bout de quatre ans.
Voici ce que cela signifie pour les entreprises :
Lorsque les transferts concernent des pays tiers sans statut d'adéquation, les régimes de l'UE et du Royaume-Uni exigent des garanties appropriées en vertu de l'article 46 :
Tous les pays n'ont pas adopté de réglementations de type RGPD, ce qui pose des défis aux entreprises qui gèrent des transferts internationaux de données. Dans les régions où les lois sur la protection des données sont plus faibles ou moins complètes, il peut être complexe de garantir la conformité et de protéger les données personnelles.
Les pays qui ne disposent pas de lois équivalentes au RGPD sont souvent confrontés aux inconvénients suivants :
Plusieurs pays ne disposent toujours pas de lois pleinement équivalentes au RGPD ou reconnues comme adéquates par l'UE par exemple :
Les pays conformes au RGPD ont renforcé la confidentialité des données dans le monde entier tout en relevant la barre en matière de protection des données. Les pays, les entreprises et les organismes de réglementation ont adapté leurs politiques pour les aligner sur les principes du RGPD. Cela a conduit à un écosystème numérique plus respectueux de la vie privée.
De nombreux pays non couverts par le RGPD ont introduit ou mis à jour leurs lois sur la protection des données afin de les aligner sur cette réglementation. L'objectif était de faciliter les transferts de données transfrontaliers et de maintenir des relations commerciales avec l'UE.
La portée extraterritoriale du RGPD a également rapproché les réglementations relatives à la conformité des données dans de multiples juridictions.
L'impact du RGPD ne se limite pas aux entreprises. Il bénéficie aux consommateurs du monde entier de la manière suivante :
Les idées reçues sur les pays couverts par le RGPD coûtent cher aux entreprises, car elles conduisent soit à des efforts de conformité inutiles, soit à des angles morts réglementaires. Voici les plus fréquentes.
Cette liste de vérification résume les points de contrôle pour une organisation qui opère dans plusieurs juridictions, au sein et en dehors des pays couverts par le RGPD.
Alors que le RGPD continue de façonner la protection mondiale des données, il est plus important que jamais de rester en conformité. Cela vous aide à conserver la confiance de vos clients et à éviter les risques juridiques.
Chez DPO Consulting, nous aidons les entreprises à gérer les complexités du RGPD grâce à des conseils d'experts, à des stratégies de conformité personnalisées et à des informations réglementaires actualisées.
Contactez-nous dès aujourd'hui : prenez rendez-vous avec un expert RGPD pour évaluer votre exposition internationale.
Investir dans les efforts de conformité au RGPD peut peser lourdement sur les grandes entreprises ainsi que sur les petites et moyennes entreprises (PME). Le recours à une ressource ou à une assistance externe peut alléger la charge d'un audit interne pour l'ensemble des entreprises et alléger la pression sur les finances, les capacités technologiques et l'expertise de l'entreprise.
Les auditeurs externes et les partenaires experts tels que DPO Consulting sont bien placés pour aider les organisations à gérer efficacement la nature complexe des audits du RGPD. Ces professionnels formés agissent comme une extension de votre équipe, aidant à rationaliser les processus d'audit, à identifier les domaines à améliorer, à mettre en œuvre les changements nécessaires et à garantir la conformité au RGPD.
Choisir le bon partenaire offre l'avantage de l'impartialité et du respect des normes du secteur et permet de débloquer une multitude de ressources telles que des informations spécifiques au secteur, ce qui se traduit par des évaluations impartiales et une conformité réussie. Travailler avec DPO Consulting se traduit par un gain de temps précieux et allège la charge de travail du personnel interne, tout en réduisant considérablement les coûts de l'entreprise.
Oui. Dans quels pays le RGPD s'applique-t-il au-delà de l'UE ? D'abord dans les trois pays de l'EEE (Islande, Liechtenstein, Norvège), qui l'appliquent directement. Ensuite, partout dans le monde par sa portée extraterritoriale : toute organisation qui propose des biens ou services à des personnes situées dans l'UE/EEE, ou qui surveille leur comportement, doit s'y conformer (article 3.2).
Seize juridictions sont reconnues adéquates par la Commission européenne : Andorre, l'Argentine, le Brésil (depuis janvier 2026), le Canada (organisations commerciales), la Corée du Sud, les Îles Féroé, Guernesey, l'Île de Man, Israël, le Japon, Jersey, la Nouvelle-Zélande, le Royaume-Uni, la Suisse, l'Uruguay et les États-Unis (entreprises certifiées au Data Privacy Framework), auxquelles s'ajoute l'Organisation européenne des brevets.
Les pays concernés appliquent directement le RGPD : ce sont les 27 États membres de l'UE et les 3 pays de l'EEE. Les pays adéquats restent des pays tiers avec leur propre loi, que la Commission juge essentiellement équivalente : les données peuvent y être transférées librement depuis l'UE/EEE, sans clauses contractuelles types.
Les États-Unis ne sont pas un pays couvert par le RGPD et n'ont pas de loi fédérale équivalente. Le règlement s'applique néanmoins à toute entreprise américaine qui cible ou surveille des personnes situées dans l'UE/EEE. Pour les transferts de données depuis l'Europe, l'adéquation ne vaut que pour les entreprises américaines certifiées au Data Privacy Framework ; pour les autres, des garanties comme les clauses contractuelles types restent nécessaires.
.svg)
%20(1).png)
