Publié le 28 juillet 2026
À retenir
- Le RGPD (règlement général sur la protection des données, ou GDPR en anglais) s’applique à une entreprise québécoise dès qu’elle offre des biens ou services à des résidents européens ou suit leur comportement en ligne — peu importe où elle est établie.
- Avoir quelques visiteurs européens sur son site ne suffit pas à déclencher le règlement. Ce qui compte, c’est l’intention de cibler ce marché : prix en euros, livraison en Europe, site traduit, publicité géociblée.
- Les sanctions atteignent 20 millions d’euros ou 4 % du chiffre d’affaires mondial. Les autorités européennes ont déjà sanctionné des entreprises nord-américaines sans établissement en Europe.
- Une PME déjà conforme à la Loi 25 a fait 80 % du chemin : il reste à formaliser une base légale par traitement, permettre le retrait du consentement, et parfois désigner un représentant dans l’Union.
Cet article vulgarise des obligations réglementaires pour des dirigeants de PME. Il ne constitue pas un avis juridique : validez votre situation particulière auprès d’un conseiller spécialisé.
Qu’est-ce que le RGPD ?
Le RGPD est le règlement européen qui encadre le traitement des données personnelles depuis mai 2018. Il a servi de modèle à la plupart des réformes adoptées ailleurs dans le monde, dont la Loi 25 québécoise. Le principe fondateur du RGPD : une organisation ne peut traiter des données personnelles que si elle dispose d’une justification légale précise, et la personne concernée conserve un contrôle réel sur ses informations.
Sa particularité, et la raison pour laquelle il concerne des entreprises québécoises, tient à sa portée extraterritoriale : le RGPD suit la donnée du résident européen, pas le siège social de l’entreprise qui la traite.
Quand une PME québécoise est-elle vraiment concernée ?
Le RGPD s’applique à une entreprise québécoise, comme à toute entreprise hors Union européenne, dans deux situations : lorsqu’elle offre des biens ou des services à des personnes situées dans l’Union, même gratuitement, et lorsqu’elle suit leur comportement en ligne. C’est l’article 3 du règlement qui établit cette portée.
La nuance est importante : recevoir passivement quelques visites depuis la France ne vous soumet pas au RGPD. Les autorités européennes examinent l’intention manifeste de cibler ce marché. Voici les indices qu’elles retiennent.
- Vous affichez des prix en euros ou proposez la livraison en Europe.
- Votre site mentionne explicitement une clientèle européenne ou des références situées dans l’Union.
- Vous diffusez de la publicité géociblée vers des pays européens.
- Vous utilisez un nom de domaine national européen ou une version linguistique destinée à ce marché.
- Vous suivez le comportement de visiteurs européens : reciblage publicitaire, profilage, enregistrement de sessions.
Ce dernier point piège beaucoup de PME : installer un pixel de reciblage sans exclure le trafic européen revient à suivre le comportement de résidents de l’Union, donc à entrer dans le champ du RGPD.
Ce que le RGPD exige en plus de la Loi 25
Une entreprise déjà conforme à la Loi 25 possède l’essentiel des fondations : politique de confidentialité claire, consentement explicite pour les témoins, responsable désigné, gestion des incidents. Quatre exigences supplémentaires méritent attention.
Une base légale documentée pour chaque traitement
Le RGPD impose de justifier chaque traitement par l’une des six bases légales prévues : consentement, exécution d’un contrat, obligation légale, intérêts vitaux, mission d’intérêt public ou intérêt légitime. Le consentement n’est pas toujours la bonne réponse — traiter l’adresse d’un client pour lui livrer sa commande relève de l’exécution du contrat, pas du consentement. Cette cartographie doit être écrite.
Le retrait du consentement aussi simple que son octroi
Si vous avez obtenu un consentement, la personne doit pouvoir le retirer aussi facilement qu’elle l’a donné. En pratique : un lien de désabonnement fonctionnel dans chaque infolettre, et un moyen accessible de modifier ses préférences de témoins après le premier choix — pas seulement au premier passage.
Un registre des activités de traitement
Ce document interne recense vos traitements : quelles données, pour quelle finalité, conservées combien de temps, partagées avec qui. Les organisations de moins de 250 employés en sont partiellement dispensées, sauf si le traitement est régulier ou porte sur des données sensibles — ce qui vise la plupart des sites commerciaux actifs.
Un représentant dans l’Union européenne
Les entreprises hors Union soumises au règlement doivent généralement désigner un représentant établi dans un État membre, joignable par les personnes concernées et les autorités. Des exemptions existent pour les traitements occasionnels à faible risque. Des prestataires offrent ce service pour quelques centaines d’euros par an.
RGPD : les droits que vos visiteurs européens peuvent exercer
Le RGPD accorde huit droits aux personnes concernées, et vous impose de répondre dans un délai d’un mois. Les plus fréquemment invoqués sont le droit d’accès — obtenir une copie de ses données —, le droit de rectification, le droit à l’effacement, le droit à la portabilité et le droit d’opposition au traitement, notamment à la prospection commerciale.
L’enjeu pratique pour une PME n’est pas juridique mais organisationnel : être capable de retrouver, en quelques jours, l’ensemble des données détenues sur une personne, réparties entre le site, l’infolettre, la facturation et l’outil de gestion des clients. Sans inventaire préalable, l’exercice devient impossible à tenir dans les délais.
Conformité et visibilité : un même socle
Les exigences de conformité au RGPD rejoignent les bonnes pratiques de référencement plus qu’on ne l’imagine. Une page de politique de confidentialité claire et à jour, un auteur identifiable, des coordonnées vérifiables et une gestion propre du consentement constituent exactement les signaux de fiabilité que Google évalue et que les moteurs génératifs examinent avant de citer une source.
À l’inverse, une bannière de témoins mal conçue bloque les scripts et retarde l’affichage, dégradant vos signaux web essentiels. La conformité bien exécutée n’est donc pas un frein à la performance : c’est une composante de la confiance, en ligne comme dans les résultats de recherche. C’est ce que nous vérifions dans un audit SEO et GEO.
Conclusion
La question à se poser n’est pas « suis-je une entreprise européenne » mais « est-ce que je cible activement des résidents européens ». Si la réponse est non, la Loi 25 suffit. Si vous vendez en Europe, affichez des prix en euros ou reciblez des visiteurs européens, le RGPD s’ajoute — et la bonne nouvelle, c’est que votre conformité québécoise couvre déjà l’essentiel du travail.
Pour faire le point sur vos obligations locales, lisez notre article sur la Loi 25 et votre site web. Les termes techniques employés ici sont définis dans le glossaire du SEO, du GEO et du marketing numérique, et un site web conçu pour une PME québécoise intègre ces exigences dès la conception.
Questions fréquentes sur le RGPD au Québec
Mon site est-il soumis au RGPD si des Européens le visitent ?
Pas automatiquement. Recevoir des visites depuis l’Europe ne suffit pas : il faut que votre entreprise cible manifestement ce marché — prix en euros, livraison européenne, publicité géociblée, site traduit pour ce public — ou qu’elle suive le comportement en ligne de ces visiteurs, par exemple avec du reciblage publicitaire. En l’absence de ces éléments, la Loi 25 québécoise s’applique seule.
Quelle est la différence entre le RGPD et la Loi 25 ?
La Loi 25 s’applique aux entreprises exploitant une activité au Québec ; le RGPD suit les données des résidents européens, où qu’elles soient traitées. Les principes se recoupent largement, mais le RGPD exige en plus une base légale documentée pour chaque traitement, un registre des activités et souvent un représentant établi dans l’Union. Une PME peut être soumise aux deux régimes en même temps.
Dois-je désigner un délégué à la protection des données ?
Cette désignation n’est obligatoire que dans trois cas : autorité publique, suivi systématique et à grande échelle de personnes, ou traitement à grande échelle de données sensibles. La grande majorité des PME québécoises n’y est pas tenue. Attention toutefois à ne pas confondre ce rôle avec celui du représentant dans l’Union, qui répond à une logique différente.
Que risque concrètement une PME québécoise non conforme ?
Les amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial, mais une PME sans actifs en Europe est difficile à poursuivre en pratique. Les conséquences les plus tangibles sont commerciales : un client européen exigera votre conformité avant de signer, une place de marché peut suspendre votre compte, et un incident public nuit à la réputation bien au-delà du montant d’une éventuelle amende.
