Un règlement, pas une mise en œuvre identique
Le RGPD est un règlement européen, ce qui signifie que le texte s'applique directement dans chaque pays de l'UE, sans qu'un pays doive d'abord le transposer dans sa propre législation. Cela rend le RGPD différent des règles d'accessibilité, par exemple, qui ont été transposées en législation nationale dans chaque pays. Néanmoins, la mise en œuvre n'est pas identique partout : le règlement laisse une certaine marge à un nombre limité de dispositions pour que les États membres décident eux-mêmes de la mise en œuvre, et l'autorité de contrôle auprès de laquelle vous vous adressez dépend du lieu d'établissement de votre entreprise.
Pour une entreprise qui vend à des clients dans plusieurs pays de l'UE à partir des Pays-Bas, cela signifie principalement que vous ne pouvez pas automatiquement supposer une interprétation unique qui est la même partout. Les dispositions qui diffèrent précisément pour votre entreprise et ce que cela signifie concrètement relèvent de la responsabilité d'un juriste ou de l'autorité de contrôle compétente. Cet article décrit où se situent généralement ce type de différences, non pas comment elles s'appliquent à votre situation.
Où les pays ont une marge de manœuvre
Le RGPD contient un certain nombre de sujets sur lesquels les États membres peuvent faire leurs propres choix dans la marge fixée par le règlement. Un exemple bien connu est l'âge auquel les enfants peuvent donner leur consentement à l'utilisation de services en ligne ; cet âge n'est pas exactement le même dans chaque pays. La manière dont les données personnelles des salariés peuvent être traitées peut également être remplie différemment d'un pays à l'autre. Ce sont des exemples du type de différences qui peuvent survenir, pas une liste complète ni une description de la situation actuelle d'un pays spécifique : vous la trouverez dans la législation de transposition nationale ou auprès de l'autorité de contrôle du pays en question.
Le siège social et l'autorité de contrôle chef de file
Si votre entreprise est active dans plusieurs pays de l'UE, la question de savoir quelle autorité de contrôle est effectivement le point de contact se pose également. Le RGPD dispose d'un mécanisme selon lequel les entreprises ayant des établissements dans plusieurs États membres ont généralement affaire à une seule autorité de contrôle chef de file, associée au lieu du siège social. Cela n'exclut pas que les autorités de contrôle d'autres pays puissent être impliquées en cas de plainte ou de litige. La façon dont cela fonctionne exactement pour votre entreprise dépend du lieu où vous êtes établi et de la façon dont vos activités dans d'autres pays sont organisées ; c'est une question à poser à l'Autorité de protection des données ou à un juriste, pas quelque chose sur lequel cet article se prononce.
Vendez-vous à l'UE sans établissement dans l'UE ?
Un autre scénario est que votre entreprise est établie en dehors de l'UE, mais offre néanmoins des produits ou des services aux personnes dans l'UE. Dans ce cas, une obligation peut s'appliquer de désigner un représentant au sein de l'UE. Là aussi, il faut retenir que déterminer si cette obligation s'applique à votre entreprise et à quelles conditions précises elle doit répondre est une question à étudier avec un juriste ou l'autorité de contrôle.
Ce que cela signifie pour votre administration
Indépendamment de la façon dont les règles substantielles s'appliquent exactement, la vente dans plusieurs pays de l'UE entraîne souvent la même charge pratique : vous devez maintenir à jour votre registre de traitement, votre déclaration de confidentialité et vos accords avec vos prestataires, et ce en plus des autres obligations européennes qui peuvent peser sur une boutique en ligne avec des produits de marque propre, telles que la sécurité des produits, l'emballage et l'accessibilité. consulter les plateformes qui existent pour chaque obligation donne une vue d'ensemble du lieu où chaque sujet est abordé.
Une grande partie de cette charge administrative ne provient pas des règles elles-mêmes, mais du fait que vous devez soumettre à nouveau les mêmes données d'entreprise et les mêmes dossiers chaque fois qu'un nouveau pays ou une nouvelle plateforme s'ajoute. Le rôle que joue reglia à cet égard, et surtout ce qu'il ne fait pas avec vos données, est décrit sur la page sur le fonctionnement de reglia. Pour les questions concernant la sécurité et la gestion des données partagées entre les plateformes, il y a un aperçu distinct sur la page sur la sécurité et les données.
Où vous clarifiez cela pour votre entreprise
Le fait que ces différences s'appliquent à votre entreprise dépend du lieu où vous êtes établi, des pays dans lesquels vous êtes actif et de la façon dont votre structure commerciale est organisée. C'est une question que vous pouvez au mieux soumettre à un juriste ou à l'Autorité de protection des données, éventuellement en combinaison avec le régulateur de l'autre pays. Vous trouverez également de nombreuses questions fréquemment posées sur la manière dont ce type de sujets s'articule avec le reste de vos obligations de conformité sur la page des questions fréquemment posées.
Si vous souhaitez savoir quelles sont les plateformes disponibles pour les différentes obligations européennes auxquelles votre entreprise pourrait être confrontée, et comment elles fonctionnent indépendamment et conjointement avec reglia, c'est un bon point de départ pour explorer davantage.