Le Règlement général sur la protection des données de l’Union européenne peut s’appliquer à une entreprise canadienne qui sert ou surveille des personnes en Europe. Voici quand il s’applique et ce qu’il exige.
- Type
- Règlement de l’UE, directement applicable
- Nom complet
- Règlement (UE) 2016/679, Règlement général sur la protection des données
- Régulateurs
- Autorités de contrôle nationales, coordonnées par le Comité européen de la protection des données
- S’applique aux
- Organisations de l’UE et organisations hors UE qui proposent des biens ou des services à des personnes dans l’UE, ou qui les surveillent
- S’applique depuis le
- 25/05/2018
- Canada
- Adéquation partielle pour les organisations commerciales régies par la LPRPDE
Ce que c’est
Le RGPD définit les principes du traitement des données à caractère personnel, ses bases légales, les droits des individus et les obligations des responsables du traitement et des sous-traitants : registres des activités de traitement, analyses d’impact, délégués à la protection des données, notification des violations et règles sur les transferts internationaux.
Pourquoi il existe
Pour protéger le droit fondamental à la protection des données de la Charte de l’UE et pour harmoniser les règles afin que les données personnelles puissent circuler librement au sein du marché unique.
À qui il s’applique
Aux organisations établies dans l’UE ou l’EEE, ainsi qu’aux organisations hors UE, y compris canadiennes, qui proposent des biens ou des services à des personnes dans l’UE ou surveillent leur comportement, par exemple via le traçage Web. Celles-ci doivent généralement nommer un représentant dans l’UE.
Autorité et application
L’autorité de contrôle de chaque pays de l’UE fait appliquer le RGPD, avec une autorité chef de file pour les cas transfrontaliers. Le Comité européen de la protection des données émet des lignes directrices et des décisions contraignantes. Les autorités peuvent enquêter, ordonner des changements, interdire le traitement et imposer des amendes.
- 24/10/1995
Adoption de la directive 95/46/CE, la prédécesseure.
- 25/01/2012
La Commission européenne propose un règlement.
- 27/04/2016
Le RGPD est adopté.
- 25/05/2018
Le RGPD s’applique dans toute l’UE.
- 16/07/2020
L’arrêt Schrems II invalide le bouclier de protection des données UE-États-Unis.
- 10/07/2023
Adoption de la décision d’adéquation relative au cadre de protection des données UE-États-Unis.
- 19/11/2025
La Commission propose le « Digital Omnibus », incluant des modifications ciblées du RGPD.
- 12/12/2025
Publication d’un règlement sur les procédures d’application transfrontalière du RGPD ; il s’applique à partir du 02/04/2027.
Systèmes et outils
- Consentement aux cookies avec option d’adhésion préalable
- Registres des activités de traitement
- Outils de transfert tels que les clauses contractuelles types
Processus
- Cartographie des bases légales pour chaque finalité de traitement
- Analyses d’impact pour les traitements à haut risque
- Notification de violation à l’autorité sous 72 heures
- Réponses aux individus dans un délai d’un mois
Gouvernance
- Un délégué à la protection des données lorsque requis
- Un représentant dans l’UE si vous êtes hors de l’UE
- Accords de sous-traitance (Article 28)
- Protection des données dès la conception et par défaut
En cas de non-conformité
- Amendes jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu
- Amendes jusqu’à 10 millions d’euros ou 2 % pour les autres infractions
- Injonctions de cesser le traitement ou de suspendre les transferts
- Demandes d’indemnisation de la part des individus
Changements annoncés et à venir
- PropositionDigital Omnibus (COM(2025) 837) : affinerait la définition des données à caractère personnel, relèverait le seuil de notification des violations au risque élevé avec un délai de 96 heures, et intégrerait les règles sur les cookies dans le RGPD. En cours de négociation, n’est pas encore une loi.
- 02/04/2027Application des nouvelles règles de procédure pour l’application transfrontalière.
Statut vérifié le 03/10/2026. Les dates peuvent changer ; confirmez auprès des sources officielles ci-dessous.
Comment nous aidons
Registres, analyses d’impact, politiques et formation pour votre programme de protection de la vie privée dans un portail unique.
En savoir plusKW ConsultingConseil en protection de la vie privée, outils de consentement, règles de conservation et modifications de systèmes intégrées à vos applications.
En savoir plus- Texte du RGPD (EUR-Lex) ↗
- Comité européen de la protection des données ↗
- Commission européenne : protection des données ↗
- Proposition Digital Omnibus COM(2025) 837 ↗
Analyses connexes
ISO/IEC 27701:2025 : la certification vie privée n’exige plus l’ISO 27001
L’édition 2025 de l’ISO/IEC 27701 est une norme autonome de système de management de la vie privée. À qui elle profite, sa correspondance avec…
Lire l’analyse →Le règlement européen sur la cyberrésilience (CRA) : ce que les exportateurs canadiens doivent signaler depuis le 11/09/2026
Vous vendez du matériel ou des logiciels connectés dans l’UE ? L’obligation de signalement des vulnérabilités dans un délai de 24 heures imposée par…
Lire l’analyse →Témoins et traçage en vertu de la Loi 25 : la confidentialité par défaut en pratique (art. 8.1 et 9.1)
L’article 8.1 encadre les technologies de traçage et de profilage; l’article 9.1 établit la confidentialité par défaut, mais exclut les paramètres relatifs aux témoins.…
Lire l’analyse →