Fiche 4/54 Partie I — Introduction générale professional Vérifié 2026-08-23

Champ d'application (Art. 2 & 3)

Le RGPD s'applique aux traitements effectués dans le cadre des activités d'un établissement du responsable ou du sous-traitant dans l'UE (principe d'établissement, Art. 3.1), ainsi qu'aux entités hors

Ouvrir dans le lecteur interactif

⚖️ Texte contraignant (Art. 2 & 3) 📘 CEPD Guidelines 3/2018

Champ d'application matériel & territorial (Art. 2 & 3)

⚡ En 30 secondes

Le RGPD encadre tout traitement automatisé de données personnelles. Territorialement, il s'applique aux traitements effectués dans le cadre des activités d'un établissement dans l'UE (Art. 3.1), ainsi qu'aux entités établies hors UE dont les traitements sont liés à l'offre de biens/services ou au suivi du comportement de personnes se trouvant dans l'Union (Art. 3.2).

Le Règlement s'appuie sur deux critères territoriaux distincts pour déterminer son champ d'application :

Critère d'application	Mécanisme juridique	Exemple pratique
L'établissement (Art. 3.1)	Traitement effectué dans le cadre des activités d'un établissement du responsable ou du sous-traitant sur le territoire de l'UE, que le traitement ait lieu dans l'Union ou non.	Une entreprise établie en Belgique traitant des données clients sur des serveurs situés hors de l'Union.
Le ciblage (Art. 3.2)	Organisation établie hors UE dont le traitement est lié à l'offre de biens ou de services à des personnes se trouvant dans l'UE, ou au suivi de leur comportement au sein de l'Union.	Un site e-commerce américain livrant en Europe ou une application canadienne analysant la navigation d'utilisateurs en Europe.

⚡ À retenir

Art. 3(1) : s'applique aux traitements effectués dans le cadre des activités d'un établissement dans l'UE.
Art. 3(2) : s'applique aux entités hors UE qui offrent des biens/services ou suivent le comportement de personnes dans l'UE.
Pour les entités hors UE, la simple présence d'une personne dans l'UE ne suffit pas sans lien de ciblage ou de suivi.

⚠️ Attention

Considérer que la simple visite d'un internaute situé dans l'UE soumet automatiquement un site étranger au RGPD : pour une entité hors UE, l'offre active de biens/services ou le suivi effectif du comportement reste indispensable.

🛠️ En pratique

Déterminer si vos traitements s'inscrivent dans les activités d'un établissement dans l'UE ou s'ils ciblent activement des personnes se trouvant sur le territoire de l'Union.

⚖️ Sources officielles : Art. 2 & 3 RGPD · Considérants 14, 15, 22–25 · CEPD Guidelines 3/2018 ✓ Dernière revue juridique : 23 août 2026

✓ Points clés

Art. 3(1) : s'applique aux traitements effectués dans le cadre des activités d'un établissement dans l'UE.
Art. 3(2) : s'applique aux entités hors UE qui offrent des biens/services ou suivent le comportement de personnes dans l'UE.
Pour les entités hors UE, la simple présence d'une personne dans l'UE ne suffit pas sans lien de ciblage ou de suivi.

⚠ Écueil fréquent : Considérer que la simple visite d'un internaute situé dans l'UE soumet automatiquement un site étranger au RGPD : pour une entité hors UE, l'offre active de biens/services ou le suivi effectif du comportement reste indispensable.

→ Action pratique : Déterminer si vos traitements s'inscrivent dans les activités d'un établissement dans l'UE ou s'ils ciblent activement des personnes se trouvant sur le territoire de l'Union.