# Le RGPD pour les PME canadiennes : quand il s’applique > La loi européenne peut viser une entreprise canadienne qui vend à des personnes dans l’UE ou qui les suit en ligne. Quand elle s’applique et ce qu’elle exige. - URL: https://nextit.tech/fr/blogue/le-rgpd-pour-les-pme-canadiennes-quand-il-s-applique-et-ce-qu-il-exige/ - Language: Français - Other language: https://nextit.tech/blog/gdpr-for-canadian-smbs-when-it-applies-and-what-it-asks/ - Publisher: NextIT (https://nextit.tech/) --- [Blog](https://nextit.tech/fr/blogue/) # Le RGPD pour les PME canadiennes : quand il s’applique et ce qu’il exige Équipe Confidentialité NextIT 27 oct. 2026 7 min de lecture Une boutique en ligne de Montréal expédie des commandes en France. Elle n’a aucun bureau en Europe, mais la loi européenne peut quand même s’appliquer. Cet article explique quand le Règlement général sur la protection des données (RGPD) vise une entreprise canadienne, et ce qu’il exige. ## Ce qu’est le RGPD Le RGPD est le règlement (UE) 2016/679, la loi sur la protection des données de l’Union européenne (UE). Il s’applique depuis le 25 mai 2018. L’entreprise qui décide pourquoi et comment les données sont utilisées est le responsable du traitement. Le fournisseur qui traite les données pour son compte est le sous-traitant. L’exportation d’un produit offre une bonne comparaison. Quand vous vendez un produit en France, vous suivez les règles françaises pour ce produit. Le RGPD fonctionne de la même façon : dès que vous atteignez des personnes dans l’UE, ses règles suivent les données que vous détenez sur elles. ## Pourquoi cela compte pour une PME L’article 3(2) applique le RGPD à une entreprise située hors de l’UE dans deux cas. D’abord, vous offrez des biens ou des services à des personnes dans l’UE, qu’ils soient payants ou gratuits. Ensuite, vous suivez leur comportement dans l’UE. Un site Web accessible depuis l’Europe ne suffit pas à lui seul. Le Comité européen de la protection des données (CEPD), qui réunit les autorités européennes, énumère des signes de ciblage. Par exemple : la livraison dans des pays de l’UE, une publicité visant un public européen, ou une langue ou une monnaie peu utilisée au Canada, comme l’euro. Le suivi comprend la publicité comportementale et le pistage par témoins (cookies). Le CEPD cite l’exemple d’un développeur d’applications canadien qui suit des personnes dans l’UE : le RGPD s’applique à lui. Le Canada bénéficie d’une décision d’adéquation de la Commission européenne. Elle vise les organisations commerciales assujetties à la LPRPDE, la loi fédérale sur la protection des renseignements personnels dans le secteur privé. Les données peuvent leur parvenir de l’UE sans garanties supplémentaires. En janvier 2024, la Commission a confirmé que le Canada offre toujours un niveau de protection adéquat. La décision facilite les transferts, mais elle ne vous dispense pas des autres règles du RGPD. Selon l’article 83, le palier le plus élevé des amendes atteint 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, selon le montant le plus élevé. Il vise les principes, les bases légales, les droits et les transferts. Un palier inférieur de 10 millions d’euros ou 2 % vise des obligations comme le registre, la sécurité et l’avis d’atteinte. ## Ce que le RGPD exige ### Les principes et une base légale L’article 5 fixe six principes : licéité, loyauté et transparence ; une finalité déterminée ; seulement les données nécessaires ; exactitude ; conservation limitée ; et sécurité. L’article 5(2) ajoute la responsabilité : vous devez pouvoir démontrer que vous respectez ces principes. L’article 6 exige une base légale pour chaque utilisation des données. Il y en a six : le consentement, un contrat, une obligation légale, les intérêts vitaux, une mission d’intérêt public et les intérêts légitimes. Choisissez-la avant de recueillir les données, et consignez-la. ### Les droits des personnes Une personne peut demander l’accès à ses données, leur rectification, leur effacement, la limitation du traitement ou leur portabilité. Elle peut aussi s’y opposer, et une opposition à la prospection met toujours fin à cette utilisation. L’article 12 vous donne un mois pour répondre, prolongeable de deux mois si les demandes sont complexes ou nombreuses. ### Le registre des activités de traitement L’article 30 exige un registre écrit des activités de traitement. Il indique les finalités, les données, les destinataires, les transferts, les durées de conservation et les mesures de sécurité. Une entreprise de moins de 250 employés n’en est dispensée que dans des cas précis. La dispense ne s’applique pas si le traitement n’est pas occasionnel, s’il peut comporter un risque, ou s’il porte sur des données sensibles ou des condamnations pénales. ### Les sous-traitants et le contrat L’article 28 n’autorise que des sous-traitants qui présentent des garanties suffisantes. Un contrat fixe la finalité, la durée, les types de données et les personnes concernées. Le sous-traitant agit sur vos instructions documentées, protège les données et obtient votre accord avant d’engager un autre sous-traitant. Il permet les audits et, à la fin, supprime ou vous remet les données, à votre choix. ### Les atteintes en 72 heures L’article 33 exige d’aviser l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après avoir pris connaissance d’une atteinte aux données. Aucun avis n’est requis si l’atteinte n’est pas susceptible d’engendrer un risque pour les personnes. Un avis tardif indique les motifs du retard. Selon l’article 34, vous informez aussi les personnes touchées dans les meilleurs délais quand le risque pour elles est élevé. Documentez chaque atteinte, même celles que vous ne déclarez pas. ### L’analyse d’impact L’article 35 exige une analyse d’impact relative à la protection des données (AIPD) avant un traitement susceptible d’engendrer un risque élevé pour les personnes. Par exemple : un profilage qui mène à des décisions importantes, ou des données sensibles à grande échelle. ### Un représentant dans l’Union L’article 27 demande à une entreprise visée par l’article 3(2) de désigner par écrit un représentant dans l’UE. Il est établi dans un pays de l’UE où se trouvent les personnes que vous servez ou suivez. L’obligation ne s’applique pas à un traitement occasionnel, à faible risque et sans données sensibles à grande échelle. Votre responsabilité reste entière. ### La comparaison avec la Loi 25 et la LPRPDE - **Avis d’atteinte :** le RGPD fixe 72 heures, si possible. La Loi 25 et la LPRPDE exigent un avis rapide, sans nombre d’heures fixe. - **Demandes :** le RGPD donne un mois. La Loi 25 et la LPRPDE donnent 30 jours. - **Amendes :** les amendes pénales de la Loi 25 atteignent 25 millions $ ou 4 % du chiffre d’affaires mondial. Celles du RGPD atteignent 20 millions d’euros ou 4 %. ## Comment aborder le sujet 1. Vérifiez si le RGPD s’applique : où sont vos clients, et quels signes de ciblage existent. Consignez votre conclusion. 2. Cartographiez vos données européennes : finalité, données, personnes, fournisseurs et lieu. Cette carte devient votre registre des activités de traitement. 3. Choisissez et consignez une base légale pour chaque activité. Indiquez-la dans votre politique de confidentialité. 4. Signez un contrat conforme à l’article 28 avec chaque sous-traitant, souvent une entente de traitement des données (DPA). 5. Nommez qui évalue un incident et qui avise l’autorité, puis testez le parcours de 72 heures. 6. Mettez en place un processus de demandes avec un délai d’un mois. 7. Désignez un représentant dans l’UE, sauf dispense claire, et indiquez-le dans votre politique de confidentialité. 8. Réalisez une AIPD avant tout nouveau traitement à risque élevé. ## Erreurs courantes - Croire que le RGPD ne peut pas s’appliquer sans bureau en Europe. - Traiter la décision d’adéquation comme une dispense. Elle facilite seulement les transferts. - Tout fonder sur le consentement. C’est une base légale parmi six. - Compter sur la dispense des moins de 250 employés sans vérifier ses conditions. - Attendre la fin de l’enquête pour aviser l’autorité. Les 72 heures commencent quand vous prenez connaissance de l’atteinte. **Bon à savoir :** Cet article présente une information générale, et non un avis juridique. Pour vos obligations, consultez un avocat qualifié. ## Comment NextIT vous aide Le [rapport de conformité](https://nextit.tech/fr/docs/rapport-de-conformite/) de NextIT suit vos contrôles Loi 25 / RGPD avec un score de conformité en direct, et vous le téléchargez en PDF. Dans Confidentialité et conformité, vous réalisez des évaluations d’impact, suivez vos ententes de traitement des données et tenez votre registre des activités de traitement (ROPA). Le registre des incidents de sécurité et le module Demandes de portabilité couvrent les atteintes et les demandes. Le [guide Confidentialité et conformité](https://nextit.tech/fr/docs/confidentialite-et-conformite/) présente chaque volet. Pour voir comment cela s’applique à votre entreprise, [réservez une démonstration](https://nextit.tech/fr/reserver-une-demo/). Rapport de posture gratuit ### Votre PME est-elle exposée? Sachez-le en 5 minutes. Entrez votre domaine. Confirmez la propriété par courriel, puis obtenez gratuitement votre rapport de posture de sécurité et de conformité. [Réserver une rencontre stratégique](https://nextit.tech/fr/reserver-une-demo/) - Aucune carte requise - Hébergé au Canada Équipe Confidentialité NextIT Sécurité, conformité à la loi 25 et gouvernance informatique pour les PME. ### À propos de l’auteur L’équipe Confidentialité NextIT aide les PME québécoises et canadiennes à respecter la Loi 25 et la LPRPDE sans service de conformité dédié, de la première liste de contrôle jusqu’à l’audit. ### Plus d’articles de NextIT - [La Loi 25 expliquée : ce que la loi québécoise exige des PME 27 oct. 2026](https://nextit.tech/fr/blogue/la-loi-25-expliquee-ce-que-la-loi-quebecoise-exige-des-pme/) - [Le cadre de cybersécurité 2.0 du NIST expliqué aux PME 27 oct. 2026](https://nextit.tech/fr/blogue/le-nist-csf-2-explique-aux-pme/) - [SOC 2 expliqué aux PME : ce que couvre le rapport et comment s’y préparer 27 oct. 2026](https://nextit.tech/fr/blogue/soc-2-explique-aux-pme/) - [Ce que coûte vraiment la non-conformité 15 oct. 2026](https://nextit.tech/fr/blogue/ce-que-coute-vraiment-la-non-conformite/) - [Conformité 101 pour les PME : cadres, contrôles et preuves en termes simples 15 oct. 2026](https://nextit.tech/fr/blogue/conformite-101-cadres-controles-et-preuves/) ## Scannez votre entreprise. Ou parlons stratégie. Obtenez votre rapport de posture gratuit en 5 minutes — ou réservez une rencontre stratégique avec notre équipe. [Réserver une rencontre stratégique](https://nextit.tech/fr/reserver-une-demo/) Aucune carte requise · Bilingue FR / EN · Hébergé au Canada