Choisir une adresse pour son entreprise et protéger les données personnelles sont deux démarches qui se rencontrent, mais ne se confondent pas. Une domiciliation dans l’Union européenne ne rend pas automatiquement les traitements conformes au RGPD. Inversement, le RGPD n’impose pas à toute entreprise étrangère de transférer son siège en Europe.
Le lien concret apparaît dans l’organisation : qui reçoit le courrier, qui le numérise, où les documents sont accessibles et qui répond aux demandes des personnes ? Pour choisir un domiciliataire ou préparer un changement d’adresse, il faut examiner ces opérations plutôt que se fier à une promesse générale de « domiciliation conforme ».
Domiciliation, lieu d’activité et hébergement des données
Pour une société, la domiciliation fixe l’adresse de son siège social. Le lieu où l’équipe travaille et celui où les données sont stockées peuvent être différents. Ne déduisez donc pas la localisation d’un serveur ou le régime applicable à un traitement de la seule adresse figurant sur une facture.
La fiche officielle sur la domiciliation d’une société présente les possibilités : domicile du représentant légal sous conditions, local professionnel, coworking ou cabinet de domiciliation, notamment. Un service de domiciliation professionnel doit disposer de l’agrément requis ; vérifiez le contrat et les prestations réellement incluses.
Le choix dépend de votre fonctionnement : réception du courrier, accès aux locaux, besoin d’accueil et contraintes de l’activité. Une adresse de domiciliation ne signifie pas que vos clients peuvent s’y présenter à tout moment. Présentez clairement sur le site la différence entre siège, lieu d’accueil et zone d’intervention.
Quand le RGPD s’applique-t-il ?
L’article 3 du RGPD prévoit notamment son application aux traitements effectués dans le cadre des activités d’un établissement dans l’Union, même si les opérations ont lieu ailleurs. Il peut également s’appliquer à un organisme non établi dans l’Union lorsqu’un traitement est lié à une offre de biens ou services à des personnes qui s’y trouvent, ou au suivi de leur comportement dans l’Union.
Le critère ne se limite donc pas à la nationalité des personnes. Pour une activité internationale, examinez l’établissement et les activités concernées ainsi que les marchés effectivement ciblés. Le seul fait qu’un site puisse être ouvert depuis l’Europe ne suffit pas à répondre à toutes ces questions.
Cette analyse porte sur les traitements et leur contexte. Une nouvelle adresse n’efface pas les obligations liées aux clients, salariés, prospects ou utilisateurs du site. Faites préciser les conséquences juridiques et fiscales d’un projet international par les conseils compétents, séparément de la question des données.
Représentant dans l’Union : une fonction distincte du siège
Lorsque l’article 3, paragraphe 2, s’applique, l’article 27 prévoit en principe un représentant dans l’Union. Des exceptions existent, notamment sous conditions cumulatives pour certains traitements occasionnels présentant peu de risques, ainsi que pour les autorités ou organismes publics.
Ce représentant reçoit un mandat écrit et sert d’interlocuteur pour les obligations concernées. Sa désignation ne crée pas à elle seule une filiale et ne se confond ni avec un domiciliataire ni avec un délégué à la protection des données. Si un prestataire propose plusieurs de ces services, le contrat doit distinguer les rôles.
Pour une entreprise hors Union, la décision utile consiste à qualifier ses activités, puis à vérifier l’obligation et les conditions de représentation. Créer une adresse européenne uniquement pour afficher un signe de conformité ne répond pas à cette analyse.
Examiner les données traitées par le domiciliataire
La réception et la numérisation du courrier peuvent donner accès à des coordonnées, contrats, factures ou autres documents personnels. Demandez quelles opérations sont réalisées, par quelles personnes et avec quels outils. Repérez aussi les prestataires qui interviennent dans le stockage, le scan ou la réexpédition.
La ressource consacrée à les obligations légales du domiciliataire et du domicilié permet de préparer les questions sur la relation de domiciliation. Complétez-les par un examen propre aux données : droits d’accès, durée de mise à disposition, restitution des documents, suppression des copies et signalement d’un incident.
Les rôles doivent être appréciés pour chaque opération. Un domiciliataire peut traiter certaines données pour ses propres obligations et d’autres pour le compte du client. La CNIL explique le cadre de travail avec un sous-traitant : lorsqu’il traite des données pour votre compte, les instructions et responsabilités doivent être encadrées par le contrat approprié.
Avant de signer, testez aussi la simplicité du fonctionnement : comment récupérer un recommandé, ajouter ou retirer un utilisateur, télécharger une archive et contacter l’assistance ? La protection des données dépend en partie de ces gestes ordinaires.
Vérifier les flux internationaux, pas seulement le pays du fournisseur
Un prestataire établi en France peut utiliser un service ou une assistance à l’étranger. À l’inverse, une adresse étrangère ne prouve pas que toutes les données quittent l’Europe. Demandez où se déroulent les opérations, qui peut accéder aux informations et quels sous-traitants interviennent.
Les transferts hors de l’Espace économique européen peuvent notamment reposer sur une décision d’adéquation ou des garanties appropriées, selon le cas. Les clauses contractuelles types sont un mécanisme possible, avec les vérifications nécessaires ; elles ne constituent pas une réponse universelle à recopier sans examiner le transfert.
Conservez une trace des réponses et des documents contractuels. Lorsqu’un outil, un pays d’hébergement ou un intervenant change, réexaminez le flux concerné. Cette vérification reste nécessaire même si l’adresse administrative de votre entreprise demeure inchangée.
Préparer le changement d’adresse et la continuité des demandes
Un transfert de siège demande ses propres formalités. Sur le plan opérationnel, dressez en parallèle la liste des points à mettre à jour : documents, site, correspondances, prestataires et coordonnées utilisées pour l’exercice des droits. Prévoyez la réexpédition et une période de contrôle des courriers reçus à l’ancienne adresse.
Recensez vos traitements et les interlocuteurs responsables. Le modèle de registre de la CNIL peut aider à structurer les informations utiles : objectif, données, destinataires et conservation. Les éventuelles exemptions doivent être examinées dans leurs conditions ; la petite taille de l’entreprise ne dispense pas globalement du RGPD.
Vérifiez ensuite que les textes publiés correspondent au fonctionnement réel. Si les demandes partent vers une messagerie ou un service externe, cette organisation doit être prise en compte. Un certificat HTTPS protège une partie de l’échange technique ; il ne documente ni la finalité, ni la conservation, ni les accès.
Prévoir la réaction en cas d’incident
Une erreur de destinataire, un accès indu à des courriers numérisés ou une perte de documents peut constituer une violation de données. La CNIL distingue la documentation interne, la notification à l’autorité et l’information des personnes.
La notification à l’autorité compétente dépend du risque et doit, lorsqu’elle est requise, intervenir dans les meilleurs délais et si possible sous 72 heures après en avoir pris connaissance. L’information des personnes répond à un seuil de risque élevé et à ses propres exceptions. Toutes les situations ne déclenchent donc pas automatiquement les mêmes démarches.
Prévoyez qui reçoit l’alerte, conserve les éléments et fait évaluer le risque. Demandez au domiciliataire comment il vous informe d’un incident. Vous disposez ainsi d’une organisation utilisable, au-delà d’une simple mention de conformité dans une brochure.
Questions fréquentes
Faut-il domicilier son entreprise en Europe pour respecter le RGPD ?
Non, le RGPD n’impose pas de manière générale un transfert de siège. Son application dépend notamment de l’établissement et des activités de traitement liées à une offre ou un suivi de personnes dans l’Union. Une entreprise étrangère peut être soumise au règlement sans y être domiciliée.
Une adresse européenne garantit-elle la conformité ?
Non. Il faut examiner les traitements, les informations données aux personnes, les accès, la conservation, les prestataires et les transferts éventuels. L’adresse du siège et le pays de stockage ne décrivent pas à eux seuls ce fonctionnement.
Le représentant RGPD peut-il être mon domiciliataire ?
Les fonctions sont distinctes. Un même prestataire peut éventuellement proposer plusieurs services, mais il faut vérifier sa mission et le mandat prévu. La représentation au titre de l’article 27 ne se déduit pas automatiquement du contrat de domiciliation.
Quels points vérifier pour le courrier numérisé ?
Demandez qui ouvre et numérise les documents, où ils sont accessibles, comment les utilisateurs sont autorisés et combien de temps les copies restent disponibles. Vérifiez aussi la récupération en fin de contrat, les sous-traitants et la procédure d’alerte en cas d’incident.
Peut-on utiliser un prestataire situé hors de l’Union ?
Ce n’est pas interdit par principe. Il faut qualifier les opérations et les éventuels transferts, puis vérifier le mécanisme applicable et les garanties nécessaires. Une décision d’adéquation, des clauses adaptées ou d’autres dispositifs ne s’emploient pas dans les mêmes conditions.
Que faut-il changer sur le site lors d’un transfert de siège ?
Mettez à jour les informations légales et de contact concernées, puis vérifiez les documents et circuits qui utilisent encore l’ancienne adresse. Distinguez le siège du lieu d’accueil réel. Assurez la continuité des courriers et demandes sans annoncer des changements de traitement qui n’ont pas eu lieu.