Il ressort du texte du RGPD et de ses considérants que le RGPD sera applicable aux entreprises suisses dans les cas prévus par le critère:

de l’établissement (article 3 §1; considérant 22)

Le traitement des données personnelles qui a lieu dans le cadre des activités d’une succursale ou filiale européenne d’une entreprise suisse sur le territoire de l’Union;

Le traitement des données personnelles effectué par une entreprise suisse en tant que sous-traitant pour le compte d’une entreprise européenne.

du ciblage (article 3 §2; considérant 23 et 24)

Le traitement des données personnelles de résidents de l’Union effectué par une entreprise basée en Suisse dans la mesure où elle traite ces données pour leurs offres de biens et de services dans l’Union, qu’un paiement soit exigé ou non (art. 3 §2 (a) RGPD). Une entreprise basée en Suisse qui vend des montres à des personnes domiciliées en France, Belgique et Grèce par le biais d’une boutique en ligne, devra respecter le RGPD. Dans le cadre de l’appréciation de la soumission au Règlement, il faudra tenir compte du cas d’espèce et notamment de l’intention du responsable de traitement d’offrir des biens ou services à des personnes se trouvant sur le territoire de l’Union. Le RGPD n’offre pas de définition précise des notions d’offres de bien et de service. Le considérant 23 nous indique qu’il convient d’établir « s’il est clair que le responsable du traitement ou le sous-traitant envisage d’offrir des services à des personnes concernées dans un ou plusieurs Etats membres de l’Union ». Afin d’établir cette intention, il convient de prendre en compte un faisceau d’indices comprenant, par exemple: « l’utilisation d’une langue ou d’une monnaie d’usage courant dans un ou plusieurs Etats membres, avec la possibilité de commander des biens et des services dans cette autre langue, la mention de clients ou d’utilisateurs qui se trouvent dans l’Union ». La CJUE a également relevé les facteurs suivants: la mention d’un numéro de téléphone avec un indicatif téléphonique international, la description de l’itinéraire d’un Etat membre au lieu où le service est offert, la mention sur le site internet d’une clientèle internationale domiciliée dans divers Etats membres où le service est offert (Ex. le site www.exemple.ch sera également accessible sous www.exemple.fr.). Il convient de souligner que ces facteurs cités ne sont pas exhaustifs et que la question devra être analysée au cas par cas. 

Le traitement des données personnelles de résidents de l’Union effectué par une entreprise basée en Suisse dans la mesure où elle traite ces données pour le suivi du comportement des personnes concernées au sein de l’Union (art. 3 §2 (b) RGPD). Le considérant 24 nous indique qu’ « il y a lieu d’établir si les personnes physiques sont suivies sur internet, ce qui comprend l’utilisation ultérieure éventuelle de techniques de traitement des données à caractère personnel qui consistent en un profilage d’une personne physique, afin notamment de prendre des décisions la concernant ou d’analyser ou de prédire ses préférences, ses comportements et ses dispositions d’esprit ». Il s’agira notamment de la publicité comportementale qui, comme le défini le groupe de travail de l’Article 29 dans son avis sur la publicité comportementale, « est une forme de publicité qui repose sur l’observation du comportement des individus au fil du temps. Elle vise à étudier les caractéristiques de ce comportement à travers leurs actions (visites successives de sites, interactions, mots clés, production de contenu en ligne, etc.) pour établir un profil spécifique et proposer aux personnes concernées des publicités adaptées à leurs centres d’intérêts ainsi déduits ». Un exploitant de site Webb qui recourt au webtracking pour suivre les activités de ses visiteur ou pour observer leur comportement de navigation pourra ainsi tirer des conclusions quant aux intérêts, préférences ou habitudes des internautes. Le RGPD sera sans doute applicable. 

 (Date: 06.04.2020; Auteure: Sophie Prignon).