RGPD : préparer un lancement européen

Lundi, une entreprise suisse veut ouvrir sa première campagne en France et en Allemagne. Les annonces sont prêtes, le formulaire traduit, les commerciaux formés. Puis une question bloque le lancement : le RGPD s’applique-t-il vraiment depuis la Suisse ? Le site est accessible en Europe, le CRM est hébergé dans le cloud, une base de prospects a été enrichie et plusieurs outils suivent les visiteurs. Répondre seulement « oui » ou « non » ne permet ni de décider ni de vendre. Depuis le 25 mai 2018, le siège suisse ne suffit plus à écarter le règlement européen. L’activité examinée compte : offre destinée à des personnes dans l’Union, suivi de leur comportement, rôle joué dans le traitement et chaîne de fournisseurs. Cette lecture suit donc une campagne réelle dans sa logique — ciblage, collecte, mesure, CRM, prospection et preuve fournisseur — sans inventer de client ni de résultat. Elle montre enfin comment une revue de lancement UE peut devenir un premier achat rapide, avant d’investir davantage dans l’acquisition.

Le RGPD s’applique à une entreprise suisse lorsque le traitement examiné relève de ses critères territoriaux : activité d’un établissement dans l’Union, offre de biens ou services à des personnes qui s’y trouvent, ou suivi de leur comportement dans l’Union. Le siège suisse n’écarte donc pas automatiquement le règlement.

L’article 3 du RGPD ouvre plusieurs portes. Une entreprise peut d’abord posséder un établissement dans l’Union et traiter des données dans le cadre de ses activités. Sans établissement européen, elle peut encore relever du règlement lorsqu’elle vise des personnes dans l’Union avec une offre, payante ou gratuite, ou lorsqu’elle suit leur comportement sur ce territoire.

La Commission européenne donne un exemple parlant : une petite entreprise de formation située hors de l’Union cible des universités espagnoles et portugaises, puis collecte des données pour créer des comptes. Le règlement peut s’appliquer parce que le service est orienté vers ces personnes. À l’inverse, le simple fait que des clients non européens utilisent un service pendant un voyage dans l’Union ne démontre pas un ciblage.

Lecture du schéma. Le test porte sur une activité déterminée. Une même société peut obtenir une réponse différente pour deux offres, deux parcours ou deux traitements.

Alternative textuelle. L’entreprise vérifie l’établissement, puis l’offre et le suivi. Si un critère est rempli, elle qualifie le traitement, les rôles et les obligations ; sinon, elle documente pourquoi le périmètre reste hors champ ou incertain.

Sources du schéma. Union européenne, Règlement général sur la protection des données ; Comité européen de la protection des données, Lignes directrices 3/2018 sur le champ d’application territorial.

Les indices qui montrent qu’une offre suisse vise réellement le marché européen sont une stratégie commerciale orientée vers un ou plusieurs pays, des messages adaptés, des conditions de vente, une livraison, des paiements, des campagnes ou des équipes conçus pour ces personnes. L’accessibilité du site ne suffit pas seule.

Le ciblage se lit dans un faisceau d’indices. Une page en français ne prouve rien à elle seule, puisque cette langue est également nationale en Suisse. Une offre dédiée à la France, des prix ou conditions adaptés, des témoignages européens, des publicités géolocalisées, une livraison annoncée dans l’Union ou un commercial chargé de ces comptes rendent l’intention plus visible.

Le dossier doit conserver les éléments qui ont conduit à la conclusion. Il rapproche le plan de marché, les pages d’atterrissage, les paramètres publicitaires, les pays acceptés, les conditions contractuelles et le parcours de vente. Cette preuve protège les deux décisions possibles : reconnaître le champ lorsqu’il existe, ou ne pas étendre le règlement à toute l’entreprise sur la base d’un visiteur accidentel.

Lecture du tableau. Aucun indice isolé n’est automatiquement décisif. Leur cohérence décrit l’activité que l’entreprise a réellement choisi de lancer.

La mesure d’une campagne devient un suivi de comportement lorsque le traitement permet d’observer des personnes dans l’Union afin d’analyser ou de prédire leurs préférences, comportements ou attitudes. Le simple mot « statistique » ne neutralise pas un profilage, un reciblage ou une observation persistante.

Une campagne moderne peut déposer des identifiants, relier plusieurs visites, segmenter les intérêts, construire des audiences, noter un prospect ou personnaliser une séquence. Le PFPDT cite le suivi des activités d’un visiteur et l’observation de sa navigation comme exemples pouvant faire entrer une entreprise suisse dans le champ territorial. La question n’est donc pas seulement l’outil installé, mais ce qu’il permet de conclure sur la personne.

Il faut séparer mesure agrégée et parcours individualisé. Compter des visites sans possibilité raisonnable d’identifier une personne n’appelle pas la même analyse que rattacher une navigation, un téléchargement et un appel commercial à un profil CRM. Les paramètres, la durée de conservation, les identifiants et les fournisseurs doivent être examinés avant de choisir une base, une information ou un mécanisme de consentement.

Il faut cartographier la campagne avant de rédiger les mentions parce qu’un texte ne peut décrire correctement des flux inconnus. La carte doit relier source du contact, finalité, base envisagée, information fournie, CRM, sous-traitants, transferts, durée, droits et décision commerciale.

Le parcours commence parfois avant le formulaire. Une liste peut provenir d’une source publique, d’un fournisseur, d’un salon ou d’un partenaire. Elle peut être enrichie, dédupliquée, notée, transmise au commercial, synchronisée avec une plateforme publicitaire et conservée après la campagne. Chacune de ces opérations appartient au traitement et demande un propriétaire.

La cartographie évite les corrections cosmétiques. Ajouter une phrase à une politique de confidentialité ne résout pas une liste dont la provenance n’est pas défendable. Un bouton de refus ne corrige pas un outil qui continue de transmettre. Un contrat fournisseur ne remplace pas l’instruction réelle donnée à ce fournisseur.

Lecture du schéma. Le prospect traverse plusieurs systèmes avant de devenir client. Une preuve cohérente doit couvrir les passages, pas seulement la page d’atterrissage.

Alternative textuelle. L’entreprise documente la source, l’enrichissement, le CRM, l’activation, la réponse et la conservation, puis rattache chaque fournisseur aux opérations qu’il réalise.

Cette carte sert également à l’acheteur européen. Dans une relation B2B, le donneur d’ordre peut demander où les données sont traitées, quels sous-traitants interviennent, comment les demandes de personnes sont gérées et ce qui se passe à la fin du service. La preuve devient alors un élément d’accès au marché, à condition de refléter la réalité opérationnelle.

Le rôle de l’entreprise suisse change les preuves attendues parce qu’un responsable du traitement décide des finalités et moyens, tandis qu’un sous-traitant agit sur instruction documentée. Une même entreprise peut être responsable pour sa prospection et sous-traitante pour le service vendu à un client européen.

Dans sa propre campagne, l’entreprise suisse décide généralement pourquoi elle collecte des prospects, quels outils elle utilise et combien de temps elle conserve les données. Dans le produit livré à un client, elle peut traiter des données pour le compte de ce dernier. Les contrats, instructions, mesures de sécurité, sous-traitants ultérieurs et procédures de restitution ne sont alors pas identiques.

Le guide PME du Comité européen de la protection des données rappelle que la relation entre responsable et sous-traitant doit être régie par un contrat. Le sous-traitant agit sur instruction, protège la confidentialité, encadre ses propres sous-traitants, aide à traiter les demandes et supprime ou restitue les données selon le choix convenu. Un intitulé commercial ne suffit pas si les décisions réelles racontent autre chose.

Lecture du tableau. La même société ne peut pas réutiliser un seul dossier pour toutes ses activités. Chaque relation commence par le traitement et les décisions réellement prises.

La décision d’adéquation de 2024 facilite les transferts de données personnelles depuis l’Union ou l’Espace économique européen vers la Suisse sans garanties supplémentaires pour assurer un niveau adéquat. Elle ne dispense toutefois ni des autres obligations du RGPD, ni de la qualification du traitement et des fournisseurs ultérieurs.

La Commission européenne a confirmé le 15 janvier 2024 que la Suisse continue d’assurer un niveau adéquat. Pour un acheteur européen, cette reconnaissance réduit une friction importante : le transfert vers une entreprise suisse n’exige pas, pour ce seul motif, de reconstruire le niveau de protection au moyen de clauses supplémentaires.

Mais l’adéquation ne transforme pas chaque opération en traitement licite. Il faut encore déterminer pourquoi les données sont utilisées, informer les personnes, respecter leurs droits, encadrer le sous-traitant, sécuriser le traitement et examiner les transferts suivants. Un outil du partenaire peut lui-même envoyer des données vers un autre pays ; cette nouvelle étape doit être analysée dans sa propre chaîne.

Lecture du tableau. L’adéquation répond à une question de transfert. Elle ne remplace pas le dossier de la campagne ni la preuve fournisseur attendue par l’acheteur.

Le RGPD n’autorise pas à lui seul la prospection commerciale en Europe. Il encadre le traitement des données personnelles, tandis que les communications électroniques relèvent aussi de la directive ePrivacy et de sa mise en œuvre nationale. Le canal, le pays, la source et le destinataire doivent donc être vérifiés.

La Commission européenne rappelle qu’une adresse professionnelle nominative peut constituer une donnée personnelle, contrairement à une adresse générique comme info@entreprise. Lorsqu’une liste vient d’un tiers, l’organisation doit vérifier que sa collecte et sa transmission permettent l’usage envisagé. Elle doit informer la personne au plus tard lors du premier contact et respecter son droit d’opposition au marketing direct.

Ce droit d’opposition est absolu pour cette finalité : lorsqu’une personne s’oppose au traitement de ses données à des fins de marketing direct, l’entreprise doit cesser cet usage. En parallèle, l’article 13 de la directive ePrivacy encadre notamment le courriel et laisse certains choix aux législations nationales. Une méthode valable en France ne peut donc pas être copiée mécaniquement en Allemagne ou dans un autre État.

Pour getfishnet, cette frontière est essentielle. Une stratégie multicanale peut inclure recherche, contenus, réseaux, événements, prescripteurs, publicité, courriel, téléphone ou messages vocaux. Elle ne choisit jamais un canal seulement parce qu’il convertit. Elle documente les règles applicables, les sources, l’information, les oppositions et l’identité de l’émetteur avant le test.

Le premier achat peut être une revue payée de lancement UE centrée sur une campagne et un pays : test territorial, carte des flux, rôles, fournisseurs, points bloquants et plan de correction priorisé. Le livrable prépare une décision de lancement ; il ne promet ni conformité générale ni nouveau client.

Cette offre réduit la friction parce qu’elle ne commence pas par toute l’entreprise. Le client apporte une campagne, un formulaire, une liste, un CRM, des outils de mesure et un marché. Le spécialiste décrit le périmètre, identifie les décisions qui exigent un avis compétent et distingue les corrections nécessaires avant lancement de celles qui peuvent suivre.

Le rapport peut aussi préparer un dossier fournisseur pour un acheteur européen : rôle, sous-traitants, lieux de traitement, mesures, demandes de personnes et fin de service. Il doit néanmoins être établi par un partenaire réellement compétent en protection des données, avec un périmètre contractuel clair. Prix, délai d’encaissement, charge de livraison et marge sont établis pendant le cadrage préalable.

La piste reçoit un GO conditionnel. Le problème est précis, le livrable peut être vendu avant un déploiement lourd et l’accès à l’UE possède une valeur stratégique. Le passage à l’échelle reste en HOLD tant qu’une transaction partenaire avec une entreprise suisse nouvelle n’a pas établi le prix, l’encaissement, le coût complet, la marge et le rôle causal de la revue dans la décision de lancement.

Les entreprises suisses qui préparent réellement l’Union européenne se repèrent par des signaux d’expansion : pages pays, recrutement commercial, distribution, salons, localisation produit, appels d’offres, nouveaux fournisseurs ou exigences d’acheteurs. La qualification doit confirmer une campagne, un pays, un décideur et une échéance.

La recherche peut combiner bases d’entreprises, annonces publiques, offres d’emploi, pages locales, partenariats, événements et signaux technologiques. Les canaux peuvent ensuite mêler recherche en ligne, contenu spécialisé, réseaux professionnels, courriel, téléphone, messages vocaux, prescripteurs, événements et comptes stratégiques. Leur usage doit lui-même respecter les règles que la lecture vient d’expliquer.

Lecture du schéma. Un intérêt général pour l’Europe n’est pas un dossier. La revue devient achetable lorsqu’un lancement, des flux et un décideur possèdent une date.

Les comptes sont écartés lorsque l’expansion reste hypothétique, qu’aucune personne ne porte la décision, que le partenaire n’est pas compétent pour le pays ou que le prospect demande une validation gratuite. Ce filtrage protège la capacité experte et évite de transformer la sanction maximale en argument de peur.

Les indicateurs qui permettent de décider si cette acquisition mérite de continuer sont les lancements réellement qualifiés, les revues facturées et encaissées, leur coût d’acquisition complet, le temps expert, la marge et les ventes européennes effectivement débloquées. L’audience et les rendez-vous ne suffisent pas.

Le coût complet additionne données, média, outils, production, temps commercial et temps expert. Il se compare à la marge de la revue, puis éventuellement à la valeur d’une intervention suivante réellement signée. Le montant des amendes, la taille de l’Union ou le nombre de sociétés suisses ne peut servir de dénominateur commercial.

Un pivot de ciblage intervient si les entreprises contactées ne possèdent aucun projet daté. Un pivot d’offre intervient si le besoin existe mais que la revue paraît trop large ou trop juridique. Un pivot de capacité ralentit les canaux lorsque le partenaire ne peut plus livrer dans le délai promis. Aucun résultat de campagne n’est revendiqué dans cette lecture.

La revue peut devenir une relation suivie lorsqu’un nouveau pays, canal, produit, fournisseur ou acheteur crée une nouvelle décision documentée. La continuité ne vient pas automatiquement du RGPD : chaque intervention doit posséder un déclencheur, un livrable, une responsabilité et un prix.

Le partenaire peut actualiser la carte de flux, examiner un nouveau sous-traitant, préparer un questionnaire acheteur ou revoir une campagne différente. Un rôle récurrent de conseil n’est crédible que si la disponibilité, les délais et les limites sont contractuellement soutenables. Revenu, durée et marge sont documentés par les prestations effectivement reconduites.

La lecture sur la nouvelle LPD traite la gouvernance suisse des données. Celle sur l’annonce cyber suit une décision d’incident dans les 24 heures. L’archive IT et cybersécurité ne doit afficher que les lectures validées.

Les sources qui permettent de vérifier le cadre sont le texte du RGPD publié par l’Union européenne, les lignes directrices du Comité européen de la protection des données, les fiches de la Commission européenne et l’information du PFPDT destinée aux entreprises suisses.

Les références principales sont le RGPD, notamment ses articles 3, 13, 14, 21, 27, 28 et 44 ; le Comité européen de la protection des données, Lignes directrices 3/2018 sur le champ territorial et son guide PME ; la Commission européenne, À qui s’applique la législation relative à la protection des données ? et ses fiches sur le marketing ; le PFPDT, Le RGPD et ses conséquences sur la Suisse et Décision d’adéquation de l’UE concernant la Suisse ; la directive ePrivacy pour les communications électroniques.

L’analyse conclut qu’une revue de lancement UE peut constituer un premier achat crédible, mais que son marché rentable reste à prouver. Le test exige un partenaire compétent, des entreprises suisses en expansion, une offre encaissable rapidement et une capacité suffisante pour tenir la promesse.

Le RGPD n’est pas un mur dressé à la frontière. Il impose de rendre l’activité lisible : qui est visé, quelles données circulent, qui décide, quels fournisseurs interviennent et quelle règle encadre le canal. Cette lisibilité peut accélérer une vente européenne lorsqu’un acheteur attend des preuves ; elle ne produit aucun client à elle seule.

getfishnet peut construire avec vous une stratégie d’acquisition sur mesure autour de cette entrée : cibles, signaux, canaux, qualification et première offre. Le test confronte cette piste à vos difficultés d’acquisition actuelles, à votre expertise et à votre économie, puis vérifie si nous possédons de vraies synergies de développement.