Conformité RGPD pour PME Québécoises qui Exportent en Europe

Ma PME québécoise doit-elle se conformer au RGPD européen, et pas seulement à la Loi 25 ? Oui, dès qu'elle offre des biens ou des services à des personnes situées dans l'Union européenne, ou qu'elle surveille leur comportement en ligne — par exemple avec des cookies de suivi ou des outils analytiques sur un site visité par des Européens. La localisation de votre entreprise n'a aucune importance : c'est la localisation des personnes dont vous traitez les données qui déclenche l'application du règlement, peu importe que vous ayez ou non un bureau, un employé ou un serveur en Europe.

Ce guide s'adresse aux dirigeants de PME québécoises qui vendent en ligne, offrent un logiciel en mode SaaS, ou collectent simplement des courriels de visiteurs via un formulaire web, et qui découvrent — souvent trop tard — que leur activité les expose potentiellement au Règlement général sur la protection des données (RGPD) de l'Union européenne, en plus de la Loi 25 déjà en vigueur au Québec. Nous couvrons ici le déclencheur extraterritorial du RGPD, un tableau comparatif détaillé Loi 25 vs RGPD, les obligations concrètes à remplir, une checklist de mise en conformité, un cas d'usage e-commerce complet, trois études de cas chiffrées et les ressources gouvernementales disponibles pour vous accompagner. Nos techniciens certifiés appliquent cette même rigueur lorsqu'ils réalisent un audit de sécurité informatique ou déploient des mesures de cybersécurité en entreprise pour des PME québécoises qui font affaire à l'international.

Pourquoi une entreprise 100 % québécoise peut être visée par une loi européenne

La réaction la plus fréquente d'un dirigeant de PME québécoise en entendant parler du RGPD est un simple haussement d'épaules : « on n'a pas de bureau en Europe, ça ne nous concerne pas ». Cette logique, intuitive, est pourtant incorrecte. L'article 3 du RGPD définit une portée territoriale qui ne repose pas sur la localisation de l'entreprise, mais sur la localisation des personnes concernées par le traitement de données. Concrètement, le règlement s'applique à toute organisation dans le monde, quel que soit son pays d'établissement, dès qu'elle traite des données personnelles de résidents de l'Union européenne dans l'un ou l'autre de ces deux contextes : elle leur offre des biens ou des services, même gratuitement, ou elle surveille leur comportement dans la mesure où ce comportement a lieu au sein de l'Union européenne.

Cette portée dite « extraterritoriale » est l'une des caractéristiques les plus mal comprises du RGPD par les PME nord-américaines. Elle explique pourquoi une entreprise québécoise sans aucune présence physique, juridique ou financière en Europe peut néanmoins se retrouver, sans l'avoir cherché, sous le coup d'obligations légales européennes précises. Trois scénarios concrets illustrent le plus souvent ce déclenchement chez les PME d'ici.

Scénario 1 : le commerce en ligne qui livre en Europe

Une boutique en ligne québécoise qui vend des produits — vêtements, accessoires, équipement de plein air, cosmétiques, produits artisanaux — et qui accepte des commandes livrées en France, en Belgique, en Allemagne ou dans tout autre pays de l'Union européenne offre manifestement des biens à des personnes situées dans l'UE. Le simple fait de proposer une option de livraison vers l'Europe, d'afficher des prix en euros, ou de cibler explicitement une clientèle européenne dans une campagne publicitaire, constitue un indice fort que l'entreprise « offre des biens ou des services » au sens de l'article 3, même si la majorité de ses ventes demeurent nord-américaines.

Scénario 2 : le logiciel SaaS avec des utilisateurs européens

Une entreprise québécoise qui développe une application web ou un logiciel en mode SaaS et qui compte, même en petit nombre, des utilisateurs ou des clients établis en Europe traite nécessairement des données personnelles de ces utilisateurs : adresses courriel, données de facturation, journaux de connexion, parfois des données comportementales détaillées sur l'usage du logiciel. Que ces utilisateurs européens représentent 2 % ou 40 % de la base de clients ne change rien au principe : dès qu'ils existent, le RGPD s'applique à leur égard, indépendamment du volume.

Scénario 3 : la simple newsletter ou le formulaire de contact

Le scénario le plus sous-estimé est celui d'un site web québécois, sans intention commerciale particulière envers l'Europe, mais qui reçoit tout de même des visiteurs européens — attirés par un article de blogue, une recherche Google, ou un partage sur les réseaux sociaux — et qui collecte leur courriel via un formulaire de contact, une infolettre ou des outils analytiques et publicitaires standards (Google Analytics, pixels publicitaires, cookies de suivi). Si le site surveille activement le comportement de ces visiteurs européens, par exemple via des cookies de suivi comportemental utilisés à des fins publicitaires, ce simple usage technique peut suffire à déclencher l'application du RGPD, même sans aucune vente réalisée en Europe.

Loi 25 vs RGPD : tableau comparatif détaillé

Une fois établi qu'une PME québécoise peut être visée par les deux régimes simultanément, il devient essentiel de comprendre en quoi ils diffèrent réellement. Le tableau suivant compare la Loi 25 québécoise et le RGPD européen sur les critères qui reviennent le plus souvent dans les questions de nos clients.

Critère	Loi 25 (Québec)	RGPD (Union européenne)
Portée territoriale	S'applique aux organisations qui traitent des renseignements personnels dans le cadre de leurs activités au Québec	S'applique à toute organisation dans le monde qui offre des biens/services à des personnes dans l'UE ou surveille leur comportement (article 3), peu importe où elle est établie
Autorité de régulation	Commission d'accès à l'information du Québec (CAI)	Autorité de contrôle du pays européen concerné, ou autorité chef de file en cas de traitement transfrontalier au sein de l'UE
Délai de notification de brèche	« Dans les meilleurs délais » — délai non chiffré précisément	72 heures après avoir pris connaissance de la violation, sauf exception justifiée
Sanctions maximales	Pénales : jusqu'à 25 000 000 $ ou 4 % du chiffre d'affaires mondial ; SAP de la CAI : jusqu'à 10 000 000 $ ou 2 %	Jusqu'à 20 000 000 € ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu
Obligation de représentant local	Non prévue en tant que telle, mais un responsable de la protection des renseignements personnels (RPRP) doit être désigné et ses coordonnées publiées	Représentant dans l'UE obligatoire pour les entreprises hors UE qui traitent des données de résidents européens de façon non occasionnelle (article 27), sauf exceptions limitées
Droits des personnes concernées	Accès, rectification, cessation de diffusion, portabilité (depuis 2024), désindexation pour certains contenus publics, droits limités sur les décisions automatisées	Accès, rectification, effacement (« droit à l'oubli »), portabilité, opposition, droits renforcés et plus détaillés sur le profilage et les décisions automatisées
Base légale du traitement	Consentement manifeste, libre et éclairé requis pour la plupart des usages ; consentement distinct exigé pour certains usages secondaires depuis 2023	Six bases légales possibles (consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêt légitime) ; le consentement, lorsqu'il est utilisé, doit être libre, spécifique, éclairé et univoque
Transferts internationaux de données	Évaluation des facteurs relatifs à la vie privée (EFVP) exigée avant certains transferts hors Québec, avec obligation de niveau de protection comparable	Mécanisme de transfert valide obligatoire : décision d'adéquation, clauses contractuelles types (SCC), ou règles d'entreprise contraignantes

Ce tableau illustre un point central : la Loi 25 et le RGPD partagent une philosophie générale semblable (transparence, consentement, droits des personnes, sécurité des données), mais diffèrent nettement dans leur portée géographique, leur rigueur procédurale et leurs sanctions. Une entreprise peut donc très bien avoir accompli l'essentiel de son travail de conformité Loi 25 — désignation du RPRP, politique de confidentialité, registre des incidents — sans avoir répondu à une seule des exigences propres au RGPD qui la visent par ailleurs.

Les obligations RGPD concrètes pour une PME québécoise concernée

Une fois établi qu'une PME est visée par le RGPD, la question suivante devient pratique : que doit-elle réellement mettre en place ? Voici les obligations qui reviennent le plus fréquemment pour une PME québécoise dont l'activité touche des personnes situées dans l'Union européenne.

Désigner un représentant dans l'Union européenne (article 27)

Une entreprise établie hors de l'UE qui traite des données de résidents européens de façon non occasionnelle doit généralement désigner par écrit un représentant établi dans l'un des États membres où se trouvent les personnes concernées. Ce représentant agit comme point de contact officiel pour les autorités de contrôle européennes et pour les personnes concernées elles-mêmes — il reçoit les plaintes, les demandes d'exercice de droits et les demandes d'information des régulateurs, et transmet ces communications à l'entreprise québécoise. Des exceptions existent pour les traitements occasionnels, à faible risque et ne portant pas sur des catégories particulières de données, mais une PME qui vend régulièrement en ligne à des clients européens ou qui héberge une base d'utilisateurs SaaS européens tombe généralement sous cette obligation.

Identifier une base légale claire pour chaque traitement

Contrairement à une approche qui reposerait uniquement sur le consentement, le RGPD reconnaît six bases légales distinctes pour justifier un traitement de données : le consentement, l'exécution d'un contrat, le respect d'une obligation légale, la sauvegarde d'intérêts vitaux, l'exécution d'une mission d'intérêt public, et l'intérêt légitime du responsable du traitement. Pour une PME e-commerce, le traitement des données nécessaires à l'exécution d'une commande repose généralement sur la base contractuelle, tandis que l'envoi d'une infolettre marketing repose généralement sur le consentement explicite du destinataire. Documenter cette base légale pour chaque catégorie de traitement, plutôt que de présumer que le consentement couvre tout, est une étape souvent négligée par les PME nord-américaines habituées à un cadre plus permissif.

Mettre à jour les mentions d'information et la politique de confidentialité

Le RGPD exige une information claire, accessible et complète des personnes concernées avant ou au moment de la collecte de leurs données : identité du responsable du traitement, finalités précises, base légale, durée de conservation, destinataires des données, existence des droits des personnes et modalités pour les exercer, coordonnées du représentant UE le cas échéant. Une politique de confidentialité rédigée uniquement pour satisfaire la Loi 25 omet généralement plusieurs de ces mentions spécifiques au RGPD et doit être complétée, pas nécessairement dupliquée dans un document distinct.

Gérer le consentement, notamment pour les cookies

La gestion du consentement aux cookies non essentiels — publicitaires, analytiques, de personnalisation — constitue souvent le point de friction le plus visible pour une PME qui découvre le RGPD. Une bannière de consentement conforme doit permettre un refus aussi simple que l'acceptation, sans case précochée, sans texte trompeur, et sans « mur de consentement » qui bloquerait l'accès au site en cas de refus. Techniquement, les cookies non essentiels ne devraient pas être déposés avant l'obtention du consentement — une exigence que la plupart des modèles de bannières calqués sur les pratiques nord-américaines ne respectent pas réellement, se limitant à informer sans réellement bloquer les cookies au préalable.

Respecter les droits élargis des personnes concernées

Le RGPD accorde aux personnes concernées un éventail de droits plus étendu et plus précisément défini que la Loi 25 : droit d'accès à leurs données, droit de rectification, droit à l'effacement (le fameux « droit à l'oubli »), droit à la portabilité vers un autre fournisseur, droit d'opposition à certains traitements — notamment le marketing direct — et des droits renforcés concernant le profilage et les décisions entièrement automatisées. Une PME doit être en mesure de répondre à une demande d'exercice de ces droits dans un délai raisonnable, généralement un mois, ce qui suppose de savoir concrètement où et comment les données personnelles sont stockées dans ses systèmes.

Notifier toute violation de données en 72 heures

Contrairement au délai flou « dans les meilleurs délais » de la Loi 25, le RGPD impose un délai précis de 72 heures suivant la prise de connaissance d'une violation de données pour en informer l'autorité de contrôle compétente, sauf si la violation est peu susceptible d'engendrer un risque pour les personnes concernées. Ce délai serré exige qu'une PME dispose déjà, avant tout incident, d'une procédure interne claire de détection et d'escalade — improviser une notification conforme en 72 heures au moment d'une crise est rarement réaliste.

Tenir un registre des activités de traitement (article 30)

L'article 30 du RGPD exige la tenue d'un registre documentant les activités de traitement de données personnelles : finalités, catégories de données et de personnes concernées, destinataires, délais de conservation, mesures de sécurité. Une exemption existe pour les entreprises de moins de 250 employés dont le traitement est occasionnel, ne présente pas de risque particulier et ne porte pas sur des catégories sensibles de données à grande échelle — mais dans la pratique, une PME qui traite régulièrement des données de clients (ce qui est presque toujours le cas d'une activité commerciale continue) sort rapidement du champ de cette exemption et doit tenir un registre, même sommaire.

Encadrer les transferts de données hors de l'Union européenne

Tout transfert de données personnelles de personnes européennes vers un pays situé hors de l'UE, y compris vers le Canada, doit s'appuyer sur un mécanisme reconnu : une décision d'adéquation de la Commission européenne, des clauses contractuelles types (SCC), ou des règles d'entreprise contraignantes. Le Canada bénéficie d'une décision d'adéquation partielle, limitée aux organisations soumises à la LPRPDE (PIPEDA), ce qui facilite certains transferts — mais chaque PME doit valider individuellement si sa situation est réellement couverte par cette décision, en particulier depuis l'entrée en vigueur de la Loi 25, qui a modifié le régime provincial de protection des renseignements personnels et dont l'articulation exacte avec la décision d'adéquation canadienne continue d'évoluer.

Checklist de mise en conformité RGPD pour PME québécoise

Voici une checklist pratique, organisée par thème, pour structurer une démarche de mise en conformité RGPD. Elle ne remplace pas un avis juridique spécialisé pour les situations complexes, mais elle couvre les étapes concrètes que la plupart des PME québécoises visées doivent accomplir.

Cartographie des données

• ☐ Identifier toutes les sources de données collectées auprès de visiteurs, clients ou utilisateurs européens (formulaires, boutique en ligne, application, cookies)
• ☐ Dresser l'inventaire des systèmes et fournisseurs qui stockent ou traitent ces données (hébergeur, plateforme e-commerce, outil d'infolettre, CRM)

Base légale et mentions

• ☐ Documenter la base légale (consentement, contrat, intérêt légitime, etc.) pour chaque catégorie de traitement
• ☐ Mettre à jour la politique de confidentialité avec les mentions exigées par le RGPD (finalités, durée de conservation, droits, coordonnées du représentant UE)
• ☐ Publier des mentions légales bilingues conformes si le site cible explicitement une clientèle européenne francophone ou anglophone

Cookies et consentement

• ☐ Déployer une bannière de consentement conforme, avec refus aussi simple que l'acceptation et sans case précochée
• ☐ Configurer une solution technique qui bloque réellement les cookies non essentiels avant l'obtention du consentement

Droits des personnes

• ☐ Mettre en place une procédure interne pour répondre aux demandes d'accès, de rectification, d'effacement et de portabilité dans le délai prévu
• ☐ Prévoir un mécanisme simple de désabonnement et d'opposition au marketing direct

Sous-traitants et fournisseurs

• ☐ Vérifier que chaque fournisseur qui traite des données pour le compte de l'entreprise (hébergeur, plateforme d'infolettre, outil analytique) offre des garanties RGPD adéquates
• ☐ Conclure ou vérifier l'existence d'un contrat de sous-traitance conforme à l'article 28 avec ces fournisseurs

Transferts et gouvernance

• ☐ Confirmer le mécanisme de transfert applicable pour toute donnée européenne traitée ou stockée au Canada ou ailleurs
• ☐ Tenir un registre des activités de traitement, même sommaire, couvrant les données de clientèle européenne
• ☐ Établir une procédure interne de détection et de notification de violation de données respectant le délai de 72 heures
• ☐ Évaluer, selon le volume et la nature des données traitées, si un représentant dans l'Union européenne doit être formellement désigné

Cas d'usage concret : une boutique de plein air montréalaise qui commence à vendre en Europe

Pour illustrer concrètement cette démarche, prenons l'exemple fictif d'Expédition Nordik, une boutique en ligne montréalaise spécialisée dans l'équipement de plein air et de camping, qui vendait jusqu'ici exclusivement au Canada et aux États-Unis. Après une campagne publicitaire réussie sur les réseaux sociaux, l'entreprise commence à recevoir des commandes en provenance de France, de Belgique et d'Allemagne, et décide d'ajouter officiellement ces pays à ses options de livraison. Voici, étape par étape, ce que l'entreprise doit mettre en place.

Ce cas illustre un principe important : la mise en conformité RGPD d'une PME e-commerce n'exige généralement pas une refonte complète de l'entreprise, mais une série d'ajustements ciblés et documentés, proportionnés au volume réel d'activité européenne — une approche progressive plutôt qu'un chantier disproportionné.

Trois études de cas de PME québécoises face au RGPD

Cas 1 — NordiqSoft, startup SaaS à Québec (Vieux-Québec)

NordiqSoft développe un logiciel de gestion de projet en mode SaaS, avec environ 1 800 clients payants dont 140 sont établis en France, en Belgique et aux Pays-Bas. Le volume européen reste minoritaire, mais le traitement est continu et implique des données de facturation ainsi que des journaux d'utilisation détaillés. Après analyse, l'entreprise détermine qu'elle n'atteint pas le seuil d'un suivi systématique à grande échelle qui obligerait la désignation d'un délégué à la protection des données (DPO), mais qu'elle doit néanmoins désigner un représentant UE et documenter son registre des activités de traitement. Coût estimé de la mise en conformité initiale : environ 9 500 $ CAD, incluant l'audit, la mise à jour des mentions légales, un représentant UE externe pour la première année et la configuration d'une solution de gestion du consentement adaptée à une application web.

Cas 2 — Lainage Sherbrooke, marque de mode qui perce en Allemagne

Lainage Sherbrooke, une marque de vêtements en laine confectionnés au Québec, voit ses ventes exploser en Allemagne après la viralité d'une publication sur les réseaux sociaux, passant de commandes occasionnelles à plusieurs centaines de commandes mensuelles en quelques mois. Devant cette croissance rapide et non planifiée, l'entreprise doit agir dans l'urgence : mise à jour accélérée de sa politique de confidentialité, déploiement d'une bannière de consentement conforme, et désignation d'un représentant UE compte tenu du volume désormais clairement récurrent. La précipitation fait grimper la facture par rapport à une démarche planifiée à l'avance : environ 12 000 $ CAD au total, incluant des honoraires juridiques accélérés pour valider les mentions en allemand et en français.

Cas 3 — Savons du Mile-End, exportatrice artisanale de cosmétiques

Savons du Mile-End, une petite entreprise montréalaise de cosmétiques artisanaux, exporte occasionnellement vers un distributeur unique en France, sans vente directe aux consommateurs européens et sans site de commerce en ligne ciblant l'Europe. L'essentiel de ses données personnelles européennes se limite aux coordonnées professionnelles de son distributeur et de quelques contacts B2B. Après évaluation, l'entreprise conclut que son exposition au RGPD demeure limitée et largement couverte par l'exception applicable aux traitements occasionnels à faible risque, mais met tout de même à jour ses mentions de confidentialité par précaution et documente cette analyse pour se protéger en cas de question future. Coût de cette mise en conformité allégée : environ 1 800 $ CAD, principalement pour l'avis juridique de validation et la mise à jour des mentions.

Budget réaliste pour une mise en conformité RGPD au Québec (en dollars CAD)

Le coût d'une mise en conformité RGPD varie fortement selon le volume de données traitées, la complexité technique du site ou de l'application, et le recours ou non à des services professionnels externes. Voici des fourchettes réalistes observées pour des PME québécoises, du niveau le plus basique au plus complet.

Poste de dépense	Fourchette basse	Fourchette moyenne	Fourchette haute
Audit de conformité RGPD initial	1 500 $ – 2 500 $	2 500 $ – 5 000 $	5 000 $ – 10 000 $+
Mise à jour du site web / politique de confidentialité	800 $ – 1 500 $	1 500 $ – 3 500 $	3 500 $ – 8 000 $
Solution de gestion du consentement (cookies)	Gratuit – 300 $/an	300 $ – 1 200 $/an	1 200 $ – 4 000 $/an
Représentant UE externe	1 000 $ – 1 800 $/an	1 800 $ – 3 000 $/an	3 000 $ – 6 000 $/an
Formation des employés	500 $ – 1 000 $	1 000 $ – 2 000 $	2 000 $ – 4 000 $
Total estimé, mise en conformité complète (1re année)	3 800 $ – 7 100 $	7 100 $ – 14 700 $	14 700 $ – 32 000 $+

Comme pour la Loi 25, il faut distinguer une PME dont l'activité européenne est occasionnelle et peu risquée, pour qui un budget d'entrée de gamme suffit généralement, d'une entreprise dont les ventes ou les utilisateurs européens croissent de façon soutenue, où l'investissement dans un représentant UE, une solution de gestion du consentement robuste et un accompagnement juridique ponctuel devient rapidement rentable face au risque de sanction ou de perte de confiance client.

Ressources gouvernementales pour accompagner votre PME exportatrice

Plusieurs organismes québécois et canadiens peuvent appuyer une PME dans sa démarche d'exportation vers l'Europe et, indirectement, dans les investissements liés à sa mise en conformité réglementaire.

Investissement Québec International accompagne les entreprises québécoises dans leurs démarches d'exportation, y compris vers les marchés européens, avec des services-conseils sur les aspects réglementaires, logistiques et commerciaux propres à chaque marché cible. Une PME qui planifie sérieusement son développement en Europe a intérêt à consulter cette ressource dès les premières étapes de son projet, plutôt qu'après avoir déjà commencé à vendre sans préparation.

La Banque de développement du Canada (BDC) offre des services-conseils et des solutions de financement qui peuvent appuyer les investissements en technologie, en cybersécurité et en mise en conformité réglementaire nécessaires à une expansion internationale, incluant l'embauche d'un partenaire technologique externe pour mettre à niveau un site web ou une infrastructure de données.

La Commission d'accès à l'information du Québec (CAI) demeure la référence provinciale pour toute question relative à la Loi 25, mais il est essentiel de comprendre qu'elle n'a aucune juridiction sur le RGPD. L'autorité de contrôle compétente pour une question RGPD dépend du pays européen visé par le traitement, ou de l'autorité chef de file désignée en cas de traitement transfrontalier au sein de l'Union européenne — une PME québécoise concernée doit donc s'informer directement auprès de cette autorité étrangère, ou par l'intermédiaire de son représentant UE, plutôt que de présumer que la CAI peut répondre à ce type de question.

Erreurs fréquentes des PME québécoises qui exportent en Europe sans s'en rendre compte

Ignorer que le site collecte déjà des données de visiteurs européens

Beaucoup de PME découvrent, en consultant leurs statistiques analytiques, qu'elles reçoivent depuis longtemps un volume non négligeable de visiteurs européens sans jamais avoir considéré cette réalité sous l'angle du RGPD. Un site strictement informatif, sans intention commerciale européenne, peut malgré tout être visé si des outils de suivi comportemental y sont actifs pour ces visiteurs.

Copier une bannière de cookies calquée sur un modèle américain

Les bannières de cookies popularisées par les lois américaines de type CCPA reposent souvent sur une logique de simple information avec option de retrait, plutôt que sur un véritable consentement préalable. Une PME qui réutilise ce type de modèle pour son site visité par des Européens se retrouve généralement en défaut, puisque le RGPD exige un consentement positif et éclairé avant le dépôt de cookies non essentiels, et non un simple avis suivi d'un droit de refus a posteriori.

Envoyer des courriels marketing sans base légale claire

L'envoi de courriels promotionnels à des adresses collectées lors d'une commande, sans consentement distinct pour un usage marketing, constitue une erreur fréquente. Le RGPD distingue clairement le traitement nécessaire à l'exécution d'une commande (base contractuelle) de l'utilisation subséquente de cette même adresse à des fins de prospection commerciale, qui nécessite généralement son propre fondement légal explicite, distinct et documenté.

Pour approfondir les enjeux propres à la conformité provinciale, notre guide sur la Loi 25 pour PME détaille les cinq obligations concrètes applicables au Québec, tandis que notre article sur la Loi 25 vs PIPEDA pour entreprises multiprovinciales aide à clarifier l'articulation entre les régimes fédéral et provincial canadiens. Notre guide sur les amendes réelles de la Loi 25 donne également une bonne intuition de la façon dont un régulateur calibre ses sanctions selon la gravité et la bonne foi d'une entreprise, un raisonnement que suivent également, dans une large mesure, les autorités de contrôle européennes. Nos équipes accompagnent aussi ces démarches via un audit de sécurité informatique et des mesures de cybersécurité en entreprise adaptées aux PME qui exportent.

Questions fréquentes — RGPD pour PME québécoises