Lois internationales en vie privée —
quand une PME québécoise est concernée

Comprendre les lois internationales en vie privée — guide pratique pour les PME québécoises

Ce contenu présente les régimes étrangers les plus susceptibles de s'appliquer à une PME québécoise qui exporte ou qui sous-traite à l'international.

Préalable conseillé : avant d'aborder les régimes étrangers, structurer la conformité Loi 25 et s'aligner sur ISO 27701 — voir la Formation Gouvernance PRP et la fiche ISO 27701. L'expérience montre que la majorité des exigences internationales se couvrent à partir de cette base, avec des ajustements ponctuels par marché ciblé.

Pourquoi les lois étrangères concernent une PME québécoise

L'idée reçue : « ce sont des lois étrangères, ça ne nous concerne pas ». La réalité est plus nuancée. Le critère d'application des lois en vie privée modernes n'est pas le siège social de l'entreprise, mais le lieu où se trouve la personne dont les données sont traitées. Une PME québécoise peut tomber sous une loi étrangère sans avoir d'établissement à l'étranger.

Cas typiques où une PME québécoise est concernée :

• Vente en ligne à des résidents européens — le RGPD s'applique dès qu'une organisation propose des biens ou services à des personnes dans l'UE. Un site e-commerce québécois en français qui livre en France est concerné.
• Clients dans plusieurs États américains — si vous traitez les données de résidents californiens, le CCPA peut s'appliquer (sous réserve des seuils). Idem pour les autres lois d'État.
• Sous-traitance pour un client européen ou américain — un fournisseur québécois qui traite des données pour le compte d'un client soumis au RGPD ou au CCPA hérite des obligations contractuelles de son client.

Risque concret : une demande contractuelle d'un client institutionnel pour démontrer la conformité RGPD lors d'un appel d'offres, qui ne peut pas être satisfaite à la dernière minute. Plus rarement mais plus coûteux : une plainte d'un client européen avec amendes potentielles jusqu'à 4 % du chiffre d'affaires mondial pour le RGPD.

RGPD — Règlement européen sur la protection des données

Éléments structurants pour une PME :

• Bases légales du traitement (art. 6) — six fondements possibles : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêts légitimes. Toute collecte doit en invoquer au moins un.
• Catégories particulières (art. 9) — données « sensibles » (santé, opinions politiques, vie sexuelle, biométriques) avec un régime renforcé.
• Droits des personnes (art. 12-23) — accès, rectification, effacement (« droit à l'oubli »), limitation, portabilité, opposition, droits relatifs aux décisions automatisées.
• Responsable de traitement et sous-traitant (art. 24-43) — distinction stricte controller/processor avec obligations contractuelles précises (DPA art. 28).
• Transferts hors UE (art. 44-50) — décisions d'adéquation, clauses contractuelles types (SCC), règles d'entreprise contraignantes (BCR).
• Délégué à la protection des données — DPO (art. 37-39) — obligatoire pour certains traitements à grande échelle.
• Notification d'incident (art. 33-34) — sous 72 heures à l'autorité de contrôle.
• Sanctions (art. 83) — jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial annuel.

Tests d'applicabilité — vous êtes concerné si au moins un de ces éléments est vrai :

• Vous avez un établissement, un employé ou une succursale dans l'Union européenne (art. 3.1).
• Vous offrez des biens ou services à des personnes situées dans l'UE — y compris gratuitement — et cette intention est démontrable (langue, devise, livraison, marketing ciblé). C'est le critère extraterritorial (art. 3.2.a).
• Vous suivez le comportement de personnes situées dans l'UE (cookies, analytique, reciblage). C'est l'autre critère extraterritorial (art. 3.2.b).

CCPA / CPRA — Régime californien

Seuils d'application — une entreprise à but lucratif faisant affaire en Californie est concernée si elle remplit au moins un des critères suivants :

• Chiffre d'affaires annuel supérieur à 25 M$ US.
• Achète, vend ou partage les données personnelles de 100 000 résidents californiens ou foyers ou plus.
• Tire 50 % ou plus de son chiffre d'affaires de la vente de données personnelles de résidents.

Pour la majorité des PME québécoises, le seuil des 100 000 résidents californiens est le plus accessible — il peut être atteint rapidement avec un SaaS B2C ou un commerce en ligne actif sur le marché américain.

Cinq droits principaux :

1. Right to know — savoir quelles données sont collectées et comment elles sont utilisées.
2. Right to delete — demander l'effacement, avec exceptions.
3. Right to opt-out — refuser la vente ou le partage des données.
4. Right to correct — corriger les données inexactes (ajout du CPRA).
5. Right to limit — limiter l'utilisation des données sensibles (numéros d'assurance, biométrie, géolocalisation précise, etc.).

Lois US d'État — 19 régimes en vigueur en 2026

Tendances communes en 2026 :

• Mécanisme universel d'opt-out (UOOM / Global Privacy Control) — Connecticut et Oregon rejoignent en janvier 2026 la Californie, le Colorado, le Delaware, le Maryland, le Minnesota, le Montana, le New Jersey, le New Hampshire et le Texas. 11 États au total qui exigent que les sites reconnaissent un signal universel de refus envoyé par le navigateur.
• Données sensibles renforcées — Colorado et Oregon ont durci en 2026 les règles sur les données biométriques, la géolocalisation et les données des mineurs.
• Exemption GLBA réduite — Connecticut a retiré en 2026 l'exemption d'entité pour les institutions financières couvertes par Gramm-Leach-Bliley.
• Mise en application réelle — Californie, Texas et Connecticut ont commencé à imposer des amendes de plusieurs millions de dollars. La phase « pédagogique » est terminée.

Chaque loi d'État a ses propres seuils d'application, ses propres droits et ses propres délais de réponse. Pour une PME québécoise, il n'est pas réaliste de viser la conformité « 19 lois en parallèle ». La pratique standard est de calibrer sur la loi la plus stricte (généralement Californie + Colorado) et d'ajouter des ajustements ponctuels selon les marchés ciblés.

Tests d'applicabilité — quand une PME québécoise est-elle concernée?

Test RGPD (Union européenne) — vous êtes concerné si :

• Vous avez un établissement ou un employé dans l'UE.
• Vous offrez des biens ou services (gratuits ou payants) à des personnes situées dans l'UE, avec une intention démontrable (langue, devise, livraison, marketing ciblé).
• Vous suivez le comportement de personnes dans l'UE (cookies, analytique, reciblage).

Test CCPA / CPRA (Californie) — vous êtes concerné si :

• Vous faites affaire avec des résidents californiens ET remplissez au moins un des trois seuils (25 M$ US de revenu, 100 000 résidents/foyers, 50 % du revenu via vente de données).

Test autres lois US d'État — règle générale :

• Vérifier les seuils spécifiques de chaque État ciblé (volume de résidents traités, % du revenu, etc.).
• Si l'activité est marginale dans un État, le risque pratique est faible mais l'obligation existe.

Cas typiques pour une PME québécoise :

• Boutique en ligne francophone qui livre en France — RGPD applicable. Mention sur la page de confidentialité, registre des activités, mécanisme d'exercice des droits, base légale documentée pour chaque traitement.
• SaaS B2B basé à Montréal avec clients en Californie — vous devenez « service provider » au sens du CCPA dès que votre client traite les données de résidents californiens via votre outil. DPA spécifique CCPA et respect des demandes répercutées.
• Cabinet de consultation servant un client européen — votre client vous demandera un DPA conforme à l'article 28 du RGPD avec clauses sur les transferts hors UE.

Particularités pour les PME québécoises exportatrices

Décision d'adéquation Canada — Union européenne

Le Canada bénéficie d'une décision d'adéquation partielle de la Commission européenne, qui couvre les organisations privées soumises à la LPRPDE. La Loi 25 québécoise est largement reconnue comme « équivalente » au RGPD, et les transferts UE → Québec sont considérés sécuritaires sous réserve d'analyse cas par cas. Conséquence pratique : un client européen peut transférer ses données vers une PME québécoise sans clauses contractuelles types (SCC), à condition que la PME soit elle-même conforme Loi 25.

Global Privacy Control (GPC) — le standard technique du marché américain en 2026

Le GPC est un signal envoyé par le navigateur de l'utilisateur pour exprimer un refus universel de la vente ou du partage de ses données. En 2026, 11 États américains exigent que les sites web reconnaissent ce signal — Californie, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, New Jersey, New Hampshire, Oregon, Texas. Pour une PME québécoise qui exploite un site web en anglais ou destiné à des résidents américains, l'implémentation du GPC est devenue le standard technique attendu — sans nécessiter une démarche légale lourde, mais avec un impact direct sur la conformité multi-États.

Pratique réaliste — la règle « plus strict d'abord, adapter par exception »

Pour une PME québécoise alignée Loi 25 et ISO 27701, la majorité des exigences internationales sont déjà couvertes — ISO 27701 mappe explicitement le RGPD dans son Annexe D, et la Loi 25 est plus stricte que la LPRPDE et que la majorité des lois US d'État. Les ajustements spécifiques se font par marché ciblé :

• Pour le marché européen — addendum RGPD à la politique, documentation des bases légales (6 fondements art. 6), clauses contractuelles types pour les transferts hors UE, mécanisme d'exercice des droits accessible.
• Pour le marché américain — implémentation du Global Privacy Control sur le site, calibrage politique sur Californie + Colorado, addendum CCPA dans les contrats avec service providers basés au Québec.
• Pour les marchés émergents en vie privée (LGPD Brésil, lois asiatiques) — analyse cas par cas selon l'exposition réelle.

Cette approche est plus économique et plus défendable que de naviguer 20 régimes simultanément — et elle reste cohérente avec la posture Loi 25 québécoise qui sert d'étalon.

Pour aller plus loin : cette page s'inscrit dans le guide Normes internationales (gouvernance) qui présente ISO 27001/27701, la LPRPDE et les régimes internationaux — vue d'ensemble pour situer votre démarche.