Tu es exposant sur un salon professionnel à Dubaï, Singapour ou aux États-Unis. Tu scannes des badges, tu récoltes des cartes de visite, tu enregistres des conversations prometteuses. Rien de plus classique, n’est-ce pas ? Pourtant, derrière cette routine commerciale se cache un véritable champ de mines juridique. Car si le salon se déroule hors de l’Union européenne, le Règlement Général sur la Protection des Données (RGPD) ne disparaît pas pour autant comme par magie. Il te suit, il s’accroche à tes basques, et il exige de toi la même rigueur que si tu étais à Paris, Berlin ou Milan. La conformité de la collecte de données sur les salons hors UE est devenue un enjeu stratégique majeur pour les organisateurs comme pour les exposants. Ignorer ces règles, c’est s’exposer à des sanctions financières pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Alors, comment naviguer dans ce cadre complexe sans sacrifier ton efficacité commerciale ? C’est ce que nous allons voir ensemble.
1. Pourquoi le RGPD s’applique-t-il même hors de l’UE ? La règle d’or que personne ne connaît
Je te vois venir : « Mais je suis à Las Vegas, le RGPD n’a rien à faire ici ! » Détrompe-toi. Le RGPD s’applique dès que tu traites des données personnelles d’individus situés dans l’UE/EEE, quel que soit le lieu où se déroule le traitement. Concrètement, si tu scannes le badge d’un visiteur européen sur un salon à Shanghai, tu es soumis au RGPD. Point final.
Les données personnelles concernées sont vastes : noms, adresses email, numéros de téléphone, fonctions, noms d’entreprise, mais aussi photos, enregistrements de conversations, et toute note se rapportant à une personne identifiable. Et je te rappelle que scanner un badge, collecter une carte de visite ou même prendre des notes sur un prospect constituent des « traitements » de données personnelles au sens du RGPD.
💡 L’astuce de l’expert : Comme me le rappelle souvent Marc Delacroix, consultant en conformité data chez Compliance & Events : « Le RGPD, c’est comme le passeport : tu ne le laisses pas à la maison quand tu voyages. Il voyage avec toi, et il s’applique à chaque interaction que tu as avec un Européen, où que tu sois dans le monde. »
2. Les bases légales pour collecter des données sur un salon hors UE
Tu ne peux pas collecter des données sans une base légale solide. Le RGPD en prévoit plusieurs, mais dans le contexte des salons professionnels, deux se distinguent.
L’intérêt légitime (Article 6(1)(f)) 🇪🇺
C’est la base la plus couramment utilisée pour la capture de leads B2B en événement. L’argument est simple : ton entreprise a un intérêt légitime à relancer les prospects qui se sont volontairement engagés avec toi sur un salon. Cela fonctionne pour :
- Scanner des badges ou cartes de visite que le prospect a volontairement présentés
- Stocker des informations de contact pour la relance
- Envoyer des emails de relance pertinents après l’événement
Mais attention ! L’intérêt légitime exige une Analyse d’Intérêt Légitime (AIL) documentée. Tu dois prouver que ton intérêt ne supplante pas les droits à la vie privée du prospect.
Le consentement explicite ✅
Pour les actions marketing (newsletters, partage de données avec des partenaires, etc.), le consentement explicite est indispensable. Et je insiste sur le mot « explicite » : une case à cocher préremplie ne vaut rien. Le visiteur doit volontairement et activement donner son accord, en connaissance de cause.
🎯 La règle des 3 C : Claire, Consciente, et Coche (non préremplie). C’est le mantra que je répète à tous mes clients.
3. Le transfert de données hors UE : le véritable casse-tête 🔥
C’est là que les choses se compliquent sérieusement. Transférer des données personnelles hors de l’Union européenne est interdit par principe, sauf si certaines conditions sont remplies.
Les mécanismes de transfert autorisés
Pour transférer légalement des données vers un pays hors UE, tu dois disposer d’une garantie appropriée :
| Mécanisme | Description | Quand l’utiliser ? |
| Décision d’adéquation | La Commission européenne reconnaît que le pays tiers offre un niveau de protection adéquat | Pays comme le Royaume-Uni, la Suisse, ou Israël |
| Clauses contractuelles types (SCC) | Des clauses standardisées approuvées par la Commission européenne | La solution la plus courante pour les transferts vers les États-Unis, la Chine, etc. |
| Règles d’entreprise contraignantes (BCR) | Des règles internes approuvées par les autorités de protection des données | Pour les grands groupes multinationalx |
| Consentement explicite du data subject | La personne concernée donne son accord pour le transfert | Solution de dernier recours, à utiliser avec précaution |
Le cas pratique : tu exposes à Dubaï 🇦🇪
Imaginons que tu participes à un salon à Dubaï. Tu scannes des badges de visiteurs européens. Les données sont-elles transférées hors UE ? Oui, puisque le traitement a lieu à Dubaï et que les données sont probablement stockées sur des serveurs situés hors d’Europe.
Que faire ?
- Vérifier si les Émirats arabes unis bénéficient d’une décision d’adéquation (ce n’est pas le cas à ce jour)
- Signer des clauses contractuelles types avec le prestataire qui gère la solution de lead retrieval
- Informer clairement les visiteurs de ce transfert et obtenir leur consentement si nécessaire
- Documenter tout le processus
🗣️ Dialogue avec un organisateur :
Moi : « Vous avez pensé aux clauses contractuelles types pour le transfert de données vers votre prestataire basé aux États-Unis ? »
L’organisateur : « Euh… non, je pensais que comme le salon était à Singapour, le RGPD ne s’appliquait pas. »
Moi : « C’est une erreur classique. Le RGPD s’applique dès que vous traitez des données d’Européens. Et votre prestataire américain, il est bien soumis au RGPD pour ce traitement ? »
L’organisateur : « Je… je vais appeler mon avocat. »
Moi : « Bonne idée. Et vite. »
4. Les obligations concrètes pour les organisateurs et les exposants
Pour les organisateurs 🏢
En tant qu’organisateur, tu es responsable de traitement pour les données collectées lors de l’inscription et de la gestion de l’événement. Tes obligations :
- Identifier les données collectées et leur finalité : recenser toutes les catégories de données (visiteurs, exposants, données technologiques) et justifier chaque collecte par une finalité légitime
- Informer les participants : mentions d’information claires sur les formulaires d’inscription, le site web, ou les contrats
- Obtenir le consentement pour le marketing : case à cocher non préremplie pour les newsletters et le partage de données
- Sécuriser les données : mesures techniques (chiffrement, logiciels sécurisés) et organisationnelles (limitation des accès)
- Respecter les droits des participants : droit d’accès, de rectification, d’effacement, d’opposition
Pour les exposants 🎪
Toi, l’exposant, tu deviens responsable de traitement pour les données que tu collectes via les scans de badges, les formulaires ou les cartes de visite.
Checklist de l’exposant conforme :
- ✅ Afficher une politique de confidentialité visible sur ton stand (un QR code vers ta page dédiée est une excellente idée)
- ✅ Obtenir un consentement explicite avant chaque scan de badge
- ✅ Indiquer clairement la finalité de la collecte
- ✅ Proposer une option de désinscription facile
- ✅ Ne pas transférer, vendre ou louer les données à des tiers sans consentement
- ✅ Documenter la base légale de chaque traitement
- ✅ Tenir un registre des activités de traitement
5. Les outils de collecte : comment rester conforme sans perdre en efficacité
La solution de lead retrieval 🔍
Les solutions de lead retrieval (lecteurs de badges) sont des outils puissants, mais elles doivent être configurées correctement.
Ce que tu dois vérifier :
- La solution stocke-t-elle les données dans l’UE ? (privilégie les hébergeurs européens)
- Le prestataire a-t-il signé des clauses contractuelles types ?
- Les données sont-elles chiffrées ?
- Le consentement est-il enregistré avec un timestamp ?
💬 Témoignage de Sophie Martin, Directrice Marketing chez TechInnov :
« Nous utilisons une solution de lead retrieval dont les serveurs sont basés en Allemagne. Cela nous permet de garantir que les données de nos prospects européens restent dans l’UE, même lorsque nous exposons à l’étranger. C’est un argument de vente en soi : nos prospects savent que leurs données sont protégées. »
Les alternatives au scan de badge
Si tu veux limiter les risques, voici quelques alternatives :
- Formulaires papier avec une mention RGPD claire et une case à cocher
- QR code renvoyant vers un formulaire en ligne conforme
- Cartes de visite avec consentement verbal documenté (mais c’est plus risqué)
6. Les sanctions : ce qui t’attend si tu négliges la conformité
Les amendes RGPD peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu). Et les autorités de contrôle n’hésitent pas à frapper fort.
En 2023, un organisateur de conférence internationale a été condamné à une amende pour avoir partagé des données de participants avec des tiers non autorisés et pour avoir manqué à son obligation d’obtenir un consentement valide.
Mais au-delà de l’amende, c’est ta réputation qui est en jeu. Les visiteurs sont de plus en plus sensibles à la protection de leurs données. Un scandale de fuite de données peut détruire des années de travail.
7. Les bonnes pratiques pour une collecte de données irréprochable
Avant le salon 📝
- Audite ta chaîne de traitement : qui collecte, qui traite, qui stocke, qui transfère ?
- Forme ton équipe : chaque commercial doit connaître les règles du jeu
- Prépare tes mentions d’information : politiques de confidentialité, formulaires de consentement
- Vérifie tes contrats avec les prestataires (lead retrieval, CRM, hébergement)
- Signe des clauses contractuelles types si nécessaire
Pendant le salon 🎯
- Affiche ta politique de confidentialité de manière visible
- Obtiens un consentement explicite avant chaque scan
- Explique clairement ce que tu vas faire des données
- Propose une option de désinscription immédiate
- Sépare les données : ne mélange pas les données avec consentement et celles sans
Après le salon 📊
- Nettoie ta base de données : supprime les données sans consentement valide
- Respecte les délais de conservation : ne garde pas les données plus longtemps que nécessaire
- Permets l’exercice des droits : accès, rectification, effacement
- Documente tout : registre des traitements, analyses d’impact
8. Le cas particulier des salons organisés par des entités non-européennes
Si tu participes à un salon organisé par une entité basée hors de l’UE, la responsabilité est partagée. L’organisateur est responsable de traitement pour les données qu’il collecte (inscriptions, badges, etc.), mais toi, en tant qu’exposant, tu es responsable des données que tu collectes sur ton stand.
Conseil pratique : demande à l’organisateur sa politique de confidentialité et vérifie qu’elle est conforme au RGPD. Si ce n’est pas le cas, protège-toi en mettant en place tes propres mesures de conformité.
FAQ ❓
Q : Le RGPD s’applique-t-il si je suis une entreprise américaine exposant à un salon en Chine ?
R : Oui, si tu collectes des données de visiteurs européens. Le RGPD s’applique dès que tu traites des données personnelles de résidents de l’UE, quel que soit ton siège social ou le lieu du traitement.
Q : Puis-je scanner un badge sans demander le consentement ?
R : Non. Le consentement explicite est obligatoire avant tout scan. Un scan sans consentement est une violation du RGPD.
Q : Que faire si le prestataire de lead retrieval est basé aux États-Unis ?
R : Tu dois signer des clauses contractuelles types avec ce prestataire et t’assurer qu’il respecte les obligations du RGPD.
Q : Combien de temps puis-je conserver les données collectées sur un salon ?
R : Uniquement le temps nécessaire à la finalité pour laquelle elles ont été collectées. En général, pour une relance commerciale, 6 à 12 mois sont raisonnables, mais tout dépend de votre politique de conservation.
Q : Que dois-je faire si un visiteur demande la suppression de ses données ?
R : Tu dois accéder à sa demande dans un délai d’un mois, conformément au droit à l’effacement prévu par le RGPD.
Q : Les données collectées sur un salon hors UE doivent-elles être stockées dans l’UE ?
R : Pas obligatoirement, mais si tu les stockes hors UE, tu dois t’assurer que le transfert est encadré par une garantie appropriée (clauses contractuelles types, décision d’adéquation, etc.).
🎯
La gestion de la conformité de la collecte de données sur les salons hors Union Européenne n’est pas une option, c’est une nécessité. Le RGPD ne s’arrête pas aux frontières de l’Europe ; il suit chaque Européen où qu’il aille, et il te suit toi aussi, exposant ou organisateur, dès que tu interagis avec lui.
J’ai vu trop d’entreprises négliger ces aspects, pensant que « ça ne risque rien » ou que « les autorités ne vont pas vérifier ». Et pourtant, les amendes pleuvent, les réputations se détériorent, et les visiteurs deviennent de plus en plus méfiants. La conformité, ce n’est pas une contrainte, c’est un avantage concurrentiel. En montrant que tu respectes les données de tes prospects, tu gagnes leur confiance. Et la confiance, ça n’a pas de prix.
📣 Le slogan de la rédac’ : « Collecte propre, relation sereine – la conformité, c’est la clé de la confiance. »
Alors, avant ton prochain salon hors UE, pose-toi les bonnes questions : Ai-je formé mon équipe ? Mes mentions d’information sont-elles à jour ? Mes contrats avec les prestataires sont-ils conformes ? Mes formulaires de consentement sont-ils valides ?
Et surtout, n’oublie pas : le RGPD, ce n’est pas ton ennemi. C’est ton allié pour construire une relation durable et transparente avec tes prospects. Alors, adopte-le, embrace-le, et fais-en un atout pour ton business.
😄 Si tu penses encore que le RGPD ne s’applique pas hors de l’UE, je t’invite à en parler avec le directeur financier de Meta (amende de 1,2 milliard d’euros pour transfert de données vers les États-Unis, souviens-toi). Lui aussi, il a dû apprendre à ses dépens que les frontières, ça n’arrête pas les données.
Alors, prêt à faire de ta prochaine exposition à l’étranger un succès commercial et juridique ? La conformité t’attend, et elle n’a jamais été aussi sexy. 🚀