🌍 Gestion de la conformité des données pour les visiteurs résidant hors de l’Union Européenne : le guide pratique des organisateurs de salons professionnels

Vous organisez un salon professionnel et des visiteurs du monde entier s’inscrivent ? Attention, le terrain juridique est miné. Entre le RGPD qui s’applique à tout traitement de données concernant des personnes dans l’UE, et les règles strictes encadrant les transferts de données hors Union européenne, les organisateurs de salons et foires professionnelles doivent naviguer en eaux troubles. Car oui, même si votre visiteur vient des États-Unis, du Japon ou du Brésil, ses données personnelles, une fois collectées sur le sol européen ou via vos outils numériques, sont soumises à des obligations draconiennes. Un badged scanné, une carte de visite collectée, une inscription en ligne : chaque geste compte. Alors, comment concilier attractivité internationale et conformité RGPD ? Plongeons ensemble dans cette boîte à outils essentielle pour tout organisateur ou exposant de salon professionnel.

🎯 Pourquoi le RGPD s’applique-t-il aux visiteurs extra-UE ?

Dès que vous traitez des données personnelles d’individus situés dans l’UE/EEE, le RGPD s’applique, quel que soit le siège de votre entreprise. Cette règle vaut aussi pour les visiteurs venus de l’extérieur : s’ils sont physiquement présents sur votre salon européen, leurs données sont protégées par le règlement.

Prenons un exemple concret. Vous êtes organisateur du « Global Tech Expo » à Paris. Un visiteur américain s’inscrit en ligne, son badge est scanné à l’entrée, il échange sa carte de visite avec un exposant français. Chacune de ces actions constitue un « traitement » de données personnelles au sens du RGPD. Le fait que ce visiteur ne soit pas résident européen ne crée aucune exemption. Le fait qu’il ait volontairement donné sa carte de visite ne constitue pas une renonciation à ses droits.

Les données concernées ? Nom, prénom, e-mail, numéro de téléphone, fonction, entreprise, photo (si badge avec photo), adresse IP, identifiant de badge, historique de navigation sur votre site d’inscription… La liste est longue, et chaque élément doit être traité avec la plus grande vigilance.

« J’ai souvent des organisateurs qui me disent : ‘Mais Claire, mon visiteur est américain, le RGPD ne s’applique pas !’ Et je leur réponds : si, mes amis, si. La localisation du traitement, pas la nationalité de la personne, est le critère déterminant. » — Claire Delorme, DPO certifiée et consultante en conformité événementielle

⚖️ Bases légales : sur quel fondement collecter les données ?

Pour chaque collecte de données, vous devez disposer d’une base légale valide. Deux options principales s’offrent à vous dans le cadre des salons professionnels.

🔹 L’intérêt légitime (Article 6(1)(f) du RGPD)

C’est la base la plus utilisée pour la capture de leads B2B en événement. L’argument : votre entreprise a un intérêt légitime à relancer des prospects qui se sont volontairement engagés avec vous sur un salon, et cet intérêt ne supplante pas les droits à la vie privée des visiteurs.

Quand l’utiliser ?

• Scanner des badges ou cartes de visite que le visiteur a volontairement présentés
• Stocker des informations de contact pour une relance post-événement
• Envoyer des e-mails de relance pertinents

Attention : l’intérêt légitime exige une Analyse d’Intérêt Légitime (AIL) documentée.

🔹 Le consentement explicite

Pour des actions marketing comme l’envoi de newsletters ou le partage de données avec des partenaires, le consentement explicite est requis. Il doit être :

• Libre : pas de case pré-cochée
• Spécifique : une finalité clairement indiquée
• Éclairé : une information complète
• Révocable : le visiteur peut retirer son consentement à tout moment

🌐 Le casse-tête des transferts de données hors UE

Voici le véritable nœud du problème. L’article 44 du RGPD pose une règle claire : tout transfert de données vers un pays tiers est interdit par principe, sauf si certaines conditions sont remplies.

Qu’est-ce qu’un transfert de données hors UE ?

Dès que les données personnelles collectées sur votre salon (ou via vos outils numériques) sont :

• stockées sur un serveur situé hors de l’UE,
• accessibles depuis un pays tiers,
• traitées par un sous-traitant basé hors de l’UE,

vous êtes en situation de transfert de données international.

Exemples fréquents dans les salons :

• Utilisation d’un CRM américain (type Salesforce) pour gérer les leads
• Recours à Google Analytics pour le suivi du site d’inscription
• Stockage des données sur des serveurs cloud basés aux États-Unis
• Sous-traitance de l’inscription à une plateforme dont les serveurs sont hors UE

Les mécanismes autorisés en 2026

1. La décision d’adéquation
La Commission européenne peut reconnaître qu’un pays tiers assure un niveau de protection « substantiellement équivalent » à celui de l’UE. C’est le cas, depuis 2023, des États-Unis via le Data Privacy Framework (DPF). Le Royaume-Uni bénéficie également de ce statut.

2. Les Clauses Contractuelles Types (CCT)
Ce sont des modèles de contrats adoptés par la Commission européenne. Elles restent le mécanisme le plus utilisé pour encadrer les transferts. Mais attention : les CCT ne suffisent plus depuis l’arrêt Schrems II (2020). Vous devez désormais réaliser une Analyse d’Impact des Transferts (TIA) pour vérifier que le pays destinataire offre effectivement une protection adéquate.

3. Les Règles d’Entreprise Contraignantes (BCR)
Pour les grands groupes, les BCR constituent un code de conduite interne définissant la politique de l’entreprise en matière de transferts.

4. Les dérogations (Article 49)
Dans des situations particulières (consentement explicite du visiteur, exécution d’un contrat, etc.), des dérogations peuvent être invoquées.

🛠️ Boîte à outils : les 5 mesures concrètes pour votre salon

1️⃣ Cartographiez vos flux de données

Avant même d’ouvrir les inscriptions, dressez la liste de toutes les données collectées et de leurs destinataires :

• Formulaire d’inscription en ligne
• Badgeuse à l’entrée
• Applications de scanning
• CRM des exposants
• Outils d’analyse et de comptage

« La première erreur que je vois ? Les organisateurs qui ne savent pas où sont stockées les données de leurs visiteurs. Un DPO ne peut pas travailler sans une cartographie précise. » — Claire Delorme

2️⃣ Rédigez une politique de confidentialité multilingue et extra-UE

Informez vos visiteurs de manière claire et transparente :

• Quelles données sont collectées et pourquoi
• La durée de conservation
• Leurs droits (accès, rectification, effacement, opposition)
• Les éventuels transferts hors UE et les garanties associées

Bonnes pratiques :

• Affichez une information visible près des dispositifs d’accès
• Proposez une notice détaillée en ligne, traduite en anglais
• Mentionnez la date de dernière mise à jour

3️⃣ Obtenez les consentements nécessaires (et tracez-les)

Pour les actions marketing et les partages avec des tiers, recueillez un consentement explicite :

• Cases à cocher non pré-remplies
• Information claire sur la finalité
• Possibilité de retirer son consentement

Documentez tout : date, heure, version de la politique de confidentialité. En cas de contrôle, vous devrez prouver que le consentement a bien été obtenu.

4️⃣ Maîtrisez vos transferts internationaux

Si vous utilisez des outils basés hors UE :

• Vérifiez s’ils bénéficient d’une décision d’adéquation (ex: Data Privacy Framework pour les US)
• Sinon, mettez en place des Clauses Contractuelles Types avec vos sous-traitants
• Réalisez une Analyse d’Impact des Transferts (TIA)
• Documentez l’ensemble

Solution de bon sens : privilégiez les hébergeurs et outils basés dans l’UE lorsque c’est possible. Comme le rappelle Ultiplace, une infrastructure hébergée dans l’UE avec conformité RGPD et DPA disponible simplifie grandement la vie.

5️⃣ Appliquez les principes de minimisation et de limitation

Ne collectez que les données strictement nécessaires :

• Pour l’inscription : nom, e-mail, entreprise, fonction
• Pour le comptage : un compteur anonyme suffit souvent

Définissez des durées de conservation claires :

• Jauges et sécurité : le temps nécessaire à la preuve du bon déroulement
• Billetterie (contrat) : jusqu’à 5 ans
• Prospection commerciale : jusqu’à 3 ans après le dernier contact actif

Au-delà, supprimez ou anonymisez les données de manière irréversible.

🗣️ Dialogue avec un exposant : « Mais je fais comment sur mon stand ? »

Marc (exposant) : « Claire, je suis exposant au salon de Lyon la semaine prochaine. Je vais scanner des badges de visiteurs étrangers. Je fais quoi concrètement ? »

Claire (DPO) : « Déjà, bravo de te poser la question ! Premier réflexe : affiche bien ta politique de confidentialité sur ton stand — un QR code qui renvoie vers ta page dédiée, c’est parfait. »

Marc : « Et le consentement ? »

Claire : « Avant de scanner chaque badge, demande l’accord du visiteur. Une question simple : ‘Puis-je scanner votre badge pour vous envoyer la documentation ?’ S’il dit oui, tu as une base de consentement. Si tu veux l’utiliser pour une relance commerciale, c’est l’intérêt légitime qui s’applique — mais il faut que tu aies fait ton Analyse d’Intérêt Légitime en amont. »

Marc : « Et si mes données sont stockées dans un CRM américain ? »

Claire : « Là, tu entres dans le cadre des transferts hors UE. Si ton CRM est basé aux US, assure-toi qu’il est certifié Data Privacy Framework, ou mets en place des Clauses Contractuelles Types. Et surtout, documente tout ! »

🔒 Droits des visiteurs : ce qu’ils peuvent exiger

Les visiteurs, qu’ils soient européens ou non, disposent de droits :

• Droit d’accès : savoir quelles données vous détenez sur eux
• Droit de rectification : corriger des données inexactes
• Droit à l’effacement (« droit à l’oubli »)
• Droit à la portabilité : recevoir leurs données dans un format structuré
• Droit d’opposition : s’opposer à l’utilisation de leurs données à des fins marketing

Vous devez être en mesure de répondre à ces demandes dans un délai d’un mois.

📊 Focus : comptage de visiteurs et RGPD

Le comptage de visiteurs est indispensable pour piloter un salon. Mais attention :

• Comptage purement anonyme (compteur mécanique) : pas de données personnelles, pas de RGPD
• Comptage avec identification (badge nominatif, Wi-Fi, application) : le RGPD s’applique

Si vous analysez les flux par badge, vous devez respecter les principes de licéité, finalité déterminée, minimisation, limitation de conservation, sécurité et transparence

❓ FAQ : Vos questions, nos réponses

Q : Le RGPD s’applique-t-il à un visiteur chinois qui s’inscrit en ligne depuis la Chine pour un salon à Paris ?
R : Oui, dès que la collecte concerne une personne située dans l’UE (le salon se tient à Paris) ou que vous ciblez des personnes dans l’UE, le RGPD s’applique.

Q : Puis-je transférer les données de mes visiteurs vers mon siège aux États-Unis ?
R : Oui, à condition de respecter l’un des mécanismes autorisés : décision d’adéquation (Data Privacy Framework), Clauses Contractuelles Types avec TIA, ou consentement explicite.

Q : Que dois-je faire si un visiteur extra-UE demande l’effacement de ses données ?
R : Vous devez répondre à sa demande dans un délai d’un mois, comme pour tout visiteur européen. Le RGPD ne fait pas de distinction.

Q : Les exposants sont-ils responsables de la conformité des données qu’ils collectent ?
R : Oui, chaque exposant est responsable de ses propres traitements de données. En tant qu’organisateur, vous devez les informer de leurs obligations.

Q : Puis-je utiliser Google Analytics sur mon site d’inscription ?
R : Oui, mais sous conditions. Depuis l’arrêt Schrems II, l’utilisation de Google Analytics nécessite des garanties supplémentaires (CCT, TIA) et une anonymisation des IP.

🚀 la conformité, un atout plutôt qu’un fardeau

Alors, la gestion de la conformité des données pour les visiteurs hors UE, c’est un casse-tête ? Franchement, oui, ça peut en avoir l’air. Entre le RGPD, les transferts internationaux, les décisions d’adéquation, les TIA et les CCT, on se croirait dans un jeu de Scrabble juridique.

Mais regardons les choses autrement. Ce cadre, aussi contraignant soit-il, est aussi une formidable opportunité. Dans un monde où la confiance numérique est devenue une monnaie rare, un salon qui affiche une politique de confidentialité claire, multilingue et irréprochable envoie un signal fort : « Nous respectons vos données, donc nous vous respectons, vous. »

Les visiteurs internationaux — américains, asiatiques, africains, moyen-orientaux — sont de plus en plus sensibles à ces questions. Nombre d’entre eux viennent de pays où les lois sur la protection des données se renforcent (CCPA en Californie, PDPA à Singapour, LGPD au Brésil). En étant exemplaire sur le RGPD, vous rassurez et vous vous différenciez.

Et puis, avouons-le : rien ne vaut la tranquillité d’esprit. Pas de contrôle de la CNIL à redouter, pas d’amende à 20 millions d’euros à sortir de votre poche, pas de couac diplomatique avec un visiteur étranger mécontent. La conformité, c’est aussi ça : la sérénité.

Alors, par où commencer ? Par la cartographie. Par la politique de confidentialité. Par le dialogue avec vos exposants. Et surtout, par l’anticipation. Parce que le jour du salon, vous aurez déjà assez à gérer avec les files d’attente, les micros qui grincent et le café qui manque — pas besoin d’ajouter une crise RGPD à la liste !

« Un salon bien organisé, c’est un salon où les badges se scannent dans les règles de l’art et où les visiteurs repartent avec des souvenirs, pas avec des craintes sur leurs données. »

👋 À vous de jouer maintenant ! Prenez cette boîte à outils, adaptez-la à votre événement, et faites de la conformité un argument commercial. Vos visiteurs internationaux vous en remercieront. Et votre DPO aussi.

✨ Slogan : « Données protégées, confiance garantie — votre salon, vitrine d’excellence européenne. »

😄 Et pour finir sur une note légère : Si jamais un visiteur vous demande sur quel fondement juridique vous stockez son e-mail, ne lui répondez pas « parce que c’est comme ça que ça s’est toujours fait ». Le RGPD n’aime pas les vieilles habitudes. Et puis, avouez, « intérêt légitime » ça sonne quand même plus pro que « on a toujours fait comme ça », non ?