Réglementation du web / Reste du monde
Une centaine d’États disposent aujourd’hui d’une législation sur les données personnelles. Les recenser n’aurait aucun intérêt. Comprendre ce qu’elles ont en commun en a un, parce que cela permet de décider sans consulter à chaque fois.
Dossier vérifié le 27 juillet 2026.
Depuis le RGPD, presque toutes les législations adoptées dans le monde reprennent le même rattachement : c’est le lieu où se trouve la personne dont on traite les données qui commande, et non le lieu où tourne la machine. L’époque où l’on choisissait son droit en choisissant son hébergeur est close.
Ce constat a une conséquence pratique agréable. Un site qui ne collecte que ce dont il a besoin, ne cède rien à des tiers et ne suit personne satisfait par construction la quasi-totalité de ces régimes, sans avoir à les lire. La conformité coûte cher quand elle est ajoutée après coup ; elle est presque gratuite quand elle est le point de départ.
Le retrait de l’Union n’a pas emporté le régime. Le RGPD britannique et le Data Protection Act 2018 reprennent la même architecture, et le dépôt de cookies relève d’un texte distinct, les Privacy and Electronic Communications Regulations, qui exige un consentement préalable comme sur le continent.
Le cadre a été modifié en 2025 et l’autorité de contrôle publie ses lignes directrices à jour. Pour un site suisse, la conclusion pratique ne change pas : ce qui satisfait le régime européen satisfait le régime britannique.
Le régime californien ne ressemble pas au régime européen. Il ne repose pas sur un consentement préalable mais sur un droit de retrait, et il ne s’applique qu’au-delà de seuils : exercer une activité en Californie et, au choix, dépasser vingt-cinq millions de dollars de chiffre d’affaires annuel brut, traiter les données de cent mille consommateurs ou foyers, ou tirer la moitié de ses revenus de la vente ou du partage de données personnelles.
Autrement dit, une petite entreprise suisse n’y est presque jamais assujettie. Le point mérite d’être connu parce qu’on lui vend régulièrement le contraire.
La LGPD brésilienne est la plus proche parente du RGPD hors d’Europe, jusque dans sa portée extraterritoriale. Le Canada combine une loi fédérale sur la protection des renseignements personnels dans le secteur privé et une loi antipourriel réputée sévère, qui vise l’envoi de messages commerciaux plutôt que les sites eux-mêmes.
Pour tout le reste, la règle de prudence tient en une phrase : si vous démarchez activement un pays, renseignez-vous sur ce pays. Si vous vous contentez d’y être lisible, le socle décrit plus haut suffit dans l’immense majorité des cas.
La suite
La Suisse est plus souple que l’Union européenne sur les cookies, et plus stricte qu’on ne le croit sur la responsabilité personnelle. Les quatre points ci-dessous couvrent la quasi-totalité des cas d’un site de présentation ou d’un site éditorial.
Lire ce voletBeaucoup d’entreprises suisses croient le droit européen sans effet sur elles parce que leur serveur est en Suisse. Le critère n’a jamais été celui du serveur. Il est celui du public visé.
Lire ce volet