Sociétés écrans et RGPD : pourquoi l'établissement réel prime

Sommaire

Une filiale panaméenne censée exploiter une plateforme mondiale, des locaux vides à Panama City et des équipes restées à New York : voilà ce que décrivent les enquêtes de WIRED, Sportico et NPR sur Polymarket. Le dossier relève du droit américain des marchés à terme, pas du RGPD. Il offre pourtant aux DPO un cas d’école sur une notion que les autorités européennes manient avec une rigueur croissante : l’établissement réel, celui qui se prouve par l’activité et non par les statuts.

A lire aussi sur DPO PARTAGE

Pixels de suivi : le délai de la CNIL a expiré

Pixels de suivi email : quand faut-il un consentement ?

Pointeuse biométrique : le consentement ne suffit pas

L’affaire Polymarket en trois faits

Premier fait. En 2022, la Commodity Futures Trading Commission (CFTC), le régulateur américain des marchés dérivés, sanctionne Blockratize, l’entité d’origine de Polymarket, à hauteur de 1,4 million de dollars et lui impose de cesser de servir des clients américains. Pour poursuivre l’activité mondiale, le groupe s’appuie sur Adventure One QSS, une société constituée au Panama dès 2021 et présentée comme l’exploitant offshore de la plateforme. Le montage n’a rien d’anecdotique : l’opérateur du New York Stock Exchange a annoncé un investissement pouvant atteindre 2 milliards de dollars dans Blockratize.

Deuxième fait. Selon d’anciens salariés interrogés par WIRED en juillet 2026, une partie du personnel d’Adventure One QSS travaillait depuis New York, y compris depuis le siège du groupe à Manhattan, sans jamais se rendre au Panama ni y côtoyer le moindre collègue. NPR avait constaté dès mai 2026 que le siège panaméen, installé dans une tour de Panama City, était vide.

Troisième fait. Aucun manquement n’a été retenu contre Adventure One QSS, et la CFTC a clos son enquête en juillet 2025. Un ancien avocat de l’agence résume pourtant l’enjeu auprès de WIRED : « Nous aurions vraiment aimé savoir que les personnes censées être au Panama n’y étaient pas. »

Transposons le schéma en sens inverse : une coquille domiciliée hors Union européenne, des équipes décisionnaires restées à Paris ou à Dublin. Que dirait le RGPD ? Le droit européen a déjà répondu, sans ambiguïté.

Au sens du RGPD, l’établissement se prouve par l’activité

L’art 22 du RGPD reprend une formule héritée de la directive 95/46 : un établissement suppose « l’exercice effectif et réel d’une activité au moyen d’un dispositif stable ». La forme retenue pour ce dispositif, succursale ou filiale dotée de la personnalité morale, « n’est pas déterminante ». Autrement dit, l’immatriculation ne crée pas l’établissement ; l’activité le crée.

La Cour de justice de l’Union européenne l’a jugé dès l’arrêt Weltimmo (C-230/14, 1er octobre 2015). Une société immatriculée en Slovaquie exploitait des sites d’annonces immobilières destinés au marché hongrois. La Cour a retenu qu’une « activité réelle et effective, même minime », exercée au moyen d’une installation stable en Hongrie, suffisait à caractériser un établissement hongrois. La domiciliation slovaque n’a pesé d’aucun poids. Un an plus tôt, l’arrêt Google Spain (C-131/12, 13 mai 2014) avait rattaché le moteur de recherche américain à sa filiale espagnole de régie publicitaire, leurs activités étant « indissociablement liées ».

La conséquence figure à l’article 3, paragraphe 1, du RGPD : le règlement s’applique aux traitements effectués « dans le cadre des activités d’un établissement » situé dans l’Union, que le traitement lui-même ait lieu dans l’Union ou non. Les serveurs peuvent être au Panama, à Singapour ou au Delaware : si les équipes qui animent le traitement travaillent dans l’Union, le RGPD suit.

À retenir. Une adresse de domiciliation, une boîte aux lettres ou une entité sans personnel ne constituent pas un établissement au sens du RGPD. À l’inverse, une équipe stable, même réduite, peut en constituer un. Le critère est factuel, jamais statutaire.

Établissement principal : l’administration centrale ne se décrète pas

La question devient stratégique avec le guichet unique (article 56 du RGPD), qui permet à un groupe implanté dans plusieurs États membres de ne répondre qu’à une seule autorité chef de file, celle de son établissement principal. L’article 4, point 16, définit ce dernier comme le lieu de l’administration centrale du responsable de traitement, à moins que les décisions sur les finalités et les moyens ne soient prises dans un autre établissement ayant le pouvoir de les faire appliquer.

Le Comité européen de la protection des données (EDPB) a fermé la porte aux administrations centrales de papier dans son avis 04/2024 du 13 février 2024, rendu à la demande de la CNIL. Trois enseignements en ressortent. Un : une administration centrale ne vaut établissement principal que si elle prend effectivement les décisions sur les finalités et les moyens des traitements et dispose du pouvoir de les faire appliquer. Deux : la charge de la preuve pèse sur l’entreprise, pas sur les autorités de contrôle. Trois : si ces décisions sont prises hors de l’Union, aucun établissement européen ne peut être qualifié de principal, et le bénéfice du guichet unique disparaît.

Le parallèle avec l’affaire Polymarket saute aux yeux. La question que d’anciens agents de la CFTC disent regretter de ne pas avoir posée, « qui travaille réellement où ? », est celle que l’EDPB impose désormais de documenter. Une entreprise qui revendiquerait un établissement principal à Dublin ou à Luxembourg pendant que les décisions se prennent à San Francisco s’expose à voir chaque autorité nationale, dont la CNIL, redevenir compétente sur son territoire.

Sans établissement dans l’Union, l’addition se multiplie : le précédent Clearview AI

Certains montages font le pari inverse : aucune implantation européenne, dans l’espoir d’échapper au règlement. L’article 3, paragraphe 2, du RGPD déjoue ce calcul en visant les traitements liés à l’offre de biens ou de services à des personnes situées dans l’Union, ou au suivi de leur comportement. L’entreprise concernée doit alors désigner un représentant dans l’Union (article 27).

La société américaine Clearview AI en a fait l’expérience. Faute d’établissement européen, elle ne bénéficiait d’aucun guichet unique : chaque autorité nationale pouvait agir séparément. La CNIL l’a sanctionnée de 20 millions d’euros (délibération SAN-2022-019 du 17 octobre 2022), puis a liquidé une astreinte de 5 200 000 euros (délibération SAN-2023-005 du 17 avril 2023). Les autorités italienne et grecque ont chacune prononcé 20 millions d’euros, l’autorité néerlandaise 30,5 millions d’euros en 2024. L’absence d’implantation n’a pas fait sortir Clearview AI du champ du RGPD ; elle a multiplié les fronts contentieux.

À retenir. S’implanter hors de l’Union ne fait pas échapper au RGPD dès lors que des personnes situées dans l’Union sont visées. Cela fait seulement perdre le guichet unique : autant d’autorités compétentes que de marchés servis.

Déclarer ne suffit pas : la preuve, langage commun des régulateurs

L’accountability, principe cardinal posé aux articles 5, paragraphe 2, et 24 du RGPD, impose au responsable de traitement de démontrer sa conformité, pas de l’affirmer. Organigrammes fonctionnels, registre des traitements, contrats intragroupe, flux réels de données : en cas de contrôle, ces pièces font foi, pas les statuts déposés au greffe.

La même logique gouverne les transferts hors Union européenne. Un montage offshore ne dispense jamais du chapitre V du RGPD (articles 44 et suivants) : clauses contractuelles types, analyse d’impact de transfert, mesures supplémentaires. Depuis l’arrêt Schrems II (C-311/18, 16 juillet 2020), la réalité des accès aux données prime sur les engagements contractuels. Là encore, le fait bat le papier.

La check-list du DPO face à un montage international

Restructurations, filiales de complaisance, délocalisations partielles : ces schémas traversent la vie de nombreux groupes. Sept vérifications s’imposent au DPO qui en voit un se dessiner.

Cartographier les décisions. Identifier qui arrête réellement les finalités et les moyens de chaque traitement relevant du RGPD : l’organigramme fonctionnel, pas l’organigramme capitalistique.
Confronter adresses et présence humaine. Comparer la domiciliation de chaque entité aux lieux de travail effectifs des équipes (contrats de travail, outils RH, accès aux locaux).
Aligner le registre sur la réalité. Le registre des traitements doit refléter les responsabilités réelles, y compris les situations de responsabilité conjointe et de sous-traitance intragroupe.
Documenter l’établissement principal revendiqué. Depuis l’avis EDPB 04/2024, la charge de la preuve pèse sur l’entreprise : constituer le dossier avant le contrôle, pas pendant.
Réexaminer les transferts. Appliquer le chapitre V à tous les flux sortants, avec clauses contractuelles types et analyses d’impact de transfert à jour ; voir aussi les règles applicables aux transferts hors UE.
Vérifier le représentant de l’article 27. Toute entité hors Union visant des personnes dans l’Union doit avoir désigné un représentant, mentionné dans l’information délivrée aux personnes concernées.
Anticiper la perte du guichet unique. Pour chaque scénario de restructuration, évaluer si l’établissement principal survit au montage ; sinon, provisionner le risque d’une compétence autorité par autorité.

Ce qu’il faut retenir

L’affaire Polymarket se jouera devant les régulateurs américains, mais la leçon vaut pour tout organisme soumis au RGPD. En Europe, l’établissement s’apprécie sur les faits (considérant 22, arrêts Weltimmo et Google Spain), l’établissement principal se prouve (avis EDPB 04/2024), et l’absence d’implantation multiplie les autorités compétentes au lieu de les éliminer (précédent Clearview AI). Une société écran ne déplace ni l’activité, ni la responsabilité.

Le réflexe à adopter dès cette semaine : reprendre l’organigramme réel des décisions de traitement de votre organisme, le confronter au registre et aux contrats intragroupe, puis archiver les preuves. Le jour où une autorité posera la question « qui décide réellement, et où ? », la réponse devra déjà être écrite.