215. Champ d’application territorial. – Le RGPD retient deux critères de rattachement, c’est-à-dire deux critères permettant son application : le lieu d’établissement du responsable ou du sous-traitant et la localisation du public cible.
216. Le lieu d’établissement du responsable de traitement ou du sous-traitant. – Le RGPD vient s’appliquer dès lors que les données sont traitées dans le cadre des activités d’un établissement du responsable de traitement ou du sous-traitant sur le territoire de l’Union européenne, que le traitement ait lieu ou non dans l’Union européenne (art. 3-1). Selon le considérant 22 du RGPD comme la jurisprudence354, l’établissement situé sur le sol européen renvoie à l’exercice effectif et réel d’une activité au moyen d’un dispositif ou d’une installation stable. La notion peut faire débat. Dans un souci d’éclaircissement, le G29 a précisé que le « lieu d’établissement d’une société qui fournit des services par le biais d’un site internet n’est pas le lieu où est située la technologie qui supporte son site web ni le lieu d’accès au site web mais le lieu où elle exerce son activité »355. Le RGPD vise également les sous-traitants : ainsi dans l’hypothèse où une société établie au Canada traite des données de citoyens canadiens mais a recours à un sous-traitant établi sur le territoire européen, le traitement