Ce guide explique dans quels cas l'obligation s'applique, comment évaluer les exemptions possibles, quel est le rôle d'un représentant dans l'UE et comment documenter une désignation.
Le représentant dans l'UE constitue un point de contact désigné pour les autorités de contrôle compétentes et les personnes concernées. Sa désignation ne transfère pas les responsabilités de fond de votre organisation au titre du GDPR et n'écarte pas sa responsabilité éventuelle.
§L'article 27 du GDPR en bref
L'article 27 impose à certains responsables du traitement et sous-traitants qui ne sont pas établis dans l'UE de désigner par écrit un représentant lorsque l'article 3, paragraphe 2, du GDPR s'applique, sauf si l'une des exceptions prévues peut être invoquée.
Cette obligation concerne tout particulièrement les entreprises établies hors de l'UE qui s'adressent délibérément à des clients de l'UE ou qui suivent le comportement de personnes situées dans l'UE.
Avant de désigner un représentant, évaluez :
- Si votre organisation est établie dans l'UE au sens du GDPR.
- Si le traitement en cause relève de l'article 3, paragraphe 2.
- Si une exception prévue à l'article 27, paragraphe 2, s'applique.
- Où le représentant doit être établi.
- Ce que le mandat écrit et les informations relatives à la protection des données doivent couvrir.
L'évaluation doit reposer sur vos activités de traitement réelles, votre modèle économique et vos marchés cibles, et non sur la seule accessibilité de votre site web.
§Qui doit désigner un représentant dans l'UE ?
Une organisation doit examiner l'obligation prévue à l'article 27 lorsqu'elle n'est pas établie dans l'UE et qu'elle traite des données à caractère personnel relevant du champ d'application territorial de l'article 3, paragraphe 2, du GDPR.
L'article 3, paragraphe 2, vise deux situations principales.
Offre de biens ou de services à des personnes dans l'UE
Le GDPR peut s'appliquer lorsqu'une organisation située hors de l'UE propose des biens ou des services à des personnes qui se trouvent dans l'Union, qu'un paiement soit exigé ou non.
Parmi les indices pertinents figurent la publicité ciblée, des offres de services propres à l'UE, des modalités de livraison ou tout autre élément démontrant que l'organisation entend s'adresser à des personnes situées dans des États membres de l'UE.
Toutefois, le simple fait qu'un site web soit accessible depuis l'UE ne suffit pas, à lui seul, à établir que l'organisation y propose des biens ou des services.
Suivi du comportement dans l'UE
Le GDPR peut également s'appliquer lorsqu'une organisation suit le comportement de personnes situées dans l'UE, dès lors que ce suivi a lieu au sein de l'Union.
Selon les circonstances, cela peut inclure le traçage et le profilage utilisés pour analyser ou prédire les préférences, les centres d'intérêt, le comportement ou les déplacements d'une personne.
Toute utilisation d'outils d'analyse d'audience ou de technologies de traçage ne constitue pas automatiquement un suivi au sens de l'article 3, paragraphe 2. La finalité, la nature et le contexte du traitement doivent être évalués.
Qu'en est-il des organisations disposant d'un établissement dans l'UE ?
L'article 27 vise les responsables du traitement et les sous-traitants qui ne sont pas établis dans l'Union et dont le traitement relève de l'article 3, paragraphe 2.
Si votre organisation dispose d'un établissement dans l'UE, évaluez l'applicabilité du GDPR au regard de l'article 3, paragraphe 1, et des critères d'établissement pertinents. L'existence d'une filiale ou d'une succursale doit être appréciée à la lumière des modalités et des activités réellement en cause.
À retenir : Déterminez d'abord le champ d'application territorial du GDPR. Ne partez pas du principe que toute entreprise hors UE dont le site reçoit du trafic en provenance de l'UE doit désigner un représentant dans l'UE.
§Quand un représentant dans l'UE n'est-il pas obligatoire ?
L'article 27, paragraphe 2, prévoit deux exceptions à l'obligation de désigner un représentant.
Traitement occasionnel et à faible risque
L'obligation ne s'applique pas lorsque le traitement remplit toutes les conditions de l'article 27, paragraphe 2, point a) :
- Le traitement est occasionnel.
- Il n'implique pas un traitement à grande échelle de catégories particulières de données à caractère personnel visées à l'article 9, paragraphe 1, ni de données à caractère personnel relatives aux condamnations pénales et aux infractions visées à l'article 10.
- Il n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes, compte tenu de la nature, du contexte, de la portée et des finalités du traitement.
Ces conditions doivent être appréciées ensemble. Le caractère occasionnel du traitement ne suffit pas à lui seul, et une organisation ne doit pas présumer qu'elle remplit les conditions simplement parce qu'elle compte relativement peu de clients.
Des activités commerciales régulières, un traitement continu ou un suivi permanent peuvent, selon les circonstances, rendre cette exception difficile à invoquer.
Autorités et organismes publics
L'article 27, paragraphe 2, point b), exclut les autorités publiques et les organismes publics de l'obligation de désigner un représentant.
Cette exception doit être appréciée au regard du statut de l'organisation et du contexte juridique applicable. Les entreprises commerciales ne doivent pas présumer qu'elle leur est applicable.
Documenter la décision
Si votre organisation conclut qu'une exception s'applique, documentez les motifs de cette conclusion, y compris les activités de traitement concernées et les éléments factuels qui l'étayent.
Réexaminez cette décision lorsque votre entreprise s'étend à de nouveaux marchés, met en place de nouvelles activités de traitement ou modifie la manière dont les données à caractère personnel sont collectées et utilisées.
§Que fait un représentant dans l'UE ?
En vertu de l'article 27, paragraphe 4, le représentant est mandaté pour être la personne à qui s'adressent, en complément ou à la place du responsable du traitement ou du sous-traitant, les autorités de contrôle et les personnes concernées pour toute question relative au traitement au titre du GDPR.
Selon le mandat écrit, les missions du représentant peuvent comprendre :
- Servir d'interlocuteur désigné pour les autorités de contrôle compétentes.
- Offrir un point de contact aux personnes ayant des questions ou des préoccupations concernant le traitement.
- Recevoir la correspondance relative à la protection des données et la transmettre à l'organisation.
- Coopérer avec les autorités de contrôle comme l'exige le GDPR.
- Contribuer à la mise à disposition des registres et informations pertinents dans les limites de son mandat.
L'organisation doit mettre en place des processus internes clairs pour répondre aux communications reçues par son représentant. La désignation d'un représentant ne dispense pas de définir en interne des responsabilités, des procédures d'escalade et des procédures de réponse adaptées.
§Où le représentant doit-il être établi ?
L'article 27, paragraphe 3, exige que le représentant soit établi dans un État membre où se trouvent les personnes dont les données à caractère personnel sont traitées, dans le cadre de l'offre de biens ou de services qui leur est faite ou du suivi de leur comportement.
Lorsqu'une organisation s'adresse à des personnes dans plusieurs États membres de l'UE, elle doit choisir un lieu d'établissement approprié en fonction de la répartition de ses activités de traitement concernées et des exigences légales applicables.
Le représentant doit être désigné par écrit. Le mandat doit identifier clairement les parties, définir l'étendue du rôle du représentant et fixer les modalités pratiques de réception et de traitement des communications.
§Comment désigner un représentant dans l'UE
Un processus de désignation structuré permet de s'assurer que le dispositif est correctement documenté et opérationnel.
Évaluer l'applicabilité du GDPR
Déterminez si l'article 3, paragraphe 2, s'applique aux activités de traitement de votre organisation et si l'une des exceptions de l'article 27, paragraphe 2, peut être invoquée.
Choisir un représentant approprié
Évaluez le lieu d'établissement du représentant envisagé, sa capacité à exercer le rôle confié, son expérience pertinente, ses processus de communication et le périmètre de ses services.
Rédiger un mandat écrit
Documentez la désignation et définissez les responsabilités, les modalités de contact, l'accès à l'information, les procédures d'escalade et le processus de traitement des communications émanant des autorités ou des personnes concernées.
Mettre à jour les informations relatives à la protection des données
Lorsque cela est requis, communiquez l'identité et les coordonnées du représentant dans les informations relatives à la protection des données fournies au titre des articles 13 et 14 du GDPR.
Veillez à ce que les mentions d'information et les registres internes concernés restent cohérents avec la désignation.
Mettre en place des procédures permanentes
Attribuez en interne la responsabilité du traitement de la correspondance, du respect des délais de réponse applicables, de la tenue des registres pertinents et de l'information du représentant sur les changements ayant une incidence sur le mandat.
Réexaminez la désignation lorsque vos activités de traitement, votre couverture géographique ou vos modalités de service évoluent.
§Publier les coordonnées du représentant
L'article 13, paragraphe 1, point a), et l'article 14, paragraphe 1, point a), du GDPR exigent que l'identité et les coordonnées du représentant, le cas échéant, figurent dans les informations relatives à la protection des données correspondantes.
Les organisations doivent revoir leurs politiques de confidentialité et les communications associées afin de s'assurer que ces informations sont exactes, accessibles et cohérentes avec le mandat écrit.
Les mentions exactes à fournir doivent être appréciées au regard des obligations de transparence applicables et des activités de traitement de l'organisation.
§Le représentant dans l'UE endosse-t-il la responsabilité de l'entreprise ?
Non. L'article 27, paragraphe 5, précise expressément que la désignation d'un représentant est sans préjudice des actions en justice qui pourraient être intentées contre le responsable du traitement ou le sous-traitant lui-même.
L'organisation reste responsable de ses propres obligations au titre du GDPR. La désignation doit donc être considérée comme l'un des éléments d'un programme de conformité plus large, et non comme un substitut à un traitement licite, à une sécurité appropriée, à la transparence et à la responsabilisation.
Les responsabilités propres du représentant dépendent du GDPR et de l'étendue du mandat. Le dispositif doit définir clairement la manière dont les informations sont reçues, conservées et mises à disposition lorsque cela est requis.
§Quelles sont les sanctions en cas de défaut de désignation d'un représentant ?
Le non-respect de l'article 27 peut exposer une organisation à des mesures administratives au titre du GDPR.
L'article 83, paragraphe 4, point a), prévoit une amende administrative pouvant atteindre 10 millions d'euros ou, dans le cas d'une entreprise, 2 % de son chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu, pour certaines violations, dont celle de l'article 27.
Ces montants sont des plafonds légaux, et non des amendes automatiques. La sanction applicable dans un cas donné dépend du régime de sanctions du GDPR et des circonstances de la violation.
Les organisations doivent évaluer cette obligation de manière proactive et documenter leurs décisions, plutôt que de considérer la désignation d'un représentant comme une simple formalité administrative.
§Erreurs fréquentes à éviter
- Présumer que le trafic web en provenance de l'UE déclenche automatiquement l'article 27. La seule accessibilité ne suffit pas à établir que des biens ou des services sont proposés à des personnes dans l'UE ni que leur comportement y est suivi.
- Considérer l'exception pour traitement occasionnel comme la règle par défaut. Toutes les conditions de l'article 27, paragraphe 2, point a), doivent être remplies.
- Confondre le représentant avec un délégué à la protection des données (DPO). Ces rôles répondent à des finalités et à des exigences juridiques différentes. Les lignes directrices de l'EDPB considèrent que le rôle de représentant externe dans l'UE est incompatible avec celui de DPO externe ; les organisations doivent examiner ces dispositifs avec soin.
- Désigner un représentant sans mandat clair. Une désignation écrite doit établir le rôle du représentant et les modalités pratiques de fonctionnement.
- Ne pas mettre à jour les informations relatives à la protection des données. Revoyez les politiques de confidentialité concernées lorsque la désignation est effectuée ou modifiée.
- Présumer que la désignation transfère la responsabilité au titre du GDPR. Le responsable du traitement ou le sous-traitant reste responsable de ses propres obligations.
- Négliger la distinction entre la représentation dans l'UE et au Royaume-Uni. Le GDPR de l'UE et le UK GDPR comportent des dispositions distinctes sur le représentant et doivent être évalués indépendamment.
§Représentant dans l'UE ou représentant au Royaume-Uni
Le GDPR de l'UE et le UK GDPR contiennent des dispositions distinctes sur la désignation d'un représentant.
Une organisation établie hors de l'UE et relevant de l'article 3, paragraphe 2, doit examiner l'obligation prévue à l'article 27 du GDPR de l'UE. Séparément, une organisation située hors du Royaume-Uni et relevant du champ d'application territorial pertinent du UK GDPR doit examiner l'obligation de désigner un représentant au Royaume-Uni au regard du cadre britannique.
Il ne faut pas présumer qu'une désignation couvrant l'une de ces juridictions satisfait aux exigences de l'autre. L'organisation doit vérifier, pour chaque désignation, le champ d'application, les exigences d'établissement, le mandat et les informations relatives à la protection des données applicables.
§Questions fréquentes
Toutes les entreprises hors UE doivent-elles désigner un représentant dans l'UE ?
Non. L'obligation s'applique en général lorsque l'organisation n'est pas établie dans l'UE, que son traitement relève de l'article 3, paragraphe 2, du GDPR et qu'aucune des exceptions de l'article 27, paragraphe 2, ne s'applique.
Un représentant est-il obligatoire si notre site web est accessible en Europe ?
Pas sur ce seul fondement. L'organisation doit déterminer si elle propose des biens ou des services à des personnes dans l'UE ou si elle y suit leur comportement, en tenant compte des autres critères pertinents.
Un représentant dans l'UE peut-il aussi être notre délégué à la protection des données (DPO) ?
Il s'agit de rôles distincts. Les lignes directrices de l'EDPB considèrent que le rôle de représentant externe est incompatible avec celui de DPO externe. Les organisations qui envisagent un cumul doivent obtenir une évaluation propre à chaque rôle plutôt que de présumer qu'une seule désignation répond aux deux exigences.
Faut-il un représentant distinct dans chaque État membre de l'UE ?
L'article 27, paragraphe 3, exige que le représentant soit établi dans un État membre où se trouvent les personnes concernées. Un seul représentant, établi de manière appropriée, peut couvrir les activités concernées d'une organisation dans plusieurs États membres, sous réserve des exigences applicables et de l'étendue du mandat.
Un représentant dans l'UE peut-il remplacer notre conseiller juridique ?
Non. Le représentant assure les fonctions de contact et de coopération définies par le GDPR et par le mandat. Il ne faut pas présumer qu'il remplace un conseil juridique ou qu'il fournit tous les services nécessaires à un programme de conformité plus large.
La désignation d'un représentant dans l'UE supprime-t-elle notre responsabilité ?
Non. L'article 27, paragraphe 5, préserve la possibilité d'engager une action en justice contre le responsable du traitement ou le sous-traitant. La désignation ne transfère pas les obligations de fond de l'organisation au titre du GDPR.
Quand devons-nous désigner un représentant dans l'UE ?
Lorsque l'article 27 s'applique et qu'aucune exception ne peut être invoquée, l'organisation doit procéder à la désignation dans le cadre de la préparation du traitement concerné. L'évaluation de l'applicabilité et la désignation doivent être menées à bien en temps utile, sans attendre qu'une autorité ou une personne concernée contacte l'entreprise.
Évaluez vos obligations de représentation dans l'UE
Comprendre si l'article 27 s'applique est la première étape pour mettre en place le bon dispositif de représentation.
RegulatoryBridge aide les organisations à évaluer leurs obligations réglementaires et à mettre en place des dispositifs concrets de représentation en matière de protection des données. Notre accompagnement peut vous aider à évaluer l'applicabilité, à comprendre les exigences de désignation, à documenter le mandat et à établir des processus de traitement des communications concernées.
Découvrez nos services de conformité au GDPR ou contactez RegulatoryBridge pour échanger sur vos obligations de représentation dans l'UE.