Article 27 RGPD : désigner un représentant dans l’UE
Article 27 RGPD : champ territorial, exceptions, choix du représentant et trame de mandat. Les obligations à vérifier pour un opérateur hors UE.
Une entreprise située hors de l’Union peut devoir désigner un représentant RGPD pour ses traitements liés au marché européen. La bonne question n’est pas seulement « où est le siège ? » : il faut qualifier les traitements, vérifier les exceptions, puis organiser un contact réellement opérationnel pour les personnes et les autorités.
Quand l’article 27 impose-t-il un représentant ?
L’Art. 27(1) du RGPD renvoie à l’Art. 3(2). Il concerne le responsable du traitement ou le sous-traitant non établi dans l’Union lorsque ses traitements sont liés à une offre de biens ou de services aux personnes qui s’y trouvent, ou au suivi de leur comportement dans l’Union. Un service gratuit peut être concerné.
Commencez par l’analyse du champ territorial de l’article 3. La nationalité des personnes ne constitue pas le critère du texte : leur présence dans l’Union compte. Un siège étranger n’exclut pas davantage l’existence d’un établissement européen dont les activités conduiraient à examiner l’Art. 3(1).
Les lignes directrices 3/2018 du CEPD, sections 2 et 4, apportent plusieurs précisions : un site simplement accessible depuis l’Union ne suffit pas ; toute collecte en ligne n’est pas un suivi comportemental ; un prestataire étranger n’entre pas automatiquement dans l’Art. 3(2) parce que son client est européen. Il faut examiner le lien du traitement avec le ciblage des personnes.
Exemple fictif. Une boutique établie au Canada, sans établissement dans l’Union, organise durablement la livraison de ses produits en France et en Belgique et y mène des campagnes commerciales. Pour les traitements liés à cette offre, l’analyse conduit à examiner l’Art. 3(2)(a), puis la représentation. Le seul faible nombre de premières commandes ne constitue pas une dispense.
Les exceptions de l’article 27(2)
Deux branches doivent être distinguées. L’Art. 27(2)(b) dispense les autorités et organismes publics. L’Art. 27(2)(a) concerne un traitement qui remplit ensemble les conditions suivantes :
- il est occasionnel ;
- il n’implique pas, à grande échelle, des données relevant des Art. 9(1) ou 10 ;
- il n’est pas susceptible d’engendrer un risque pour les droits et libertés, compte tenu de sa nature, de son contexte, de sa portée et de ses finalités.
Le dernier point porte sur un risque, pas seulement sur un risque élevé. Ne remplacez donc pas cette analyse par « aucune AIPD obligatoire ». Le CEPD précise aussi qu’un traitement occasionnel ne relève pas du déroulement régulier de l’activité. Un fichier clients entretenu dans la durée ne devient pas occasionnel parce qu’il est petit.
Pour documenter une dispense, conservez une note par traitement : activité concernée, fréquence réelle, catégories de données, personnes touchées, risques examinés et éléments justifiant chaque condition. Prévoyez de la réexaminer lorsqu’un service devient récurrent ou s’étend. Cette note est une méthode de travail proposée, pas un formulaire réglementaire imposé.
Où désigner le représentant, et qui choisir ?
L’Art. 4(17) admet une personne physique ou morale établie dans l’Union. L’Art. 27(3) exige un État membre où se trouvent les personnes dont les données font l’objet du traitement lié à l’offre ou au suivi. Le pays du serveur ne détermine pas ce choix.
Dans l’exemple de la boutique, une implantation dans l’un des deux États concernés répond à ce critère. La sélection doit ensuite permettre de recevoir les demandes, de les comprendre et de les transmettre efficacement. Demandez un contact identifié, une continuité en cas d’absence et des modalités d’échange sécurisées.
Le CEPD considère incompatibles le mandat de représentant et la fonction de DPO externe du même organisme, ainsi que la représentation d’un responsable et le rôle de sous-traitant pour ce même responsable. Il précise aussi que le représentant ne crée pas, à lui seul, un établissement ouvrant le guichet unique. L’obligation de désigner un DPO doit donc être examinée séparément.
Les obligations à rendre effectives
La désignation se fait par écrit. L’Art. 27(4) fait du représentant un interlocuteur des autorités et des personnes, en plus ou à la place de l’opérateur représenté, pour les questions relatives au traitement. Trois obligations connexes donnent un contenu concret au mandat :
| Sujet | Texte applicable | Vérification pratique |
|---|---|---|
| Information des personnes | Art. 13(1)(a) et 14(1)(a) | Identité et coordonnées du représentant dans les informations applicables |
| Registre | Art. 30(1) à (4) | Registre tenu, coordonnées renseignées et document disponible pour l’autorité |
| Coopération | Art. 31 | Circuit opérationnel de réception et de réponse aux demandes de l’autorité |
Le registre des activités de traitement doit correspondre aux traitements réels. Le mandat ne transforme pas automatiquement le représentant en auteur de toutes les décisions sur les finalités, la base légale ou les réponses aux droits.
En collecte indirecte, vérifiez également l’information prévue par l’article 14. Une coordonnée affichée sur une page isolée du site ne remplace pas les informations à fournir dans le contexte du traitement.
Une trame de mandat à adapter
Pour préparer le contrat, renseignez ces six blocs avec les équipes qui exécuteront réellement le service :
- Périmètre. Organisme représenté, qualité de responsable ou de sous-traitant, traitements et territoires concernés.
- Contacts. Représentant, référent opérationnel, suppléance et correspondants juridiques ou techniques chez l’opérateur.
- Demandes des personnes. Réception, transmission, suivi du délai applicable, décision et preuve de réponse. Fixez des délais internes permettant de respecter le calendrier légal.
- Demandes des autorités. Transmission urgente, accès aux documents utiles et coordination avec les personnes compétentes.
- Registre et documentation. Mode de mise à disposition, actualisations, contrôle des accès et protection des échanges.
- Fin du mandat. Relève du contact, remise de la documentation et mise à jour des notices sans interruption du dispositif.
Un exercice simple permet de vérifier le fonctionnement : envoyer une demande fictive, vérifier sa réception et retrouver la personne chargée d’y répondre. Il s’agit d’un contrôle interne recommandé, sans périodicité légale uniforme.
Responsabilité et sanctions
L’Art. 27(5) maintient la possibilité d’agir contre le responsable ou le sous-traitant lui-même. Le CEPD écarte une responsabilité du représentant se substituant à celle de l’opérateur ; ses propres obligations restent à considérer.
Pour le manquement à l’Art. 27, l’Art. 83(4)(a) prévoit un plafond de 10 millions d’euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu. Ce plafond ne décrit pas une amende automatique : l’autorité apprécie les circonstances selon l’Art. 83(2). D’autres manquements peuvent relever d’autres plafonds.
Le mandat ne remplace ni une base légale ni les garanties requises pour un transfert. Les règles sur les transferts hors UE nécessitent leur propre analyse.
Ce qu’il faut retenir
- Qualifiez d’abord le traitement au regard de l’Art. 3(2), puis vérifiez les exceptions de l’Art. 27(2).
- Un traitement de faible volume n’est pas automatiquement occasionnel ou sans risque.
- Désignez le représentant par écrit dans un État membre répondant au critère de l’Art. 27(3).
- Organisez concrètement les contacts, le registre et la coopération ; distinguez ce mandat du DPO.
- L’opérateur représenté conserve ses obligations et sa responsabilité.
FAQ
Tout fournisseur étranger d’une entreprise française doit-il avoir un représentant ?
Non, pas sur ce seul critère. Il faut analyser les traitements du fournisseur et leur rattachement territorial, notamment aux activités visées par l’Art. 3(2), puis les éventuelles exceptions.
Faut-il un représentant dans chaque pays concerné ?
L’Art. 27(3) prévoit un représentant établi dans l’un des États membres concernés. Organisez cependant un dispositif accessible aux personnes et autorités des autres États concernés.
Faut-il déclarer cette désignation à la CNIL comme celle du DPO ?
Le CEPD indique que le RGPD n’impose pas une telle notification pour le représentant. Les obligations d’information des personnes et de tenue du registre restent applicables.
Le représentant garantit-il la conformité du fournisseur ?
Non. Son existence ne prouve ni la licéité des traitements, ni la sécurité du service, ni la conformité des transferts. Vérifiez ces sujets séparément lors de l’évaluation du fournisseur.
Pour suivre les évolutions du RGPD, inscrivez-vous à la newsletter.
Thiébaut Devergranne, Docteur en droit privé (Paris II), plus de 20 ans d’expérience en droit des nouvelles technologies. Fondateur de donneespersonnelles.fr et de Legiscope.