Importateurs et distributeurs CRA : contrôles et preuves

Importer un équipement connecté ou revendre un logiciel ne transfère pas toutes les obligations du fabricant au revendeur. Le CRA attribue cependant à chaque opérateur des vérifications et des actions propres. Le dossier d’achat doit permettre de savoir ce qui a été contrôlé, par qui, et comment réagir si une vulnérabilité ou une non-conformité apparaît.

Qualifier le rôle avant la première commande

Les Art. 3(16), 3(17) et 21 du règlement (UE) 2024/2847 distinguent :

• l’importateur établi dans l’Union, qui met sur le marché un produit portant le nom ou la marque d’un fabricant extérieur à l’Union ;
• le distributeur, autre que le fabricant ou l’importateur, qui met le produit à disposition dans la chaîne d’approvisionnement sans en modifier les caractéristiques ;
• l’importateur ou distributeur devenant fabricant lorsqu’il commercialise sous son propre nom ou sa marque, ou apporte une modification substantielle.

Le champ du CRA doit être vérifié produit par produit.

Avant commercialisation : deux niveaux de vérification

Le contrôle de l’importateur doit être étayé par les documents nécessaires. Une attestation commerciale d’une ligne ne prouve pas l’exécution de la procédure. Rapprochez le marquage CE CRA, la déclaration, le numéro de version et les produits commandés.

En cas de doute ou de non-conformité

Les Art. 19(3) et 20(3) interdisent de mettre le produit sur le marché ou à disposition lorsqu’il existe les motifs de non-conformité prévus, jusqu’à sa mise en conformité. Lorsqu’un risque de cybersécurité important est en cause, les informations doivent être transmises au fabricant et aux autorités selon les conditions du texte.

Après commercialisation, les Art. 19(5) et 20(4) organisent les mesures correctives, le retrait ou le rappel si nécessaire. La connaissance d’une vulnérabilité doit être relayée au fabricant sans retard injustifié. En présence d’un risque de cybersécurité important, l’information des autorités concernées est immédiate.

Il ne faut donc pas attendre que le fabricant « refuse d’agir » pour examiner ses propres obligations. Le signalement du fabricant au titre de l’article 14 et les obligations des intermédiaires reposent sur des dispositions distinctes.

Conserver et retrouver les preuves

L’Art. 19(6) impose à l’importateur de tenir une copie de la déclaration UE à disposition pendant au moins dix ans après mise sur le marché, ou pendant l’assistance si elle est plus longue. Il doit s’assurer que la documentation technique peut être fournie aux autorités sur demande.

L’Art. 23 prévoit aussi la traçabilité des opérateurs fournisseurs et, lorsque l’information est disponible, des opérateurs destinataires. Les informations doivent pouvoir être communiquées pendant dix ans à compter de la réception et dix ans à compter de la fourniture du produit.

Organisez un index par référence et version : fournisseur, lot, déclaration, pièces de contrôle, destinataires professionnels, alertes et décisions. Le guide de documentation technique CRA aide à distinguer le dossier du fabricant des pièces à retrouver chez l’importateur.

Fabricant défaillant et places de marché

Les Art. 19(8) et 20(6) prévoient une information des autorités et, dans la mesure du possible, des utilisateurs lorsque le fabricant cesse ses activités et ne peut plus respecter ses obligations. Cette situation ne requalifie pas automatiquement tout importateur en fabricant ; l’Art. 21 fixe ses propres conditions.

Le considérant 78 distingue l’intermédiation en ligne de l’exercice d’un rôle d’opérateur économique. Une plateforme peut aussi distribuer ou vendre sous sa marque certains produits : il serait inexact de déclarer toutes les places de marché exclues par principe du rôle de distributeur.

Une procédure d’achat en quatre décisions

Avant référencement, validez le rôle et le périmètre du produit. Avant livraison, vérifiez les pièces et leur concordance. Après vente, attribuez les alertes à un responsable capable de suspendre la distribution et de joindre le fabricant. À la fin de la relation, préservez les documents et les contacts nécessaires aux produits déjà fournis.

Les articles 19 et 20 relèvent de l’application générale du 11 décembre 2027, sous réserve des transitions. Le palier prévu par l’Art. 64(3) pour ces obligations atteint 10 millions d’euros ou 2 % du chiffre d’affaires mondial précédent, selon les conditions du texte. Les sanctions CRA ne se résument pas à un plafond unique pour toute la chaîne.

Constituer un dossier de référencement par produit

Le service achats peut préparer une fiche qui relie le rôle juridique à la commande réelle. Indiquez la personne qui fabrique, celle qui met le produit sur le marché de l’Union, la marque utilisée et la société qui le revend. Ajoutez la référence, la version et les modifications envisagées avant livraison. Ce travail évite d’utiliser la qualification d’un fournisseur pour toutes ses offres sans examen.

Dans un cas entièrement fictif, Bruyère envisage deux offres d’un même appareil : une revente sous la marque du fabricant extérieur à l’Union et une version commercialisée sous sa propre marque. Les dossiers doivent rester distincts. La seconde offre appelle l’analyse des obligations du fabricant prévue à l’Art. 21 ; le contrôle documentaire organisé pour une simple importation ne suffit pas à traiter ce changement de rôle.

Pour chaque pièce reçue, notez son émetteur, sa date et les références couvertes. Une déclaration concernant une autre gamme ne répond pas à la demande, même si le nom du fabricant est identique. Conservez les réserves dans le dossier de référencement et attribuez leur résolution à une personne déterminée. Le statut « fournisseur approuvé » ne doit pas effacer une anomalie propre au produit commandé.

Transformer les vérifications en décisions de livraison

La grille de réception peut distinguer trois situations : pièce concordante, information à préciser et anomalie empêchant la mise sur le marché ou à disposition dans les conditions du texte. Ce classement est une méthode proposée ; il ne remplace pas l’analyse des Art. 19 et 20. Une date commerciale pressante ne supprime pas les vérifications nécessaires.

Préparez les éléments suivants avec le fournisseur :

Une réserve doit décrire précisément la pièce ou l’explication manquante. « Dossier incomplet » ne permet pas de savoir si l’attente porte sur une traduction, une référence erronée ou l’absence d’élément établissant une évaluation. Demandez une réponse ciblée et conservez les versions successives. Le remplacement d’un document ne doit pas faire disparaître la trace du contrôle initial.

Préparer le traitement d’une alerte après la vente

Le point d’entrée commercial doit pouvoir transmettre une alerte au responsable du suivi produit. La fiche proposée relève l’heure de réception, la source, les références concernées, les faits disponibles et les inconnues. Distinguez la simple question d’un client, la vulnérabilité portée à connaissance et les raisons de croire à une non-conformité ; leurs implications doivent être examinées selon le rôle de l’opérateur.

L’équipe doit ensuite pouvoir retrouver les produits encore en stock et les fournitures déjà réalisées. Rapprochez ces informations des références effectivement visées par l’alerte. Une désignation imprécise peut conduire à manquer un produit concerné ou à attribuer à toute une gamme une conclusion qui ne porte que sur une version.

La réponse du fabricant constitue une information à examiner. Son silence ne suspend pas les obligations propres de l’importateur ou du distributeur. Organisez les décisions nécessaires sur la commercialisation, les mesures correctives et les informations à transmettre. Consignez séparément l’envoi d’une alerte au fabricant et celui d’une information à l’autorité : l’un ne prouve pas l’accomplissement de l’autre.

Préserver la continuité du dossier fournisseur

Avant un changement d’interlocuteur ou la fin d’un contrat de distribution, vérifiez que l’entreprise peut encore retrouver les pièces concernant les produits fournis. Un lien vers un espace fournisseur fermé ne rend pas une déclaration effectivement disponible. Attribuez la conservation et la recherche à un responsable identifié, avec des droits d’accès adaptés.

La traçabilité des Art. 19(6) et 23 répond à des objets et à des points de départ distincts. Séparez donc, dans votre index, la copie de déclaration, la disponibilité de la documentation technique et les informations sur les opérateurs. Cette organisation évite d’appliquer une seule date de suppression à l’ensemble sans examen.

Enfin, révisez la qualification lorsqu’une offre change : nouvelle marque, nouveau fournisseur ou modification du produit. Une décision de référencement antérieure ne couvre pas automatiquement une opération différente. Le dossier doit montrer ce qui a changé et pourquoi les vérifications retenues restent adaptées.

Ce qu’il faut retenir

• Le rôle dépend de la commercialisation réelle, notamment de la marque utilisée.
• Importateur et distributeur ont des contrôles et obligations d’action propres.
• Les alertes et preuves doivent pouvoir être retrouvées après la vente.
• La défaillance du fabricant ne justifie ni l’inaction ni une requalification automatique.

FAQ

Le distributeur peut-il se fier uniquement au logo CE ?

Non. Il doit effectuer les vérifications prescrites et agir avec diligence, notamment lorsqu’il dispose d’informations sur une non-conformité ou une vulnérabilité.

L’importateur doit-il refaire toute l’évaluation ?

L’article 19 lui demande de s’assurer de la procédure appropriée menée par le fabricant et de pouvoir fournir les preuves nécessaires. S’il devient lui-même fabricant au sens de l’article 21, ses obligations changent.

Une place de marché est-elle toujours extérieure à la chaîne ?

Non. Il faut distinguer son activité d’intermédiation de ses éventuelles activités de distribution, d’importation ou de commercialisation sous sa marque.

Recevez nos analyses conformité dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la conformité numérique.