Représentant UE vs DPO : quelle différence ?

Le représentant UE et le délégué à la protection des données comptent parmi les rôles les plus souvent confondus sous le RGPD, en partie parce que tous deux impliquent un contact nommé et touchent à la conformité en matière de protection des données. Mais ils répondent à des questions juridiques différentes, relèvent d'articles différents et sont déclenchés par des faits différents. Le représentant de l'Article 27 porte sur votre présence physique dans l'UE lorsque vous êtes établi hors de l'Union ; le DPO des Articles 37 à 39 porte sur la nature et l'ampleur de vos traitements, où que vous soyez établi. Ce guide précise exactement ce qu'est chaque rôle, qui a besoin de quoi, si une même structure peut cumuler les deux, et quand les deux sont requis simultanément.

Deux rôles, deux articles : ce qu'est réellement chacun

Les deux fonctions figurent dans des parties différentes du RGPD et existent pour des raisons différentes.

• Représentant UE (Article 27). Une personne physique ou morale établie dans l'UE ou l'EEE, désignée par écrit par un responsable de traitement ou un sous-traitant établi hors de l'Union. Il agit comme point de contact local pour les autorités de contrôle et les personnes concernées, et doit pouvoir être saisi en plus (ou à la place) de l'entreprise pour toute question de conformité. Il contribue également à la tenue du registre des traitements de l'Article 30.
• Délégué à la protection des données (Articles 37 à 39). Un expert qui conseille l'organisme sur ses obligations RGPD, contrôle la conformité interne et sert de point de contact avec les autorités de contrôle et l'EDPB.

Le représentant porte sur l'endroit où vous êtes ; le DPO porte sur ce que vous traitez.

Qui a besoin de quoi — et quand les deux sont requis

Les facteurs déclencheurs sont distincts : testez donc chacun de manière indépendante.

Question	Représentant UE	DPO
Article applicable	Article 27	Articles 37 à 39
Ce qui le déclenche	Aucun établissement dans l'UE/EEE et vous ciblez ou suivez des personnes dans l'UE	Autorité publique ; suivi régulier et systématique à grande échelle ; ou données de catégories particulières à grande échelle
Fonction principale	Contact local et boîte aux lettres pour les autorités et les particuliers	Conseiller indépendant et contrôleur de conformité
Indépendance	Agit sur instructions de l'entreprise	Doit agir en toute indépendance ; aucune instruction sur ses missions

Un éditeur SaaS US ou canadien ciblant l'UE a généralement besoin d'un représentant. S'il profile en outre ses utilisateurs à grande échelle, il a besoin des deux. Les obligations se cumulent.

Une même structure peut-elle assurer les deux ? Les confusions les plus fréquentes

C'est là que la plupart des entreprises se trompent. L'EDPB l'a clairement énoncé, dans ses Lignes directrices 3/2018 sur le champ d'application territorial : une même personne ne peut pas être à la fois votre représentant UE et votre DPO. La raison est structurelle : un représentant agit sur instructions de l'entreprise, tandis qu'un DPO doit agir en toute indépendance et ne recevoir aucune instruction dans l'exercice de ses missions. Cumuler les deux créerait un conflit d'intérêts, en particulier en contexte répressif.

• Confusion 1 : supposer qu'un DPO supprime le besoin d'un représentant — c'est faux.
• Confusion 2 : penser que le représentant absorbe votre responsabilité — la désignation ne transfère pas la responsabilité propre du responsable de traitement ou du sous-traitant.
• Confusion 3 : croire qu'un représentant UK couvre l'UE — c'est faux, et inversement.

Une même organisation peut fournir les deux services via des personnes distinctes et une gouvernance claire.

FAQ

Désigner un représentant UE signifie-t-il que je n'ai plus besoin d'un DPO ?

Non. Les deux obligations sont indépendantes et cumulatives. Le représentant couvre votre absence d'établissement dans l'UE au titre de l'Article 27, tandis que l'obligation de DPO au titre des Articles 37 à 39 dépend de la nature et de l'ampleur de vos traitements. Vous pouvez avoir besoin de l'un, de l'autre, ou des deux.

La même personne peut-elle être à la fois mon représentant UE et mon DPO ?

Non. L'EDPB confirme dans ses Lignes directrices 3/2018 que les rôles sont incompatibles, car un représentant agit sur instructions de l'entreprise tandis qu'un DPO doit être indépendant et ne recevoir aucune instruction sur ses missions. Une même structure peut fournir les deux, mais il doit s'agir de personnes différentes.

Je suis une entreprise US sans bureau dans l'UE — de quoi ai-je besoin ?

Si vous proposez des biens ou services à des personnes dans l'UE, ou suivez leur comportement, vous avez presque certainement besoin d'un représentant UE au titre de l'Article 27. Vous avez en plus besoin d'un DPO uniquement si vos traitements atteignent l'un des seuils de l'Article 37, comme un suivi à grande échelle ou le traitement à grande échelle de données de catégories particulières.