RGPD Article 27 pour startups SaaS : un guide pour les fondateurs

Si votre produit SaaS compte ne serait-ce qu'un seul utilisateur UE, l'Article 27 du RGPD vous concerne probablement, quel que soit le pays d'immatriculation de votre entreprise. Les fondateurs supposent souvent qu'il s'agit d'un problème pour plus tard, quelque chose à régler quand les revenus arrivent ou que l'équipe grandit. Ce n'est pas le cas. L'obligation de désigner un représentant UE est déclenchée par l'identité de vos utilisateurs et les données que vous traitez, non par votre effectif, votre stade de financement ou le fait que vous ayez facturé quelqu'un ou non. La bonne nouvelle : pour une jeune startup SaaS, il s'agit d'une tâche modeste, fixe et prévisible, que vous pouvez intégrer à votre dispositif de conformité en une après-midi. Ce guide explique quand la règle s'applique, pourquoi elle est réellement facile à gérer tôt, et les quelques erreurs qui transforment une obligation simple en obligation coûteuse.

Quand l'Article 27 s'applique réellement à une startup SaaS

L'Article 27 impose à tout responsable du traitement ou sous-traitant non établi dans l'UE de désigner un représentant UE lorsque ses traitements relèvent du champ d'application territorial du RGPD. Pour un SaaS, ce champ est atteint dès lors que vous proposez votre service à des personnes situées dans l'UE ou que vous surveillez leur comportement. L'un comme l'autre se déclenchent facilement sans que vous vous en aperceviez.

• Les inscriptions, essais et listes d'attente d'utilisateurs UE, même gratuits.
• L'analytique, les cookies, l'enregistrement de session ou les tests A/B sur des visiteurs UE, ce qui constitue de la surveillance.
• Une page de tarification en euros ou un marketing ciblant l'UE.
• Un traitement pour le compte d'un client UE, qui peut faire de vous un sous-traitant dans le champ d'application.

Il existe une dérogation étroite pour les traitements véritablement occasionnels, à faible risque et sans données sensibles à grande échelle. L'EDPB interprète occasionnel de manière stricte, de sorte qu'un produit SaaS en service avec des utilisateurs UE récurrents n'y répond presque jamais.

Pourquoi l'effectif est sans importance et comment maîtriser les coûts

Une idée reçue fréquente chez les fondateurs est que les petites entreprises sont exemptées. Elles ne le sont pas. Le seuil de 250 salariés du RGPD concerne l'exception au registre des activités de traitement de l'Article 30, et non l'Article 27. L'obligation de représentant porte sur vos personnes concernées UE et la nature de vos traitements, de sorte qu'une startup de deux personnes, sans revenus, avec des utilisateurs UE en essai est tout autant concernée qu'une entreprise de 5 000 personnes.

C'est aussi pourquoi la manière avisée d'acheter le service est de laisser le tarif évoluer avec le volume de personnes concernées UE, et non avec la taille de votre équipe ou votre chiffre d'affaires mondial. Un outil au stade d'amorçage avec quelques centaines d'utilisateurs UE devrait payer des prix de stade d'amorçage.

• Adaptez le forfait à votre empreinte UE réelle, puis montez en gamme à mesure qu'elle croît.
• Évitez les contrats tarifés sur l'effectif ou le chiffre d'affaires de l'entreprise.
• Exigez une véritable adresse UE, un point de contact et la gestion des registres, pas seulement une boîte aux lettres.

L'intégrer à votre dispositif de conformité et ce qu'il faut éviter

Traitez le représentant UE comme une ligne précoce et peu exigeante, au même titre que le reste de vos bases en matière de confidentialité. Désignez-le une fois, publiez ses coordonnées, et il fait discrètement son travail : recevoir les demandes des utilisateurs UE et des autorités de contrôle, et vous aider à tenir vos registres de l'Article 30 en ordre.

À faire tôt	À éviter
Désigner un représentant UE dès l'apparition d'utilisateurs UE	Attendre des revenus ou une levée de fonds
Nom et adresse dans votre politique de confidentialité	Désigner mais dissimuler les coordonnées
Tenir un registre de traitement simple	Supposer que l'exemption pour petites entreprises s'applique
Choisir une tarification au volume	Confondre le représentant avec un DPO

Le représentant se distingue d'un Délégué à la protection des données et de tout représentant UK dont vous pourriez également avoir besoin. Mettez d'abord en place le volet UE, et il s'étend proprement à mesure que vous évoluez vers les obligations NIS2 et AI Act par la suite.

FAQ

Avons-nous besoin d'un représentant UE avant de gagner le moindre euro ?

Oui, potentiellement. L'Article 27 est déclenché par le traitement des données personnelles de résidents UE, non par les revenus. Si des utilisateurs en essai avant revenus, des inscriptions en liste d'attente ou de l'analytique impliquent des personnes situées dans l'UE, l'obligation peut déjà s'appliquer. Être gratuit ou en pré-lancement ne vous exempte pas.

Nous sommes une toute petite équipe. L'exemption pour petites entreprises ne nous couvre-t-elle pas ?

Non. Il n'existe aucune exemption fondée sur l'effectif à l'Article 27. Le chiffre de 250 salariés dont les gens se souviennent concerne la tenue de registres au titre de l'Article 30, non l'obligation de représentant. Une startup à deux fondateurs avec des utilisateurs UE est dans le champ d'application, tout comme une grande entreprise.

Un représentant UE est-il la même chose qu'un DPO ?

Non. Un DPO conseille et contrôle votre conformité en interne et n'est requis que dans des cas précis. Un représentant UE est un point de contact dans l'UE pour les utilisateurs et les régulateurs lorsque votre entreprise est établie hors de l'UE. Vous pouvez avoir besoin de l'un, des deux ou d'aucun selon votre situation.