Comment désigner un représentant UE : étape par étape

Si votre entreprise américaine ou canadienne traite les données personnelles de personnes situées dans l'UE, le RGPD peut vous imposer de désigner un représentant UE au titre de l'Article 27. La bonne nouvelle : le processus est simple et entièrement administratif une fois que vous en comprenez les cinq étapes. Ce guide vous accompagne dans chacune d'elles en langage clair, de la confirmation que l'obligation s'applique bien à vous, jusqu'au choix et au mandat formel d'un représentant, en passant par la publication de ses coordonnées et son intégration à votre gestion quotidienne des données. Vous trouverez également un modèle de lettre de désignation à adapter. Rien de tout cela ne vous oblige à ouvrir une entité UE ni à recruter du personnel local. Il s'agit de créer un point de contact documenté au sein de l'EEE afin que les particuliers et les autorités de contrôle puissent joindre un responsable du traitement ou un sous-traitant qui, autrement, se situe hors de leur juridiction.

Étapes 1 et 2 : confirmez que vous avez besoin d'un représentant, puis choisissez-en un

Étape 1 — Confirmez que l'obligation s'applique. L'Article 27 s'applique lorsque vous n'êtes pas établi dans l'UE mais que vous traitez les données personnelles de personnes qui s'y trouvent, et que ce traitement est lié soit (a) à l'offre de biens ou de services à ces personnes (payants ou gratuits), soit (b) à la surveillance de leur comportement au sein de l'UE. Suivre les visiteurs d'un site web, diffuser des publicités ciblant l'UE ou accepter des clients UE relève généralement de ce cas. Il existe une exemption étroite pour les traitements occasionnels à faible risque et sans données sensibles à grande échelle.

Étape 2 — Choisissez un représentant au bon endroit. Votre représentant doit être établi dans un État membre de l'UE ou de l'EEE où se trouvent certaines des personnes concernées. De nombreuses entreprises choisissent un seul État et recourent à un prestataire spécialisé. Vérifiez que le prestataire peut agir pour les responsables du traitement comme pour les sous-traitants et qu'il est supervisé par un responsable confidentialité qualifié, tel qu'un DPO désigné CNIL.

Étapes 3 et 4 : formalisez-le par écrit, puis publiez les coordonnées

Étape 3 — Formalisez la désignation par écrit. L'Article 27 exige un mandat écrit. Une courte lettre de désignation ou un contrat de service nommant votre entreprise, le représentant, l'État membre d'établissement et l'étendue du mandat suffit. Conservez un exemplaire signé dans vos dossiers ; les autorités de contrôle peuvent le demander.

Voici un modèle simple que vous pouvez adapter :

À qui de droit,

[Votre Société, Inc.], société établie à [adresse complète, pays], désigne par les présentes [Nom du représentant], établi à [adresse UE/EEE, État membre], comme son représentant dans l'Union conformément à l'Article 27 du Règlement (UE) 2016/679 (RGPD).

Le représentant est mandaté pour être contacté par les personnes concernées et les autorités de contrôle sur toute question relative à notre traitement de données personnelles, en complément ou à la place de nous-mêmes. Cette désignation prend effet le [date] et reste valable jusqu'à révocation écrite.

Signé, [Nom, Fonction, Date].

Étape 4 — Publiez les coordonnées. Au titre des Articles 13 et 14, votre politique de confidentialité doit indiquer l'identité et les coordonnées du représentant afin que les particuliers puissent les trouver facilement.

Étape 5 : tenez vos registres de l'Article 30 et orientez les demandes

Étape 5 — Rendez la désignation opérationnelle. Un représentant n'est utile que s'il est relié à vos processus réels. Deux obligations comptent le plus ici.

Premièrement, votre représentant doit conserver une copie de vos registres des activités de traitement au titre de l'Article 30 et les mettre à la disposition d'une autorité de contrôle sur demande. Tenez donc votre registre de traitement à jour et partagez-le avec votre représentant à chaque modification.

Deuxièmement, mettez en place un circuit clair pour les contacts entrants. Lorsqu'une personne concernée ou une autorité de contrôle joint le représentant, ce message doit parvenir rapidement à la bonne personne de votre côté.

• Désignez un responsable interne de la correspondance avec le représentant.
• Convenez de délais de réponse respectant les échéances du RGPD (par exemple, un mois pour les droits des personnes concernées).
• Journalisez chaque demande et votre réponse à des fins de responsabilité.

Bien menée, la désignation fait du représentant une passerelle fluide plutôt qu'une boîte aux lettres sans issue.

FAQ

Désigner un représentant UE soumet-il mon entreprise au RGPD ?

Non. La désignation ne crée pas de nouvelle juridiction. Si vous ciblez ou surveillez des personnes situées dans l'UE, le RGPD s'applique déjà à ce traitement au titre de l'Article 3 ; le représentant est simplement le point de contact local que la loi vous impose de désigner. En nommer un n'étend pas la portée du RGPD au-delà de ce que vos activités de traitement déclenchent déjà, et cela ne rend pas le représentant responsable de votre conformité.

Mon représentant UE peut-il être la même personne que mon DPO ?

En général non, et ce n'est pas conseillé. Les rôles entrent en conflit : un DPO doit agir de manière indépendante et conseiller sur la conformité, tandis qu'un représentant agit sur mandat du responsable du traitement ou du sous-traitant et peut être tenu de coopérer par les autorités. Les lignes directrices de l'UE découragent de réunir ces fonctions en une même personne. De nombreuses entreprises recourent à un service de représentant dédié, supervisé séparément par un DPO qualifié, ce qui maintient les deux fonctions distinctes.

Que se passe-t-il si je n'en désigne pas un alors que c'est requis ?

Ne pas désigner de représentant lorsque l'Article 27 s'applique constitue en soi une infraction au RGPD et peut être sanctionné par les autorités de contrôle, y compris par des amendes administratives. Tout aussi important, l'absence de représentant signale une conformité globalement défaillante et peut compliquer le traitement des demandes des particuliers et des sollicitations des autorités, augmentant votre exposition. En désigner un est un moyen rapide et peu coûteux de combler cette lacune et de démontrer votre bonne foi.