Sites web, applications et SaaS atteignant des personnes dans l'UE

• Regulation (EU) 2016/679 — GDPR, Article 27
• EDPB Guidelines 3/2018 on the territorial scope
• Directive 2002/58/EC — ePrivacy, for cookies and tracking

Qui doit le désigner

Tout responsable du traitement ou sous-traitant non établi dans l'Union dont le traitement relève de l'article 3(2) : offrant des biens ou des services aux personnes concernées dans l'Union, que le paiement soit requis ou non, ou surveillant leur comportement au sein de l'Union. L'offre est jugée sur l'intention, démontrée par des éléments tels que les prix en euros, une langue de l'UE, des options de livraison en UE, de la publicité ciblée sur l'UE ou la mention des États membres. La surveillance couvre l'analyse, les cookies publicitaires, le profilage comportemental, les tests A/B et l'empreinte des appareils des utilisateurs situés dans l'Union. Les sous-traitants sont concernés à part entière : une entreprise d'hébergement américaine traitant pour le compte d'un client de l'UE a besoin de son propre représentant si l'article 3(2) s'applique à elle.

Seuils et exemptions

Il n'y a pas de seuil de chiffre d'affaires, d'effectif ou de volume. La seule exemption, à l'article 27(2), est étroite et cumulative : le traitement doit être occasionnel, ne doit pas inclure un traitement à grande échelle de données de catégories spéciales ou de données relatives à des infractions pénales, et doit être peu susceptible d'entraîner un risque pour les droits et libertés. L'analyse régulière des sites web sur les visiteurs de l'UE n'est pas occasionnelle, donc en pratique, l'exemption ne s'applique presque jamais à une entreprise en activité. Les autorités publiques et les organismes sont exemptés séparément.

Ce qui doit figurer sur l’étiquette

Pas d'étiquette physique. L'obligation est la transparence : l'identité et les coordonnées du représentant doivent être fournies aux personnes concernées en vertu des articles 13 et 14, ce qui signifie en pratique un paragraphe clairement identifié dans l'avis de confidentialité avec le nom du représentant, l'adresse postale et le canal de contact, et une déclaration indiquant que les personnes concernées peuvent s'adresser au représentant sur toutes les questions relatives au traitement. L'enterrer dans un PDF ou ne mentionner qu'un e-mail générique est ce que critiquent les autorités.

Champs des marketplaces

Les magasins d'applications exigent un contact en matière de confidentialité et plusieurs vérifient désormais qu'un représentant de l'UE est nommé lorsque le développeur est en dehors de l'Union. Les questionnaires d'approvisionnement des entreprises et les examens de sécurité demandent systématiquement la désignation, et son absence retarde les accords. Certains marchés ont commencé à vérifier le certificat par rapport au registre public du fournisseur.

Documents à conserver

La désignation ou le mandat écrit, définissant le champ de la représentation et le traitement couvert. Les registres des activités de traitement en vertu de l'article 30, que le représentant doit tenir et mettre à disposition de l'autorité de contrôle sur demande — c'est le document que les autorités demandent en premier, et son absence constitue une infraction distincte. Preuve du mécanisme de transfert lorsque les données quittent l'Union, comme les clauses contractuelles types en vertu de la décision (UE) 2021/914 avec une évaluation de l'impact du transfert. L'avis de confidentialité tel que publié, daté.

Normes et essais

Non applicable dans le sens des tests de produits. Ce qui est évalué à la place est la documentation et la responsabilité démontrable : si le registre des traitements est exact, si les bases légales sont valables, si le consentement pour les cookies a été recueilli avant le début du suivi, et si les demandes des personnes concernées sont répondues dans un délai d'un mois.

Exigences linguistiques

L'article 12 exige que les informations soient fournies dans un langage clair et simple, et le CEPD s'attend à ce que le représentant puisse communiquer avec les personnes concernées et les autorités dans la langue des États membres où se trouvent les personnes concernées. Un bureau ne répondant qu'en anglais est une faiblesse lorsque l'offre cible, par exemple, la France, l'Allemagne ou la Pologne.

À partir de quand

La désignation doit être en place avant que le traitement déclenche l'article 3(2). Nommer un représentant après une plainte ne remédie pas à la période antérieure, et les autorités de contrôle ont imposé des amendes spécifiquement pour la période pendant laquelle aucun représentant n'existait. Les demandes des personnes concernées transmises par le représentant courent sur le délai de l'article 12(3) : un mois à partir de la réception par le responsable du traitement, prolongeable de deux mois pour des demandes complexes si la personne concernée est informée dans le premier mois.

Durée de conservation

La désignation et les registres de l'article 30 aussi longtemps que la représentation dure, plus la preuve de la période couverte par la suite, car une enquête ultérieure demandera quand le mandat a commencé et s'est terminé. Les registres des demandes reçues et transmises doivent être conservés comme preuve que le représentant a fait son travail.

En cas de manquement

Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total pour non-désignation. Le CEPD considère l'absence de représentant comme une infraction à part entière, indépendante de toute autre violation, et plusieurs autorités ont infligé des amendes sur cette seule base. Au-delà de l'amende, l'exposition pratique est qu'une plainte concernant autre chose — cookies, une demande de personne concernée, une violation — met immédiatement en lumière la désignation manquante, car la première chose que recherche une autorité est à qui elle peut s'adresser.

Qui contrôle

L'autorité de contrôle de tout État membre où se trouvent les personnes concernées. Il n'y a pas de guichet unique pour les responsables du traitement en dehors de l'Union : n'importe laquelle des 27 autorités peut agir, ce qui signifie qu'une plainte française va à la CNIL, une plainte allemande à l'autorité compétente Landesbeauftragte, et les deux peuvent procéder en parallèle.

Où se situe la limite

Nommer un représentant satisfait un article ; cela ne rend pas le reste du traitement légal, et cela ne protège pas le responsable du traitement, car l'article 27(5) préserve les actions légales contre le responsable du traitement lui-même. Un représentant établi dans un État membre couvre l'ensemble de l'Union et les États de l'EEE d'Islande, de Norvège et du Liechtenstein. L'article 27 du RGPD, l'article 13 de la DSA, l'article 16 du GPSR et le représentant CRA sont quatre nominations distinctes : en détenir une ne satisfait pas les autres, même lorsque le même fournisseur les détient toutes. Le Royaume-Uni exige son propre représentant en vertu du RGPD britannique, depuis le Brexit, et une désignation de l'UE ne le couvre pas.

Les questions qu’on nous pose

Le représentant devient-il responsable de notre traitement ?

Le représentant est le point de contact et peut être contacté par les autorités et les personnes concernées en plus, ou à la place, du responsable du traitement. La responsabilité du traitement lui-même reste avec le responsable du traitement ou le sous-traitant en vertu de l'article 27(5). Ce pour quoi le représentant est directement responsable est de maintenir le registre des traitements et de coopérer avec l'autorité.

Nous avons déjà un DPO — est-ce suffisant ?

Non. Ce sont des rôles différents avec des bases légales différentes. Un DPO conseille et surveille en interne et peut être situé n'importe où ; un représentant de l'article 27 doit être établi dans l'Union et existe pour que les autorités et les personnes concernées aient quelqu'un à qui s'adresser là-bas.

Nous utilisons seulement Google Analytics sur les visiteurs de l'UE — cela compte-t-il ?

Oui. Surveiller le comportement des personnes concernées dans l'Union vous place sous l'article 3(2), et l'analyse est l'exemple type que donne le CEPD. Cela entraîne également l'exigence de consentement en matière d'ePrivacy, qui est une obligation distincte de celle du RGPD.

Notre cabinet d'avocats ou revendeur de l'UE peut-il agir en tant que représentant ?

Quiconque établi dans l'Union peut le faire, à condition d'accepter un mandat écrit et de pouvoir réellement remplir le rôle : recevoir des demandes, tenir les registres de l'article 30 et coopérer avec les autorités. Le risque d'un arrangement ad hoc est que personne ne surveille la boîte aux lettres lorsque l'autorité de contrôle écrit.