Représentant du RGPD britannique pour les entreprises en dehors du Royaume-Uni

• UK GDPR, Article 27
• Data Protection Act 2018
• Privacy and Electronic Communications Regulations 2003

Qui doit le désigner

Tout responsable du traitement ou sous-traitant non établi au Royaume-Uni qui propose des biens ou des services aux personnes au Royaume-Uni ou surveille leur comportement là-bas. Depuis le Brexit, cela inclut les entreprises établies dans l'Union européenne, ce que la plupart des entreprises de l'UE oublient : un établissement dans l'UE ne couvre pas le Royaume-Uni, et un établissement au Royaume-Uni ne couvre pas l'UE.

Seuils et exemptions

L'exemption reflète celle de l'UE et est également étroite : traitement occasionnel, pas de données de catégorie spéciale ou de données relatives à des infractions pénales à grande échelle, et peu probable de donner lieu à un risque. Les analyses régulières sur les visiteurs britanniques ne sont pas éligibles. Les autorités publiques sont exemptées.

Ce qui doit figurer sur l’étiquette

L'identité et les coordonnées du représentant doivent être fournies aux personnes concernées dans l'avis de confidentialité, de la même manière que dans le RGPD de l'UE, et doivent être facilement accessibles au Bureau du Commissaire à l'information.

Champs des marketplaces

Les places de marché et les acheteurs d'entreprise orientés vers le Royaume-Uni demandent le représentant britannique lors de la due diligence. C'est également la première chose que le ICO recherche lors du traitement d'une plainte concernant une entreprise sans établissement au Royaume-Uni.

Documents à conserver

La désignation écrite. Le registre des activités de traitement relatives au traitement au Royaume-Uni, que le représentant doit maintenir et mettre à disposition du ICO. La documentation de transfert, qui depuis le Brexit signifie l'Accord de transfert international de données du Royaume-Uni ou l'Addendum britannique aux clauses types de l'UE, et non les clauses de l'UE seules.

Normes et essais

Non applicable. Ce qui est évalué, ce sont la documentation et la capacité à répondre au ICO et aux personnes concernées.

Exigences linguistiques

Anglais.

À partir de quand

Avant que le traitement qui déclenche la juridiction britannique ne commence. Nommer après une plainte ne remédie pas à la période antérieure.

Durée de conservation

La désignation et les dossiers de traitement au Royaume-Uni pendant la durée de la représentation, plus la preuve de la période couverte.

En cas de manquement

Jusqu'à 17,5 millions de £ ou 4 % du chiffre d'affaires mondial en vertu du régime britannique. Le ICO a été moins agressif que plusieurs autorités de l'UE concernant l'exigence de représentant spécifiquement, mais il considère l'absence comme un facteur aggravant lors de l'examen de toute autre chose.

Qui contrôle

Le Bureau du Commissaire à l'information.

Où se situe la limite

Deux nominations distinctes sont nécessaires pour couvrir les deux territoires, et un fournisseur peut détenir les deux mais doit être désigné séparément pour chacun. Le Royaume-Uni diverge également dans les détails : la documentation de transfert diffère, les règles sur les cookies sont appliquées par le ICO en vertu du PECR, et le Royaume-Uni a son propre code de conception adapté à l'âge pour les services susceptibles d'être accessibles par des enfants.

Les questions qu’on nous pose

Nous sommes une entreprise de l'UE — avons-nous besoin d'un représentant britannique ?

Si vous ciblez des utilisateurs britanniques ou surveillez leur comportement et n'avez pas d'établissement au Royaume-Uni, oui. Le Brexit a fait du Royaume-Uni un pays tiers à cette fin, dans les deux sens.

Le représentant de l'UE peut-il également agir pour le Royaume-Uni ?

Le même fournisseur peut le faire, mais la désignation doit être faite séparément en vertu du RGPD britannique et le représentant doit être établi au Royaume-Uni.