REP27 · Exécution
Article 83(4)(a) · Exécution
L'article 27 est inhabituel parmi les obligations du GDPR : il peut être vérifié de l'extérieur, dans un navigateur, en environ dix secondes. Il n'est pas nécessaire d'auditer vos systèmes ou de lire vos contrats — soit votre avis de confidentialité mentionne une entité établie dans l'Union, soit il ne le fait pas. Cette visibilité est la raison pour laquelle la désignation manquante apparaît si souvent dans l'exécution, et pourquoi elle est considérée comme une violation à part entière.
C'est la raison pratique pour laquelle le libellé de votre site est aussi important que le mandat qui le sous-tend. Une désignation qui existe mais n'est pas publiée est invisible exactement pour les personnes pour lesquelles elle a été créée.
L'article 83(2) énumère les facteurs. Quatre d'entre eux sont directement affectés par la rapidité avec laquelle vous agissez.
| Facteur | Ce que cela signifie ici |
|---|---|
| Nature et gravité | Que les personnes concernées aient eu un moyen de vous atteindre |
| Durée | Combien de temps le traitement a duré sans désignation en place |
| Intentionnel ou négligent | Que l'obligation était connue et laissée sans réponse |
| Mesures d'atténuation | Nommer rapidement une fois identifié compte ici |
| Coopération | Répondre par un point de contact fonctionnel plutôt que par le silence |
| Infractions précédentes | Que le même vide ait été soulevé auparavant |
D'après notre expérience, le régulateur est rarement la première conséquence. Un acheteur d'entreprise européen demande le nom du représentant dans un questionnaire de sécurité, le champ revient vide, et le dossier va au service juridique. L'accord ne meurt pas — il glisse, et le glissement est mesuré en trimestres.
C'est l'argument qui persuade les équipes financières : pas le plafond théorique en vertu de l'article 83, mais le contrat qui a cessé de bouger à cause d'une ligne manquante dans un avis de confidentialité.
Les autorités de surveillance ont des ressources limitées et un large mandat. Ce sur quoi elles peuvent agir à moindre coût, elles agissent plus souvent — et l'article 27 est la chose la moins coûteuse à vérifier dans la réglementation.
Établir si les mesures de sécurité d'une entreprise sont appropriées en vertu de l'article 32 nécessite une enquête, une expertise technique et des mois. Établir si un avis de confidentialité mentionne un représentant établi dans l'Union nécessite un navigateur et une minute, dans n'importe quelle langue, sans notifier personne. Une autorité peut examiner une centaine de sites web non-UE servant son marché en un après-midi.
Cette asymétrie façonne l'exécution d'une manière qu'il vaut la peine de comprendre. La désignation manquante est rarement la raison pour laquelle une enquête commence, mais c'est très souvent la première chose enregistrée une fois qu'elle a commencé, car elle est déjà établie avant que la première lettre ne soit envoyée. Elle colore également tout ce qui suit : une entreprise qui n'a jamais fourni de point de contact est plus difficile à caractériser comme diligente sur les autres facteurs de l'article 83(2).
L'inverse est également vrai. Une désignation publiée clairement, vérifiable indépendamment et en place depuis le début, est la preuve la moins coûteuse de bonne foi disponible dans l'ensemble de la réglementation.
Oui. L'article 83(4)(a) liste l'article 27 parmi les dispositions dont la violation entraîne le niveau inférieur d'amendes, et les lignes directrices de l'EDPB 3/2018 indiquent que l'absence de désignation est une violation en soi. Elle n'a pas besoin d'accompagner une violation de données ou tout autre manquement.
Jusqu'à 10 millions d'euros, ou 2 % du chiffre d'affaires annuel mondial de l'exercice financier précédent, selon le montant le plus élevé. Le chiffre d'affaires est évalué au niveau du groupe, et non pour l'entité qui a signé le contrat.
Oui. Plusieurs autorités de contrôle ont émis des sanctions lorsque le représentant manquant faisait partie des infractions constatées, et c'est une constatation standard dans les enquêtes sur les sites Web non européens. C'est également l'une des choses les plus faciles à établir pour une autorité : l'avis de confidentialité est public.
Généralement une plainte d'un sujet de données qui n'a trouvé personne à qui écrire, ou un contrôle par une autorité lisant les avis de confidentialité sur son propre marché. Les deux commencent par ce que votre site dit publiquement.
Cela met fin à la violation en cours, ce qui est important : les autorités prennent en compte la durée de l'infraction et les mesures prises. Cela n'efface pas la période durant laquelle aucune désignation n'existait.
Pour la plupart des entreprises, le coût commercial arrive en premier. Les acheteurs européens demandent le représentant lors de l'intégration des fournisseurs, et une réponse manquante bloque les contrats bien avant qu'une autorité n'écrive.
Le plafond est proportionnel, puisque 2 % d'un petit chiffre d'affaires est un petit montant, mais l'alternative de 10 millions d'euros s'applique lorsque c'est plus élevé. Les autorités prennent également en compte la coopération et la durée, c'est pourquoi une nomination rapide est plus importante que la taille.
Désignation signée dans les 24 heures, avec le libellé dont votre avis a besoin et un certificat que tout le monde peut vérifier.
Nommez-nous Vérifiez d'abord votre avis