Article 27 du UK GDPR
Représentant UK pour les entreprises établies hors du Royaume-Uni
Le Brexit n'a pas supprimé l'obligation, il l'a dédoublée. Une entreprise hors du Royaume-Uni qui offre des biens ou des services à des personnes ici, ou suit leur comportement, doit désigner un représentant établi en Grande-Bretagne. La désignation européenne ne le couvre pas, et ne l'a jamais fait.
Qui doit désigner un représentant UK
Le test a la même forme que celui de l'Union, appliqué à un autre territoire. Vous êtes concerné si les trois conditions sont réunies.
01
Aucun établissement au Royaume-Uni
Ni succursale, ni filiale, ni bureau. Un revendeur ou distributeur britannique constituant une société distincte ne vous rend pas établi ici.
02
Vous ciblez des personnes au Royaume-Uni
Prix en livres, expédition vers la Grande-Bretagne, un domaine .co.uk, de la publicité en anglais visant ce marché, ou simplement des commandes de clients britanniques.
03
Vous traitez leurs données personnelles
Noms, adresses, e-mails, historique de commandes, cookies qui les profilent. Presque tout ce que fait une boutique en ligne ou une application.
Les exemptions sont étroites : traitement occasionnel à faible risque, sans catégories particulières de données à grande échelle, et autorités publiques. Presque aucune entreprise vendant en ligne n'y entre.
Ce que fait réellement un représentant UK
Le rôle reflète l'article 27 du RGPD européen, avec l'Information Commissioner's Office à la place des autorités européennes.
| Obligation | En pratique |
|---|---|
| Point de contact | Nommé dans votre politique de confidentialité pour que les personnes au Royaume-Uni et l'ICO puissent écrire à quelqu'un ici |
| Sollicité à votre place | Peut être contacté en plus de votre société, ou à sa place, sur toute question liée au traitement |
| Registre des traitements | Tenu pour votre compte et produit à l'ICO sur demande |
| Coopération | Transmet les demandes, conserve le dossier, reste dans l'échange jusqu'à la clôture |
| Établi au Royaume-Uni | REP27 LTD, société n° 17385889, Mildenhall, Suffolk — vérifiable auprès de Companies House |
Ce qu'il n'est pas : un délégué à la protection des données, un cabinet d'avocats, ni un bouclier contre vos propres obligations. La responsabilité au titre du UK GDPR reste la vôtre.
Royaume-Uni et Union ensemble, ou séparément
La plupart de ceux qui demandent l'un ont besoin des deux, parce qu'ils vendent sur les deux marchés. Deux mandats sont émis, tarifés en forfait et reconduits à la même date.
Ce que vous payez
Le Royaume-Uni seul coûte autant que l'Union seule : dès 290 € par an. Les deux territoires ensemble dès 390 € — le second marché coûte 100 € par an, pas le double.
Ce que vous recevez
Pour les deux : deux désignations signées, deux certificats, deux codes de vérification et deux lignes pour votre politique de confidentialité. Un paiement, un formulaire, une reconduction.
Ce qui doit figurer dans votre politique de confidentialité
Le texte doit nommer l'entité et donner une adresse à laquelle on peut écrire. Si vous couvrez les deux territoires, cela fait deux lignes, pas une : une seule ligne nommant une seule entité serait fausse devant l'autre autorité.
EU representative under Article 27 GDPR: Europe Services, SE, Na Cecelicce 425/4, Smichov,
150 00 Praha 5, Czech Republic. Data subjects may contact the representative at
info@gdprrepresentative.com regarding the processing of their personal data.
UK representative under Article 27 of the UK GDPR: REP27 LTD (company number 17385889),
Unit 82a James Carter Road, Mildenhall, Suffolk IP28 7DE, United Kingdom. Data subjects in the
United Kingdom may contact the representative at info@gdprrepresentative.com.
Nous vous envoyons les deux lignes dans la langue de votre politique dès que les désignations sont émises.
Questions posées avant de désigner
Un représentant UE couvre-t-il le Royaume-Uni ?
Non. Depuis la fin de la période de transition, le UK GDPR est un régime distinct avec son propre régulateur. Un représentant établi dans un État membre n'a aucune qualité devant l'ICO.
Nous sommes une société américaine vendant dans l'UE et au Royaume-Uni. Que nous faut-il ?
Les deux. Une désignation nommant une entité dans l'Union et une nommant une entité au Royaume-Uni. Nous les émettons ensemble pour 390 € par an au lieu de 290 € chacune.
Le représentant UK est-il obligatoire ou recommandé ?
Obligatoire au titre de l'article 27 du UK GDPR lorsque vous êtes hors du Royaume-Uni et que vous ciblez ou suivez des personnes ici, sauf si l'une des exemptions étroites s'applique.
Que peut faire l'ICO si nous n'en avons pas désigné ?
L'absence de désignation est une infraction en soi et peut entraîner une amende, indépendamment de toute autre violation. En pratique, elle apparaît lors d'une demande ou d'une plainte, quand il n'y a personne à qui écrire.
Notre distributeur britannique peut-il faire office de représentant ?
Seulement s'il accepte le mandat par écrit et que ses coordonnées sont publiées dans votre politique. La plupart refusent, car le représentant peut être sollicité à votre place.
En combien de temps la désignation est-elle faite, et comment la prouver ?
Émise le jour ouvré où le formulaire et le paiement sont complets. La preuve est un code au préfixe UK27 qui se résout sur notre registre public : vert tant que le mandat est actif, rouge dès qu'il expire.
Nous faut-il aussi un délégué à la protection des données au Royaume-Uni ?
Rarement. L'obligation de DPO dépend de votre activité, pas de votre localisation, et la plupart des entreprises qui ont besoin d'un représentant n'ont aucune obligation de DPO.
Que se passe-t-il si nous résilions ?
La désignation court jusqu'à sa date d'expiration puis apparaît comme expirée sur le registre. Vous mettez à jour votre politique ; nous ne conservons pas votre nom après cette date.
Désignez aujourd'hui un représentant UK
Dès 290 € par an pour le Royaume-Uni, ou 390 € pour le Royaume-Uni et l'Union ensemble. Émise le même jour ouvré, avec un code que chacun peut vérifier.
Voir les forfaits Quelle obligation s'applique à moi ?
Selon le pays où votre entreprise est établie
L'obligation se lit partout de la même façon, mais ce qui fait trébucher change selon l'origine : la base des transferts, le régulateur que vous connaissez déjà, et la manière dont les clients britanniques vous atteignent.