Représentant dans l’UE (article 27 du RGPD) : qui doit en désigner un, et comment

Si votre entreprise est installée hors de l’Union européenne, à Genève, Montréal, Casablanca ou Londres, et que le RGPD s’applique à elle parce que vous vendez à des personnes qui se trouvent dans l’UE ou suivez leur comportement en ligne, une obligation passe facilement inaperçue : désigner un représentant RGPD au titre de l’article 27. Elle s’applique depuis le 25 mai 2018.

Désigner un représentant demande un mandat écrit et quelques lignes dans votre politique de confidentialité. Ne pas en avoir a déjà valu à un site installé hors de l’UE une amende à six chiffres aux Pays-Bas.

Je travaille entre Paris et Londres, et ce guide couvre donc les deux côtés de la Manche : les entreprises hors UE qui vendent en France ou ailleurs dans l’Union, et les entreprises françaises qui vendent au Royaume-Uni, où une règle équivalente existe. Il fait partie de mon guide complet du RGPD. Si vous ne savez pas encore si le RGPD vous concerne, commencez par les deux critères applicables aux entreprises hors UE.

Représentant RGPD (article 27) : ce qu’il est, et ce qu’il n’est pas

Le RGPD définit le représentant comme une personne physique ou morale établie dans l’Union, désignée par écrit par un responsable du traitement ou un sous-traitant qui n’y est pas établi, pour le représenter en ce qui concerne ses obligations au titre du règlement (article 4, point 17). Autrement dit : votre interlocuteur officiel dans l’UE.

L’article 27 du RGPD fixe le mandat. Les autorités de contrôle, comme la CNIL en France ou l’Autorité de protection des données en Belgique, et les personnes dont vous traitez les données peuvent s’adresser au représentant, en plus de vous ou à votre place, pour toute question relative au traitement.

Ce qu’il n’est pas :

• Pas un DPO. Le délégué à la protection des données (article 37) vous conseille et contrôle votre conformité, avec une indépendance garantie. Le représentant agit sur vos instructions, comme point de contact.
• Pas un transfert de responsabilité. L’article 27, paragraphe 5, précise que des actions en justice peuvent toujours être intentées contre vous directement.
• Pas un service de mise en conformité. Son rôle légal est d’être joignable et de tenir votre registre des traitements, pas de rédiger votre politique de confidentialité ni d’installer votre bandeau cookies.

Qui doit désigner un représentant dans l’UE

Votre entreprise doit en désigner un lorsque deux conditions sont réunies :

1. Elle n’a aucun établissement dans l’UE : ni bureau, ni succursale, ni filiale, ni équipe stable.
2. Le RGPD s’applique quand même, via l’article 3, paragraphe 2 : vous proposez des biens ou des services à des personnes qui se trouvent dans l’UE, ou vous suivez leur comportement, par exemple avec de la publicité comportementale ou du profilage.

L’obligation vise aussi les sous-traitants qui relèvent de l’article 3, paragraphe 2, pas seulement les responsables du traitement. Et la taille ne change rien : l’article 27 ne fixe aucun seuil d’effectif ou de chiffre d’affaires, si bien qu’une équipe de deux personnes est dans la même situation qu’un grand groupe.

Quelques exemples :

Depuis le Brexit, une entreprise britannique qui vend dans l’UE est dans la même situation qu’une entreprise canadienne ou suisse.

L’exemption : les traitements occasionnels et peu risqués

L’article 27, paragraphe 2, lève l’obligation pour les autorités et organismes publics, et pour les traitements qui remplissent à la fois ces trois conditions :

• ils sont occasionnels ;
• ils n’impliquent pas, à grande échelle, de catégories particulières de données (santé, religion, orientation sexuelle et les autres énumérées à l’article 9) ni de données relatives aux condamnations pénales et aux infractions (article 10) ;
• ils ne sont pas susceptibles d’engendrer un risque pour les droits et libertés des personnes, compte tenu de leur nature, de leur contexte, de leur portée et de leurs finalités.

Tout se joue sur le mot « occasionnel ». Pour le Comité européen de la protection des données (CEPD), qui réunit les autorités de protection des données de l’UE, un traitement occasionnel n’est pas effectué de façon régulière et sort du cours normal de votre activité ; quant au risque, il s’apprécie à la fois selon sa probabilité et selon sa gravité. Ces deux précisions figurent dans ses lignes directrices 3/2018 sur le champ d’application territorial, qui traitent aussi du représentant.

En pratique, cela exclut la plupart des entreprises qui ciblent l’UE délibérément. Des colis expédiés chaque semaine en France, un abonnement avec des utilisateurs dans l’UE ou des publicités visant des pays de l’UE sont réguliers par nature. L’exemption est plus plausible pour une opération ponctuelle, comme un événement unique à Bruxelles avec un simple formulaire d’inscription, organisé par une entreprise dont l’activité est ailleurs.

Ce que fait le représentant au quotidien

Le mandat comporte trois missions :

1. Recevoir les demandes. Les autorités et les personnes qui se trouvent dans l’UE peuvent lui écrire pour tout ce qui touche à vos traitements : une question, une réclamation, une demande d’accès ou d’effacement. Le représentant vous la transmet ; c’est toujours vous qui répondez, dans les délais du RGPD.
2. Tenir votre registre des traitements. L’article 30 charge chaque responsable du traitement « et, le cas échéant, le représentant du responsable du traitement » de tenir un registre des activités de traitement, que le représentant doit mettre à la disposition de l’autorité de contrôle sur demande.
3. Coopérer avec les autorités. L’article 31 étend l’obligation de coopération aux représentants, et l’article 58, paragraphe 1, point a), permet à une autorité d’ordonner au représentant de lui communiquer des informations.

Tout le reste vous incombe : les décisions, la mise en conformité et les réponses. La violation de données en est l’exemple le plus net. La notifier reste votre responsabilité, et les lignes directrices du CEPD sur la notification des violations attendent d’une entreprise sans établissement dans l’UE qu’elle prévienne l’autorité de chaque pays de l’UE où vivent des personnes touchées, pas seulement celle du pays de son représentant. Mon guide sur les 72 heures qui suivent une violation de données détaille les étapes.

Désigner un représentant dans l’UE, étape par étape

1. Vérifiez que l’article 27 s’applique. Reprenez les deux conditions et l’exemption ci-dessus.
2. Choisissez le pays. Le représentant doit être établi dans l’un des pays de l’UE où se trouvent les personnes que vous servez ou dont vous suivez le comportement (article 27, paragraphe 3). Le CEPD recommande, comme bonne pratique, le pays où se trouve une part importante d’entre elles : une boutique genevoise dont les clients de l’UE sont surtout en France choisira la France. Les personnes des autres pays doivent pouvoir le joindre aussi.
3. Choisissez qui. Toute personne ou société établie dans ce pays peut tenir le rôle : un cabinet d’avocats, un cabinet de conseil ou un service spécialisé de représentation. Prenez quelqu’un qui répond vite, maîtrise les langues de vos clients et sera encore là dans quelques années. Écartez les sous-traitants qui travaillent pour vous, comme votre hébergeur ou votre outil d’emailing : le CEPD juge les deux rôles incompatibles.
4. Signez un mandat écrit. L’article 27, paragraphe 1, exige une désignation par écrit, et le considérant 80 parle de mandat écrit. Le document doit préciser qui représente qui, à partir de quand, pour quels traitements, quelles missions le représentant assure, sous quel délai il transmet les messages et ce qui se passe à la fin du contrat. Pour l’équivalent britannique, l’ICO admet un simple contrat de prestation.
5. Transmettez votre registre des traitements. Donnez au représentant une copie à jour de votre registre (article 30) et le nom d’une personne qui, chez vous, répond en quelques jours. Si vous n’avez pas encore de registre, c’est le moment de le rédiger.
6. Mettez à jour votre politique de confidentialité. Ajoutez le nom et les coordonnées du représentant à côté des vôtres, comme l’exigent les articles 13 et 14. Mon guide sur le contenu d’une politique de confidentialité montre où les placer.
7. Faites vivre le dispositif. Convenez de la façon dont les demandes vous parviennent, tenez-en un journal et relisez le mandat une fois par an, ou dès que vous vendez dans un nouveau pays.

Royaume-Uni et Suisse : des règles à part

Un représentant dans l’UE ne couvre que l’UE. Deux voisins ont leur propre version, avec une désignation distincte.

Royaume-Uni : un représentant au titre du RGPD britannique

Le RGPD britannique (UK GDPR) conserve son propre article 27. Une organisation sans succursale, bureau ou autre établissement au Royaume-Uni, qui propose des biens ou des services à des personnes qui s’y trouvent ou suit leur comportement, doit désigner par écrit un représentant au Royaume-Uni, avec les mêmes exemptions. Les entreprises de l’UE sont concernées : une boutique en ligne française qui livre en Grande-Bretagne doit en désigner un.

L’ICO, le régulateur britannique, détaille la règle dans sa page sur la réception de données personnelles en provenance de l’EEE (en anglais, section consacrée aux représentants). Il est formellement devenu l’Information Commission le 30 septembre 2026, mais garde son nom usuel. Au 19 octobre 2026, l’ICO décrit toujours l’obligation de représentant en ces termes, même si le Data (Use and Access) Act 2025 a modifié plusieurs pans du droit britannique, que je présente dans ce qui change avec cette loi.

Suisse : une règle plus étroite

La loi fédérale sur la protection des données révisée (nLPD), en vigueur depuis le 1er septembre 2023, n’impose un représentant en Suisse aux entreprises privées établies à l’étranger que si quatre conditions sont réunies (article 14) : le traitement concerne des personnes en Suisse et il est lié à l’offre de biens ou de services ou à l’observation de leur comportement ; il est d’envergure ; il est régulier ; et il présente un risque élevé pour la personnalité des personnes concernées. Qu’une seule manque, et l’article 14 ne vous vise pas.

Si les quatre sont réunies, le représentant doit se trouver en Suisse, car un représentant dans l’UE ne compte pas, et son nom et son adresse doivent être publiés. Il est l’interlocuteur des personnes concernées et du Préposé fédéral à la protection des données et à la transparence (PFPDT).

Ce que vous risquez sans représentant

L’absence de représentant est un manquement à l’article 27, qui relève du premier niveau d’amendes du RGPD : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83, paragraphe 4). C’est un plafond. Les autorités fixent chaque montant selon les critères de l’article 83, paragraphe 2, et mon article sur les sanctions RGPD pour une petite équipe passe en revue des cas réels.

Le cas le plus souvent cité est néerlandais. En mai 2021, l’Autoriteit Persoonsgegevens, l’autorité des Pays-Bas, a annoncé une amende de 525 000 euros contre Locatefamily.com, un site qui publiait les coordonnées de particuliers, n’avait aucun établissement dans l’UE et n’avait pas désigné de représentant depuis mai 2018. Les personnes concernées avaient du mal à faire retirer leurs données, et l’autorité avait reçu 19 réclamations. En plus de l’amende, elle a ordonné au site de désigner un représentant sous 12 semaines, sous astreinte de 20 000 euros par période de deux semaines, plafonnée à 120 000 euros.

Deux leçons pour une petite équipe. L’affaire est partie de réclamations de particuliers qui n’avaient aucun interlocuteur dans l’UE. Et l’amende n’a pas remplacé l’obligation : le site devait toujours désigner un représentant.

Votre check-list, et quand passer la main

• Vérifiez si le RGPD s’applique à vous (article 3) et si vous avez un établissement dans l’UE.
• Testez l’exemption honnêtement et consignez votre conclusion par écrit.
• Choisissez le pays, idéalement celui d’une part importante de vos clients ou utilisateurs dans l’UE, puis le représentant.
• Signez le mandat écrit et transmettez votre registre des traitements.
• Ajoutez le nom et les coordonnées du représentant à votre politique de confidentialité.
• Vérifiez s’il vous faut aussi un représentant au Royaume-Uni (UK GDPR) ou en Suisse (article 14 de la nLPD).
• Notez une révision annuelle dans votre agenda.

Ce guide présente les règles telles qu’elles s’appliquent au 19 octobre 2026 et ne constitue pas un conseil juridique. Un avocat, ou votre DPO si vous en avez un, mérite d’être consulté si vous traitez des données de santé ou d’autres données sensibles, suivez des personnes à grande échelle, vendez dans de nombreux pays de l’UE à la fois ou avez reçu un courrier d’une autorité.

Les pages de confidentialité et de mentions légales font partie de mes projets de sites web : les coordonnées de votre représentant y trouvent leur place dès la mise en ligne.