Ressources / Guide de référence
L’article 27 du RGPD expliqué
L’article 27 impose à certains responsables du traitement et sous-traitants établis hors de l’UE ou du Royaume-Uni de désigner par écrit un représentant local. Cette désignation facilite le contact avec les autorités et les personnes concernées, mais ne transfère pas la responsabilité de l’organisation.
L’article 27 en bref
- • Vise les responsables du traitement et sous-traitants établis hors de l’UE ou du Royaume-Uni qui relèvent de la portée extraterritoriale du RGPD sans établissement local.
- • Deux déclencheurs : offrir des biens ou services à des personnes sur le territoire, ou suivre leur comportement sur ce territoire.
- • L’exemption est cumulative — traitement occasionnel, pas de traitement à grande échelle de données sensibles ou pénales, et risque improbable : toutes les conditions doivent être réunies.
- • L’UE et le Royaume-Uni sont des régimes distincts : relever des deux implique deux désignations séparées.
- • Le représentant au titre de l’article 27 est un point de contact local sous mandat écrit — ce n’est pas votre DPO, et votre responsabilité vous incombe toujours.
À quoi sert l’article 27
Le RGPD européen peut s’appliquer à une organisation établie hors de l’UE lorsque le traitement concerné est lié à l’offre de biens ou de services à des personnes dans l’UE ou au suivi de leur comportement dans l’UE. L’article 27 crée une exigence de représentant local pour de nombreuses organisations soumises à cette règle d’application extraterritoriale.
Le RGPD britannique comporte une exigence analogue pour les organisations concernées établies hors du Royaume-Uni. L’UE et le Royaume-Uni étant des territoires juridiques distincts, les tests et les désignations doivent être réalisés séparément.
La séquence de décision de l’article 27
Identifier l’acteur
Identifier le responsable du traitement ou le sous-traitant et l’activité de traitement évaluée.
Vérifier les établissements
Déterminer s’il existe un établissement pertinent dans l’UE ou au Royaume-Uni.
Appliquer le test territorial
Évaluer l’offre de biens ou de services et le suivi du comportement sur le territoire.
Examiner les exemptions
Considérer les exemptions relatives aux organismes publics et aux traitements occasionnels à faible risque.
Désigner par écrit
Si nécessaire, sélectionner un établissement éligible et signer un mandat écrit.
Mettre à jour vos informations
Mettre à jour les informations de confidentialité, les registres, les contacts publics et les procédures d’escalade internes.
Qu’entend-on par offre de biens ou de services ?
L’évaluation recherche une intention de servir des personnes sur le territoire. La simple accessibilité d’un site web depuis l’UE ou le Royaume-Uni ne suffit pas à elle seule. Les indicateurs pertinents peuvent inclure une langue ou une devise propres au marché, la disponibilité de la livraison ou du service, des campagnes locales, le choix du domaine ou des contacts, et des références à des utilisateurs ou clients sur le territoire. Ces indicateurs doivent être appréciés ensemble et dans leur contexte.
Qu’entend-on par suivi du comportement ?
Le suivi peut inclure le traçage ou le profilage de personnes afin d’analyser ou de prédire leur comportement, leurs préférences, leurs centres d’intérêt, leur fiabilité, leur localisation, leurs déplacements ou d’autres caractéristiques. Le test territorial porte sur le comportement ayant lieu sur le territoire concerné. L’analyse doit identifier les technologies et les finalités réelles plutôt que de traiter toute forme d’analytique comme automatiquement équivalente.
L’exemption est cumulative
Pour l’UE, l’exemption pour les traitements occasionnels n’est disponible que lorsque le traitement est occasionnel, ne comprend pas de traitement à grande échelle de données relevant de catégories particulières ou de données relatives aux condamnations pénales et aux infractions, et est peu susceptible de créer un risque pour les personnes compte tenu de sa nature, de son contexte, de sa portée et de ses finalités. Ces conditions s’appliquent ensemble : le fait de ne pas en remplir une signifie que l’exemption n’est pas disponible.
L’exemption britannique de représentant doit être appréciée au regard de la formulation britannique et des orientations de l’ICO. La décision doit être consignée et réexaminée en cas d’évolution de l’activité ou du traitement.
Bonne pratique
Une simple mention indiquant que le traitement est « à faible risque » ne constitue pas une évaluation d’exemption défendable. Consignez la fréquence, l’échelle, les catégories de données, la finalité, les personnes concernées, les risques et l’auteur de la revue.
Ce que le représentant doit être en mesure de faire
- Pouvoir être contacté sur les questions de traitement pertinentes par les personnes concernées et les autorités de contrôle.
- Agir en vertu du mandat écrit du responsable du traitement ou du sous-traitant.
- Fournir un canal de contact local effectif et accessible.
- Faciliter la coopération avec l’autorité de contrôle compétente.
- Mettre à disposition les registres pertinents lorsque la loi impose au responsable du traitement, au sous-traitant ou au représentant de les fournir.
Où le représentant UE doit-il être établi
Le représentant UE doit être établi dans l’un des États membres où se trouvent les personnes concernées. Lorsqu’une proportion significative se trouve dans un État membre donné, le CEPD recommande d’y localiser le représentant à titre de bonne pratique. Une présence de représentant ne crée pas d’établissement dans l’UE pour le responsable du traitement ou le sous-traitant et ne donne pas accès, à elle seule, au mécanisme de guichet unique du RGPD.
Informations qui doivent généralement être mises à jour
- Les politiques de confidentialité et autres informations au titre des articles 13 et 14.
- Les canaux de contact pour les demandes d’exercice des droits et les réclamations.
- Les registres au titre de l’article 30 et les cartographies de responsabilité.
- Les procédures relatives aux incidents, aux régulateurs et à la correspondance juridique.
- Les coordonnées de contact publiques du site web, de l’application ou du produit, le cas échéant.
- La documentation destinée aux prestataires et aux clients qui demande les coordonnées du représentant.
Erreurs fréquentes
- Supposer qu’un site web accessible dans le monde entier implique un ciblage de l’UE ou du Royaume-Uni sans analyser les indicateurs réels.
- S’appuyer sur l’exemption pour les traitements occasionnels sans appliquer l’ensemble des conditions.
- Utiliser une seule désignation ou adresse pour couvrir à la fois l’UE et le Royaume-Uni.
- Décrire le représentant comme le DPO de l’organisation.
- Publier une adresse de contact sans mandat documenté ni processus d’escalade opérationnel.
- Ne pas mettre à jour les informations de confidentialité ou les responsables internes après la désignation.
- Traiter la désignation comme un substitut au programme RGPD sous-jacent.
Appliquez-le à votre organisation
L’évaluation vous fournit une réponse provisoire documentée pour les deux territoires. Pour un accompagnement à la désignation, consultez les pages de service UE, R.-U. ou combinée.
Vous déployez aussi des systèmes d’IA ? Nos services de gouvernance de l’IA couvrent le règlement européen sur l’IA aux côtés de votre programme RGPD.
Représentant au titre de l’article 27 — FAQ
Qui doit désigner un représentant au titre de l’article 27 ?
Les responsables du traitement et sous-traitants hors UE ou Royaume-Uni qui offrent des biens ou services à des personnes sur le territoire, ou suivent leur comportement, sans y disposer d’un établissement pertinent — sauf exemption. L’obligation s’apprécie par territoire et par activité de traitement ; l’évaluation de cinq minutes fournit une réponse provisoire documentée.
Quelles sont les exemptions de l’article 27 ?
Les autorités et organismes publics sont exclus, et une exemption existe pour le traitement occasionnel n’incluant pas de traitement à grande échelle de données sensibles ou pénales et peu susceptible d’engendrer un risque. Les conditions sont cumulatives — toutes doivent être réunies — et la conclusion doit être documentée plutôt que présumée.
Faut-il un représentant UE et un représentant britannique ?
Peut-être. Le RGPD de l’UE et le RGPD du Royaume-Uni sont des régimes distincts, avec des critères propres : si les deux s’appliquent et que vous n’avez d’établissement dans aucun des deux territoires, deux désignations distinctes sont nécessaires. Un service coordonné UE + Royaume-Uni peut gérer les deux via un processus unique.
Commencez par l’ évaluation de cinq minutes, ou comparez le service coordonné UE + Royaume-Uni.
Sources primaires
- Texte consolidé du RGPD européen, articles 3 et 27 (EUR-Lex).
- Lignes directrices 3/2018 du CEPD sur le champ d’application territorial du RGPD.
- Orientations de l’ICO : « Do we need a UK representative? »
- Texte de l’article 27 du RGPD britannique (legislation.gov.uk).
- Considérant 80 du RGPD sur la désignation et la responsabilité des représentants (EUR-Lex).