Votre représentant RGPD dans l’Union européenne

Une personne physique ou morale établie dans l’Union, désignée par écrit par un responsable du traitement ou un sous-traitant non établi dans l’Union, qui le représente pour ses obligations au titre du RGPD (article 4.17). Selon l’article 27, paragraphe 4, elle est l’interlocutrice des autorités de contrôle et des personnes concernées sur toute question relative au traitement.

Seulement si deux conditions sont réunies. L’article 3, paragraphe 2, doit s’appliquer : vos traitements sont liés à l’offre de biens ou de services à des personnes dans l’Union, ou au suivi de leur comportement dans l’Union. Et aucune exception de l’article 27, paragraphe 2, ne doit jouer. Une entreprise hors UE sans de tels traitements n’a aucune obligation au titre de l’article 27.

L’article 27, paragraphe 2, dispense les autorités et organismes publics, ainsi que les traitements occasionnels, qui n’impliquent pas un traitement à grande échelle des catégories particulières de données de l’article 9.1 ou des données relatives aux condamnations pénales et aux infractions de l’article 10, et qui sont peu susceptibles d’engendrer un risque pour les droits et libertés des personnes. Les trois conditions de la première exception sont cumulatives.

Oui, si la France est l’un des États membres dans lesquels se trouvent les personnes concernées (article 27, paragraphe 3). Si vos traitements concernent des personnes dans plusieurs États membres, le représentant peut être établi dans l’un quelconque d’entre eux ; il répond alors aussi aux autorités et personnes des autres États membres.

Il reçoit et traite, pour votre compte, les échanges avec les autorités de contrôle et les personnes concernées (article 27, paragraphe 4), tient un registre des activités de traitement effectuées sous votre responsabilité (article 30.1 et 30.2) et coopère avec l’autorité de contrôle à sa demande (article 31). Il agit dans les limites de son mandat écrit.

Non. Le délégué à la protection des données conseille l’organisme et contrôle sa conformité (article 39). Le représentant est un interlocuteur dans l’Union. Le CEPD, dans ses lignes directrices 3/2018, considère les deux fonctions incompatibles lorsqu’elles sont exercées par une même personne externe pour un même organisme, en raison du risque de conflit d’intérêts.

Non. L’article 27, paragraphe 5, dispose que la désignation est sans préjudice d’actions en justice qui pourraient être intentées contre le responsable du traitement ou le sous-traitant lui-même. Votre entreprise reste responsable de sa conformité au titre de l’article 24. Désigner un représentant satisfait à une obligation ; cela ne rend pas vos traitements conformes.

Le RGPD exige une désignation écrite (article 27, paragraphe 1), en pratique un mandat écrit précisant les missions du représentant. Celui-ci doit aussi disposer des informations nécessaires à la tenue de son registre des activités de traitement (article 30). Vos mentions d’information doivent ensuite indiquer son identité et ses coordonnées (articles 13.1.a et 14.1.a).

Cela dépend du volume de traitements, du nombre d’États membres concernés, du flux de demandes attendu et de l’inclusion ou non d’un accompagnement RGPD complémentaire. Sila ne publie pas de tarif fixe : contactez-nous pour échanger sur votre besoin.

Oui, si l’article 27 s’applique à elle et que la France est l’un des États membres dans lesquels se trouvent les personnes concernées. La désignation suppose aussi que Sila accepte le mandat après examen du dossier. L’analyse initiale est la première étape pour vérifier ces deux points.