Représentant article 27 RGPD pour une entreprise chinoise : obligations et solutions

Une société basée en Chine qui vend à des clients européens doit, dans de nombreux cas, désigner un représentant dans l'Union européenne au titre de l'article 27 du RGPD. Sila International Advisory, dirigé par Younes (legal consultant, spécialiste RGPD et DPO externe), explique qui est concerné, ce que fait ce représentant et comment vous mettre en règle.

Une boutique en ligne qui livre en Europe, un vendeur de marketplace, une application proposée en langues européennes, une plateforme SaaS, un jeu ou un service d'IA. Les lignes directrices 3/2018 de l'EDPB retiennent des indices de ciblage : langue du site, paiement en euros, livraison dans l'UE, mention de clients européens. La simple accessibilité du site depuis l'Europe ne suffit pas. En revanche, suivre le comportement des internautes européens (cookies, outils de mesure, profilage) peut relever de la « surveillance ».

Il sert de point de contact aux autorités de protection des données et aux personnes concernées, en plus de vous ou à votre place (article 27, paragraphe 4). Il est désigné par mandat écrit, établi dans un État membre où se trouvent les personnes concernées, et il participe à la tenue du registre des traitements (article 30). Son identité et ses coordonnées doivent figurer dans votre politique de confidentialité (article 13).

Attention : le représentant n'est ni un DPO ni un substitut de votre conformité. La désignation n'empêche pas les actions engagées contre vous (article 27, paragraphe 5).

Le manquement à l'article 27 peut entraîner une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial (article 83, paragraphe 4). Le risque pratique est souvent plus rapide que l'amende : mesures d'urgence, limitation du service. Exemple public : DeepSeek n'a désigné son représentant qu'à la fin mai 2025, près de cinq mois après la décision de l'autorité italienne (source : IAPP).

Si vous traitez aussi des données collectées en Chine, la loi chinoise PIPL impose aux entreprises étrangères visées de désigner une entité ou un représentant en Chine (article 53). Selon plusieurs analyses de cabinets, elle ne prévoit pas d'exemptions équivalentes à celles de l'article 27. Les deux régimes peuvent donc se cumuler.

Première étape : vérifier si le RGPD s'applique à vous, en listant vos marchés, vos langues, vos paiements et vos outils de suivi. Deuxième étape : choisir un représentant accessible, réactif et capable de répondre aux autorités. Troisième étape : signer un mandat écrit. Quatrième étape : mettre à jour votre politique de confidentialité et votre registre des traitements.

Ma boutique en ligne vend depuis Shenzhen à des clients français : ai-je besoin d'un représentant ?

Probablement oui, si vous ciblez des clients situés dans l'UE (langue, euros, livraison). Une analyse de votre cas confirme ou écarte l'obligation.

Un seul représentant suffit-il pour toute l'Europe ?

Oui. Vous désignez un représentant établi dans l'un des États membres où se trouvent les personnes concernées (EDPB, lignes directrices 3/2018).

Le représentant est-il responsable à ma place ?

Non, il ne remplace pas votre conformité. Le considérant 80 du RGPD prévoit toutefois qu'il peut être visé par des procédures en cas de manquement du responsable : choisissez-le avec soin.

Un représentant est-il la même chose qu'un DPO ?

Non. Le représentant est un point de contact pour une entreprise hors de l'UE ; le DPO surveille la conformité en interne ou en externe. Les deux fonctions sont distinctes.

Combien coûte un représentant article 27 ?

Le prix dépend du nombre de traitements, des pays visés et du niveau de service. Sila ne publie pas de grille tarifaire : un échange de cadrage sans frais est suivi d'un devis personnalisé sous 48 h.