Qui a vraiment besoin d'un représentant RGPD — et pourquoi certaines entreprises choisissent d'apparaître publiquement

 Il y a dans le RGPD une phrase qui s'applique en silence à des milliers d'entreprises qui ne l'ont jamais lue. Elle dit que si vous êtes établi hors de l'Union européenne et que vous atteignez des personnes à l'intérieur, quelqu'un établi dans l'Union doit être joignable en votre nom — un point de contact nommé, pour les autorités et pour les individus. On l'appelle le représentant au titre de l'Article 27. Le Royaume-Uni, après le Brexit, a ajouté sa version miroir sous le UK GDPR. Et la plupart des entreprises concernées ignorent qu'elles le sont.

Ceci n'est pas un argumentaire de vente. C'est une tentative de répondre, clairement, aux questions que les gens se posent vraiment lorsqu'ils découvrent cette obligation — et d'expliquer une chose qui surprend presque tout le monde : pourquoi certaines entreprises, loin de cacher qu'elles sont représentées, choisissent d'apparaître publiquement à ce titre.

« Est-ce que cela me concerne ? »

L'obligation ne regarde ni votre taille ni votre chiffre d'affaires. Elle suit une seule chose : la portée. Si vous êtes responsable de traitement ou sous-traitant établi hors de l'UE et que vous offrez des biens ou services à des personnes dans l'Union, ou que vous surveillez leur comportement, l'Article 3(2) vous fait entrer dans le champ. Aucun seuil de revenus. En pratique, cela touche beaucoup d'entreprises qui ne se voient pas du tout « tournées vers l'UE » — le logiciel américain avec des inscrits européens, l'appli avec des utilisateurs en France ou en Allemagne, le sous-traitant qui gère des données européennes pour ses propres clients. Et ce ne sont plus seulement des entreprises : les indépendants et les vendeurs uniquement sur marketplace, ceux qui tiennent une boutique Amazon ou Etsy sans site à eux, relèvent de la même logique dès qu'ils atteignent des clients de l'UE.

« N'est-ce pas la même chose qu'un DPO ? »

Non, et c'est la confusion la plus fréquente. Le représentant est votre point de contact externe à l'intérieur de l'Union au titre de l'Article 27. Le délégué à la protection des données est un rôle interne de conseil, au titre des Articles 37 à 39. Ce sont deux fonctions distinctes, et une même entité ne peut pas correctement être les deux pour la même entreprise.

« UE ou UK — lequel me faut-il ? »

Cela dépend d'où sont vos personnes. Si vous atteignez des individus dans l'UE, il vous faut un représentant UE. Si vous atteignez des individus au Royaume-Uni, il vous en faut un UK. Si vous atteignez les deux — et beaucoup d'entreprises le font — il vous faut les deux, car ce sont deux obligations légales distinctes, pas une seule. La réponse honnête, c'est que beaucoup d'entreprises ont besoin de la paire et ne découvrent la seconde moitié que tard.

Pourquoi ici « sécurité » veut dire « vérifiabilité »

Quand on demande si un dispositif de représentation est « sûr », on veut généralement dire quelque chose de précis : puis-je être certain qu'il est réel, à jour et prouvable — pas un PDF qu'on m'a envoyé une fois puis oublié ? La question compte parce que l'Article 27 ne consiste plus seulement à satisfaire une autorité. Il s'agit de satisfaire un acheteur. Quand une entreprise mène une due diligence sur un fournisseur, « qui est votre représentant UE, et puis-je le vérifier ? » est désormais une ligne normale. Un document statique qui pourrait dire n'importe quoi ne survit pas à cette conversation. Une désignation que l'on peut contrôler sur un registre en direct, oui. Cette vérifiabilité — un certificat avec un code que quiconque peut scanner pour confirmer qu'il est actif à l'instant — voilà ce que « sécurité » veut vraiment dire ici.

La partie qui surprend : choisir d'être vu

Être représenté au titre de l'Article 27 est, par nature, un fait public. Le nom de votre représentant doit de toute façon figurer dans votre politique de confidentialité. Certaines entreprises vont plus loin et consentent à figurer publiquement aussi du côté du représentant. Pourquoi se porterait-on volontaire pour cela ? Parce qu'ici, visibilité et confiance vont dans le même sens. Pour l'entreprise représentée, apparaître publiquement est un signal petit et vérifiable à ses propres clients et partenaires — oui, nous l'avons fait correctement, et voici où vous pouvez le confirmer. Cela n'arrive qu'avec le consentement ; personne n'est listé sans avoir accepté. Mais quand une entreprise accepte, tout le dispositif devient plus transparent, ce qui est exactement ce que l'Article 27 cherchait dès le départ.

Où se place l'essai de sept jours

Voici la partie pratique, et la raison pour laquelle cette obligation est moins intimidante qu'elle n'en a l'air. Vous n'avez pas à décider à l'aveugle. Vous pouvez commencer par un essai gratuit de sept jours, sans carte bancaire, et voir concrètement ce qu'être représenté veut dire — la désignation signée, le certificat, le badge de vérification en direct — avant de vous engager à quoi que ce soit. Pour une obligation entièrement bâtie sur la transparence, pouvoir l'inspecter avant d'acheter semble être le cœur du sujet, pas un bonus. Le site s'installe même sur votre téléphone comme une appli, si bien que votre statut et votre guichet de demandes voyagent avec vous plutôt que de rester dans un tiroir.

Les limites honnêtes

Deux choses méritent d'être dites clairement. Un représentant est un point de contact, pas un bouclier : l'Article 27(5) est explicite — les autorités peuvent toujours agir directement contre vous, et en nommer un ne crée pas d'établissement dans l'UE et ne déplace pas votre résidence fiscale. Et ce n'est pas un conseil juridique. Quiconque le présente comme une immunité décrit quelque chose que le règlement ne contient pas.

La conclusion est plus sobre qu'un argumentaire. L'Article 27 est une obligation large et ordinaire, qui saisit des entreprises ordinaires dès qu'elles ont des utilisateurs européens. Toute sa logique est la transparence — un point de contact joignable et vérifiable que chacun peut confirmer. Les entreprises qui l'abordent ainsi, y compris celles qui choisissent d'apparaître publiquement, n'achètent pas une protection. Elles rendent quelque chose vérifiable.

Alors une vraie question, pour quiconque a déjà eu affaire à la conformité d'un fournisseur : quand il vous a dit qu'il était « conforme au RGPD », avez-vous vraiment vérifié s'il avait un représentant UE — ou « nous sommes conformes » a-t-il suffi ? J'aimerais savoir à quelle fréquence quelqu'un regarde vraiment 👇