Onze questions qu'on nous pose avant de choisir un représentant UE

 La plupart des questions qui nous arrivent ne portent pas sur le texte. Elles portent sur ce qui vient après : qui répond, en combien de temps, ce que cela coûte quand quelque chose se produit vraiment. Voici les onze les plus fréquentes, avec des réponses aussi nettes que possible — y compris les deux où la réponse honnête nous fait perdre la vente.

1. Sommes-nous vraiment concernés ?

L'article 3(2) du RGPD s'applique à une société établie hors de l'Union dès qu'elle offre des biens ou des services à des personnes situées dans l'UE, ou surveille leur comportement. Il n'existe ni seuil de chiffre d'affaires ni nombre minimal de clients. Offrir quelque chose gratuitement compte tout autant, car ce qui déclenche l'obligation est le traitement de données personnelles et non le paiement. Vendre à des entreprises ne change rien : en face, ce sont des personnes physiques.

L'exemption de l'article 27(2)(a) existe mais reste étroite : traitement occasionnel, à faible risque, sans catégories particulières. Elle correspond rarement à une activité commerciale.

2. Notre DPO ne s'en occupe-t-il pas ?

Non, et c'est le malentendu le plus coûteux du secteur. Le délégué à la protection des données relève des articles 37 à 39, conseille en interne, et peut se trouver n'importe où dans le monde. Le représentant relève de l'article 27, reçoit au lieu de conseiller, et doit être établi dans l'Union. Selon les lignes directrices du CEPD, une même entité ne peut pas cumuler les deux rôles pour la même société, car ils peuvent entrer en conflit.

3. Notre distributeur européen ou notre cabinet peut-il le faire ?

Uniquement si cette entité est établie dans l'Union et accepte formellement le rôle par écrit. Un distributeur qui n'a jamais signé de désignation n'est pas votre représentant, et un cabinet qui vous défend ne l'est pas davantage. Ce que l'article 27 exige, c'est une entité nommée, publiée dans votre politique de confidentialité, à laquelle les autorités et les personnes concernées peuvent s'adresser.

4. Que recevons-nous concrètement ?

Quatre choses. Une lettre de désignation signée au titre de l'article 27(1), avec une signature électronique conforme au règlement (UE) n° 910/2014 — pas une image scannée. Un certificat portant un QR et un code de vérification qui interroge un registre public en temps réel. Le texte exact des articles 13 et 14 pour votre politique de confidentialité, généré dans chaque langue publiée par votre site. Et une adresse dédiée, avec boîte et formulaire, où arrivent les demandes.

5. Que se passe-t-il le jour où une autorité écrit ?

Heure zéro : le message arrive à l'adresse dédiée, il est horodaté, reçoit un numéro de référence et est archivé dans le registre. Sous deux jours ouvrés il parvient à votre contact désigné, l'original en pièce jointe et le délai indiqué clairement. Jour trente : le délai de la demande d'exercice de droits expire, et le guichet l'affiche des deux côtés pour que personne ne l'apprenne trop tard.

Ce que nous ne faisons jamais, c'est répondre sur le fond, négocier ou parler en votre nom. L'article 27 fait de nous un point de contact, pas un avocat, et le contrat le dit explicitement.

6. Pourquoi le certificat porte-t-il un code plutôt que d'être un PDF ?

Parce qu'un PDF prouve ce qui était vrai le jour de sa signature. Il ne dit rien d'aujourd'hui, et n'importe qui peut le modifier avec un éditeur de texte.

Notre badge est une ligne de HTML qui lit le registre des désignations en temps réel : vert tant que la désignation est active, rouge le jour où elle expire. Personne ne peut afficher un statut qu'il n'a plus, nous compris. Cette contrainte est précisément la valeur : un sceau qui ne peut pas cesser de mentir ne vaut rien.

7. Combien cela coûte-t-il réellement ?

290 euros par an pour l'Union, couvrant jusqu'à dix demandes transmises. 490 euros avec demandes illimitées, conservation de votre registre de l'article 30 pour les autorités, et le guichet en huit langues avec le délai de trente jours visible des deux côtés. 890 euros ajoutent la personne responsable au titre de l'article 16 GPSR, le mandataire au titre du règlement (UE) 2019/1020 et une boîte dédiée à vous seul. À partir de la deuxième année, les renouvellements descendent à 240, 390 et 690 euros.

Les prix s'entendent hors TVA, la facturation est annuelle et payable d'avance, et la résiliation avant renouvellement est libre. Les activités réglementées et à risque élevé — données de santé, biométrie, crédit, rencontres, mineurs, courtage de données — font l'objet d'un devis distinct.

Le chiffre qui compte plus que tous les autres : rien n'est facturé par demande, sur aucune formule. Dans ce marché, cinquante à deux cents euros par contact est la norme, et cela se découvre au onzième mois, quand il ne reste plus de marge pour discuter.

8. Cela couvre-t-il le Royaume-Uni ?

Non. Depuis le Brexit, le UK GDPR est un régime distinct avec son propre régulateur. Un représentant établi dans un État membre n'a aucune qualité devant l'ICO : une entreprise qui atteint les deux marchés a donc besoin de deux désignations. Nous émettons les deux dans une seule commande, à partir de 390 euros par an, avec deux certificats, deux codes et deux lignes de texte pour la politique de confidentialité — parce qu'une seule ligne nommant une seule entité serait fausse devant l'autre autorité.

9. Vous nommer nous rend-il responsables de tout en Europe ?

Non. Cela ne crée pas d'établissement, ne déplace pas votre résidence fiscale et n'étend pas le RGPD à des traitements qui en étaient déjà exclus. Cela donne aux autorités et aux personnes concernées une adresse joignable.

Et l'article 27(5) est explicite : des actions peuvent toujours être engagées directement contre vous. Tout prestataire laissant entendre que la désignation est un bouclier vend quelque chose que le règlement ne contient pas.

10. Nous sommes une personne seule, pas une société. Est-ce possible quand même ?

Oui, et c'est récent, parce que le présupposé de ce marché ne tient plus. Une part importante des biens qui atteignent les acheteurs européens provient de particuliers et d'indépendants vendant sur des marketplaces sans site à eux.

Le formulaire accepte les particuliers : numéro fiscal ou identifiant national au lieu du numéro d'immatriculation, votre nom au lieu de la raison sociale, un canal de vente au lieu d'un site. Le champ société n'est même pas demandé.

11. Comment savoir que vous êtes réels ?

Vérifiez-nous comme nous disons à nos clients de vérifier n'importe qui. Europe Services SE, c'est IČO 03571785 au registre du commerce tchèque ; REP27 LTD, c'est 17385889 à Companies House. Les deux sont publics. Notre registre de clients l'est aussi, vous pouvez donc voir quelles sociétés nous représentons réellement plutôt que nous croire sur parole. Et le certificat spécimen du site porte un code fonctionnel qui répond sur la même page publique que le vôtre.

Les deux réponses qui nous coûtent de l'argent

Certaines entreprises n'ont pas besoin de nous, et nous le disons avant qu'elles paient. Si vous êtes déjà établis dans un État membre, l'article 27 ne vous concerne pas du tout. Si vous vendez des cosmétiques, la personne responsable dont vous avez besoin est celle du règlement 1223/2009, avec le dossier d'information produit et la notification CPNP : un rôle différent, chez un prestataire différent. Si vos emballages relèvent du PPWR, il faut un mandataire dans chaque État membre atteint, et non un pour l'Europe.

Ces deux-là, nous ne les couvrons pas, et le dire est bien plus facile quand personne n'a encore payé. C'est aussi pourquoi les sept premiers jours sont gratuits et sans carte : la représentation est active dès la première heure, le paiement ne commence qu'au huitième jour, et rien n'est conservé pour vous débiter si vous partez.

Une question en retour

Ce sur quoi je bute dépasse cette obligation. Presque toutes les preuves de conformité sont auto-déclarées, ce qui fait de la diligence fournisseur un exercice de lecture : à quel point quelqu'un s'est-il bien documenté. L'article 27 est l'un des rares endroits où un tiers peut vérifier l'affirmation sans demander.

Alors : quelle part de votre propre diligence fournisseur pourrait être vérifiée sans interroger le fournisseur ? Dites-le en commentaire — ma réponse honnête est plus basse que je ne le voudrais.