RGPD · Article 27 · Entreprises canadiennes · Mis à jour le Votre entreprise est établie au Canada, n’a aucun bureau en Europe et vend pourtant à des clients européens, exploite une application qu’ils téléchargent ou suit leur navigation sur votre site Web. Dans ce cas, le RGPD vous oblige en général à désigner par écrit un représentant établi dans l’Union européenne (article 27). Beaucoup d’entreprises canadiennes l’ignorent, souvent parce qu’elles pensent que la décision d’adéquation accordée au Canada les en dispense. Elle ne les en dispense pas, et des autorités européennes ont déjà sanctionné des entreprises étrangères pour ce seul oubli.
L’essentiel
- Le RGPD vise toute entreprise sans établissement dans l’UE qui offre des biens ou des services à des personnes qui s’y trouvent, ou qui suit leur comportement là-bas.
- L’oubli peut coûter jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (article 83, paragraphe 4, du RGPD). L’autorité néerlandaise a imposé 525 000 euros à Locatefamily.com pour cette seule raison.
- Le représentant reçoit les demandes des autorités et des personnes, garde une copie de votre registre des traitements et collabore lors des enquêtes.
- La décision d’adéquation facilite le transfert de renseignements personnels de l’Europe vers le Canada, mais ne touche pas à l’obligation de désigner un représentant.
- Le DSA, NIS2, l’AI Act, le Data Act et le Data Governance Act exigent aussi un représentant dans l’Union.
Pourquoi la décision d’adéquation du Canada ne vous dispense pas d’un représentant
La décision d’adéquation et le représentant répondent à deux questions différentes. La Commission européenne a reconnu le 20 décembre 2001 que la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) offre une protection adéquate. Les renseignements personnels peuvent donc être transférés de l’Europe vers les organisations canadiennes soumises à cette loi sans clauses contractuelles types. La Commission a confirmé cette décision en janvier 2024, lors de son premier réexamen.
Le représentant de l’article 27, lui, ne concerne pas les transferts. Il sert à ce qu’une personne en Europe, ou une autorité européenne, puisse joindre facilement une entreprise étrangère qui la vise. L’article 27 ne prévoit aucune exception pour les pays adéquats. Une entreprise canadienne qui vend en Europe sans y être établie doit désigner un représentant, au même titre qu’une entreprise d’un pays sans adéquation.
Pour vérifier votre propre situation, posez-vous deux questions séparées. Recevez-vous des renseignements personnels d’Europe ? C’est la question des transferts, et l’adéquation peut y répondre si la LPRPDE s’applique à vous. Visez-vous des personnes en Europe ou suivez-vous leur comportement ? C’est la question du représentant, et seule une désignation écrite y répond. Attention : la décision d’adéquation ne couvre que les organisations soumises à la LPRPDE. Si votre entreprise relève d’une loi provinciale sur le secteur privé, la question des transferts doit être analysée à part.
L’amende de 525 000 euros qui a fait connaître l’article 27
En mai 2021, l’autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens) a annoncé une amende de 525 000 euros contre le site Locatefamily.com. Ce site était exploité hors de l’Union et n’avait jamais désigné de représentant en Europe. Ce manquement a suffi à fonder la sanction.
Locatefamily.com publiait les noms, adresses et souvent les numéros de téléphone d’un très grand nombre de personnes, dont des Européens, pour aider à retrouver des proches. Des résidents des Pays-Bas qui voulaient faire retirer leurs coordonnées n’ont trouvé personne à qui écrire. L’autorité a jugé qu’il devait exister un moyen simple d’obtenir la suppression. Elle a ajouté une astreinte de 20 000 euros par période de deux semaines sans représentant, plafonnée à 120 000 euros.
Beaucoup de praticiens ont été surpris : une formalité souvent prise à la légère venait de coûter plus d’un demi-million d’euros. Elle montre aussi le but de la règle : sans représentant, une personne qui vit en Europe n’a aucun moyen pratique de faire valoir ses droits auprès d’une entreprise située de l’autre côté de l’Atlantique.
Ce qu’est un représentant RGPD et quand il devient obligatoire
L’article 4, point 17, du RGPD définit le représentant comme une personne physique ou morale établie dans l’Union, désignée par écrit par le responsable du traitement ou le sous-traitant, qui le représente pour ses obligations au titre du règlement. L’article 27 précise quand la désignation est obligatoire et ce que fait le représentant.
La désignation s’impose lorsque le RGPD s’applique à une organisation non européenne par l’article 3, paragraphe 2. Deux situations sont visées. Dans la première, l’organisation offre des biens ou des services, payants ou gratuits, à des personnes qui se trouvent dans l’Union. Dans la seconde, elle suit leur comportement lorsqu’il a lieu dans l’Union, par exemple au moyen de témoins de connexion publicitaires, de profilage, de géolocalisation ou d’objets connectés.
Le représentant doit être établi dans l’un des États membres où se trouvent les personnes dont vous traitez les renseignements. Lorsqu’une grande partie d’entre elles se trouve dans un même État membre, le comité européen de la protection des données (CEPD) recommande, comme bonne pratique, d’y choisir le représentant.
Les signes qui montrent que votre entreprise vise l’Europe
Un site Web simplement accessible depuis l’Europe ne suffit pas. Les autorités cherchent des indices de votre intention d’y attirer des clients. Le tableau décrit chaque indice, ce qu’il signifie, à quoi ressemble une situation hors champ et comment vérifier vous-même.
| Indice | Ce que vous voyez | Ce que cela signifie | Si vous n’êtes pas visé | Comment vérifier |
|---|---|---|---|---|
| Devise | Prix affichés en euros au paiement | Vous attendez des acheteurs européens | Prix en dollars canadiens seulement, sans conversion proposée | Passez une commande test depuis une adresse européenne ou un RPV |
| Langue | Pages en allemand, espagnol, italien ou dans une autre langue de l’UE | Vous écrivez pour un lectorat européen | Site en français et en anglais seulement, sans mention de l’Europe | Dressez la liste des versions linguistiques du site et de vos fiches d’application |
| Livraison | Options d’expédition vers des pays de l’UE | Vous vendez à des personnes qui s’y trouvent | Livraison limitée au Canada et aux États-Unis | Consultez la liste des pays dans vos paramètres d’expédition |
| Publicité | Campagnes ciblant des publics européens | Vous cherchez activement des clients européens | Ciblage géographique limité à l’Amérique du Nord | Ouvrez les réglages de ciblage de vos comptes publicitaires |
| Suivi | Témoins, pixels ou trousses SDK qui profilent les visiteurs européens | Vous suivez un comportement dans l’Union | Aucun profilage, ou outils désactivés pour l’Europe | Lancez une analyse des témoins depuis l’Europe et lisez les flux de vos SDK |
| Contact | Numéro de téléphone ou nom de domaine européen | Vous vous présentez comme disponible pour l’Europe | Coordonnées canadiennes seulement | Relisez votre page Contact, votre pied de page et vos noms de domaine |
Un indice isolé ne tranche pas toujours. Plusieurs indices réunis le font en général. En cas de doute, consignez votre analyse par écrit et datez-la : une autorité vous la demandera.
Que faire selon la situation de votre entreprise
Ouvrez le cas qui ressemble le plus au vôtre.
Nous n’avons aucun bureau en Europe et nous vendons à des clients européens
Nous avons parfois des visiteurs européens, sans jamais les viser
Nous suivons les utilisateurs européens avec des témoins, de la publicité ou une application
Nous avons une vraie filiale ou une succursale dans l’UE
Nous sommes sous-traitant (logiciel en ligne, hébergement, soutien technique) de clients européens
Nous traitons des renseignements sensibles (santé, biométrie, orientation sexuelle)
Nous exploitons une plateforme, un service infonuagique ou un modèle d’IA utilisé en Europe
Exemples d’entreprises canadiennes concernées ou non
Ces situations reviennent souvent. L’étiquette de chaque fiche donne la réponse habituelle.
Obligatoire
Obligatoire
Obligatoire
Obligatoire
Obligatoire
Obligatoire
Obligatoire
Obligatoire
À vérifier
À vérifier
À vérifier
Non requis
Non requis
Non requis
Ce que vous risquez sans représentant, et ce que vous y gagnez
Les autorités européennes sanctionnent cet oubli
L’article 83, paragraphe 4, point a, du RGPD permet des amendes allant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour un défaut de désignation. En mars 2022, l’autorité italienne a imposé 20 millions d’euros à Clearview AI, entreprise américaine de reconnaissance faciale, et lui a demandé de désigner un représentant dans l’Union. En 2024, l’autorité néerlandaise a de nouveau sanctionné Clearview et retenu l’absence de représentant parmi les manquements.
Sans représentant, chaque autorité nationale peut vous joindre séparément
Le guichet unique du RGPD est réservé aux organisations établies dans l’Union. Une entreprise canadienne sans établissement peut recevoir des demandes de plusieurs autorités nationales, chacune selon sa procédure. Clearview a été sanctionnée séparément par plusieurs autorités, et aucune n’a pu jouer le rôle d’autorité chef de file. Un représentant leur donne à toutes une adresse, une langue de travail et un interlocuteur, ce qui évite qu’une mise en demeure reste sans réponse faute d’avoir été reçue.
Vos clients européens vous le demanderont
Les questionnaires d’approvisionnement et de sécurité des entreprises et organismes publics européens comportent souvent une ligne sur le représentant de l’article 27. Un fournisseur canadien qui ne peut pas y répondre perd des points, parfois le contrat. Dans la santé et le secteur public, la case est rarement facultative.
Les demandes des personnes reçoivent une réponse dans les délais
Une demande d’accès ou d’effacement écrite dans une langue européenne et envoyée à une adresse courriel générique au Canada se perd facilement. Le délai d’un mois de l’article 12 court quand même. Un représentant qui reçoit la demande, en accuse réception dans la langue de la personne et la transmet à la bonne équipe évite la plainte qui déclenche une enquête.
Le lieu du représentant fixe l’autorité compétente pour d’autres lois
Le DSA, NIS2, le Data Act et le Data Governance Act placent l’entreprise étrangère sous la compétence de l’État membre où se trouve son représentant. Tant qu’il n’est pas désigné, chaque État membre peut se dire compétent. Le pays que vous retenez n’est donc pas un détail.
DPO FRANCE
Les tâches du représentant dans l’Union, une par une
L’article 27, paragraphe 4, fait du représentant le point de contact, en plus ou à la place du responsable du traitement ou du sous-traitant, pour les autorités de contrôle et les personnes concernées. D’autres articles lui confient des tâches précises, et vous pouvez vérifier vous-même que chacune est bien faite.
1. Point de contact des autorités de contrôle
Articles 27, paragraphe 4, et 58, paragraphe 1, point a, du RGPD
- accuser réception et transmettre sans délai au siège
- suivre les échéances fixées par l’autorité et relancer le siège
- transmettre la réponse, traduite au besoin, dans la langue de l’autorité
2. Point de contact des personnes concernées
Articles 12 à 22 et 27, paragraphe 4, du RGPD
- recevoir la demande par la poste ou par courriel
- en accuser réception dans la langue de la personne
- la transmettre à la bonne équipe et suivre le délai d’un mois
- relayer la réponse et garder une trace de l’échange
3. Registre des activités de traitement
Article 30 du RGPD
- conserver une copie complète et datée du registre
- signaler les nouveaux traitements dont il prend connaissance
- produire le registre à la première demande d’une autorité
4. Collaboration pendant une enquête
Article 31 du RGPD
5. Réception des décisions officielles
Considérant 80 et lignes directrices 3/2018 du CEPD
6. Visibilité et disponibilité
Articles 13, paragraphe 1, point a, et 14, paragraphe 1, point a, du RGPD
- vérifier que les coordonnées sont publiées et à jour
- prévoir une adresse postale et une adresse courriel dédiées
7. Relais en cas d’atteinte aux renseignements personnels
Articles 33 et 34 du RGPD
Représentant dans l’UE et DPO : deux rôles à confier à deux personnes
Le délégué à la protection des données (DPO) conseille et contrôle la conformité en toute indépendance. Le représentant agit selon le mandat et les instructions de l’entreprise qui le désigne. Dans ses lignes directrices 3/2018, le CEPD juge ces deux rôles incompatibles pour une même entreprise, tout comme ceux de représentant et de sous-traitant, en raison du risque de conflit d’obligations lors d’une procédure. Au Canada, la personne responsable de la protection des renseignements personnels joue un rôle proche de celui du DPO : elle ne remplace pas le représentant européen.
| Critère | Représentant (art. 27) | DPO (art. 37 à 39) |
|---|---|---|
| Qui le désigne | Organisations hors UE visées par l’article 3, paragraphe 2 | Organismes publics, suivi à grande échelle, renseignements sensibles à grande échelle |
| Position | Agit selon un mandat et des instructions | Indépendant, ne reçoit aucune instruction sur ses tâches |
| Rôle principal | Point de contact, registre, collaboration | Conseil, contrôle de la conformité, sensibilisation |
| Lieu | Établi dans un État membre où se trouvent les personnes | Facilement joignable depuis chaque établissement |
| Cumul | Déconseillé par le CEPD pour une même entreprise | Prévoir deux intervenants distincts |
Les autres lois européennes qui exigent un représentant
Depuis 2022, le législateur européen a repris le modèle de l’article 27 dans de nombreuses lois. Chacune a sa portée, son calendrier et son régime de responsabilité.
| Texte | Qui doit désigner | Article | En vigueur depuis | À savoir |
|---|---|---|---|---|
| RGPD | Responsables du traitement et sous-traitants hors UE qui visent ou suivent des personnes dans l’Union | Art. 27 | 25 mai 2018 | Responsabilité limitée à ses propres obligations |
| DSA | Fournisseurs de services intermédiaires hors UE : hébergeurs, plateformes, places de marché, réseaux sociaux | Art. 13 | 17 février 2024 | Le représentant légal peut être tenu responsable ; ses coordonnées sont communiquées au coordinateur pour les services numériques de son État membre |
| NIS2 | DNS, registres de domaines, infonuagique, centres de données, réseaux de diffusion de contenu, services gérés et services de sécurité gérés, places de marché, moteurs de recherche, réseaux sociaux | Art. 26 | Octobre 2024, selon les lois nationales | L’entreprise relève de l’État membre de son représentant |
| AI Act (usage général) | Fournisseurs hors UE de modèles d’IA à usage général | Art. 54 | 2 août 2025 | Mandataire chargé de vérifier la documentation technique |
| AI Act (haut risque) | Fournisseurs hors UE de systèmes d’IA à haut risque | Art. 22 | 2 décembre 2027 (annexe III), 2 août 2028 (annexe I) | Dates reportées par le règlement (UE) 2026/1744 ; le mandataire doit mettre fin au mandat si le fournisseur manque à ses obligations |
| Data Act | Entités hors UE visées : produits connectés, services de traitement de données | Art. 37 | 12 septembre 2025 | La compétence suit l’État membre du représentant |
| DGA | Services d’intermédiation de données et organisations altruistes en matière de données | Art. 11, par. 3, et 19, par. 3 | 24 septembre 2023 | Le service peut être suspendu si l’information demandée n’est pas fournie |
| TCO | Hébergeurs hors UE qui diffusent des contenus au public | Art. 17 | 7 juin 2022 | Reçoit les injonctions de retrait ; responsable lui-même |
| e-evidence | Fournisseurs hors UE de services de communications électroniques et services liés | Directive 2023/1544 | 18 août 2026 | Reçoit les injonctions européennes de production et de conservation de preuves |
| Dispositifs médicaux | Fabricants hors UE de dispositifs médicaux, logiciels compris | Art. 11, règl. 2017/745 | 26 mai 2021 | Responsable solidairement en cas de dispositif défectueux |
| Essais cliniques | Promoteurs hors UE d’essais cliniques de médicaments | Art. 74, règl. 536/2014 | 31 janvier 2022 | Reçoit toutes les notifications adressées au promoteur |
Le Royaume-Uni applique sa propre version du RGPD, qui comporte aussi un article 27. Une entreprise canadienne qui vise des personnes au Royaume-Uni doit donc désigner, en plus, un représentant britannique. La loi fédérale suisse sur la protection des données (article 14) peut, elle aussi, exiger un représentant en Suisse.
Comment choisir votre représentant dans l’Union européenne
Signer le mandat prend un après-midi. Les problèmes apparaissent plus tard, le jour où arrive une lettre d’une autorité ou une demande d’effacement pressante.
- Choisissez un État membre où se trouvent vos utilisateurs, idéalement celui qui en compte le plus. Sous le DSA, NIS2 et le Data Act, ce choix fixe aussi l’autorité compétente.
- Le représentant doit pouvoir échanger avec les personnes et les autorités dans leur langue.
- Suivant le CEPD, ne confiez pas ce rôle à votre DPO externe ni à un sous-traitant qui traite vos renseignements.
- Exigez un mandat écrit et précis, qui décrit les tâches, les délais de transmission, l’accès au registre, la marche à suivre en cas d’atteinte et les conditions de fin du mandat.
- Si le DSA, NIS2 ou l’AI Act vous visent aussi, vérifiez que votre représentant peut assumer ces mandats, ou coordonnez plusieurs représentants.
- Demandez un journal des demandes reçues et transmises. Il vous servira lors d’une enquête.
Notre avis sur les solutions à bas prix
On trouve des offres de représentation à quelques dizaines d’euros par mois. Certaines se limitent à une adresse et une boîte courriel, sans engagement sur les délais, la langue ou la tenue du registre. Pour une petite activité qui reçoit une demande européenne par année, cela peut suffire un temps. Pour une entreprise qui en reçoit chaque mois, beaucoup moins.
Avant de signer, posez trois questions. En combien de temps une lettre d’autorité vous sera-t-elle transmise ? Dans quelle langue le représentant travaille-t-il ? Comment votre registre est-il tenu à jour ? Si les réponses restent floues, vous saurez à quoi vous attendre le jour où vous aurez vraiment besoin de lui.
Testez vos connaissances sur le représentant RGPD
Cinq questions. Ouvrez la réponse qui vous semble la bonne.
Question 1 sur 5
A. Oui, une désignation écrite est obligatoire
B. Non, la décision d’adéquation du Canada l’en dispense
C. Seulement si elle compte plus de 250 employés
Question 2 sur 5
A. Oui, c’est la solution la plus simple
B. Le CEPD juge les deux rôles incompatibles
C. Seulement s’ils sont dans le même pays
Question 3 sur 5
A. Le représentant, qui remplace l’entreprise
B. L’entreprise, le représentant répondant de ses propres obligations
C. Personne, tant que l’autorité n’a pas décidé
Question 4 sur 5
A. 20 000 euros
B. 10 millions d’euros ou 2 % du chiffre d’affaires mondial
C. Un simple avertissement
Question 5 sur 5
A. Oui, toute entreprise non européenne en a besoin
B. Non, le RGPD s’applique par l’établissement européen
C. Oui, en plus de la filiale
Voir votre résultat
- 5 sur 5 : vous maîtrisez la règle. Vérifiez que votre politique de confidentialité nomme votre représentant.
- 3 ou 4 : les bases sont là. Relisez les parties sur l’adéquation et le DPO.
- 0 à 2 : le sujet mérite qu’on s’y attarde. Commencez par la partie « Que faire selon la situation de votre entreprise », puis demandez une analyse de vos obligations.
Demander un représentant dans l’Union européenne
Décrivez votre entreprise en quelques lignes. Les représentants DPO FRANCE parlent français, espagnol et allemand : ils échangent avec les autorités et les personnes concernées dans leur langue. Le rôle est confié à un membre du réseau qui n’est pas votre DPO, comme le recommande le CEPD. Nous analysons votre situation et vous répondons, en général dans un délai de deux jours ouvrables.
DPO FRANCE · Représentation dans l’UE
Sources
- Règlement (UE) 2016/679 (RGPD) sur EUR-Lex, articles 3, 4, 27, 30, 31, 58 et 83
- Lignes directrices 3/2018 du CEPD sur le champ d’application territorial du RGPD (en anglais)
- Gowling WLG, réexamen de la décision d’adéquation du Canada par la Commission européenne (2024)
- National Law Review, amende de 525 000 euros contre Locatefamily.com (en anglais)
- Biometric Update, amende de 20 millions d’euros contre Clearview AI en Italie (en anglais)
- Taylor Wessing, représentants exigés par le droit numérique européen (en anglais, mis à jour en 2025)
- Commission européenne, entrée en vigueur de l’omnibus IA (règlement (UE) 2026/1744)
Questions fréquentes
Une entreprise canadienne doit-elle avoir un représentant RGPD en Europe ?
Oui, si elle n’a pas d’établissement dans l’Union et qu’elle offre des biens ou des services à des personnes qui s’y trouvent, ou suit leur comportement. La taille de l’entreprise ne change rien. Seul un traitement occasionnel, sans renseignements sensibles à grande échelle et peu susceptible d’engendrer un risque, y échappe.
La décision d’adéquation du Canada dispense-t-elle du représentant de l’article 27 ?
Non. La décision d’adéquation permet de transférer des renseignements personnels de l’Europe vers les organisations soumises à la LPRPDE sans garanties supplémentaires. Elle ne prévoit aucune exception à l’article 27, qui vise toute entreprise non établie dans l’Union qui cible des personnes en Europe.
Le représentant dans l’UE est-il responsable des manquements de mon entreprise ?
Non. L’article 27, paragraphe 5, précise que la désignation est sans préjudice des actions contre le responsable du traitement ou le sous-traitant. Le représentant répond de ses propres obligations, notamment la tenue du registre et la collaboration avec les autorités.
Mon DPO ou ma personne responsable de la protection des renseignements personnels peut-il être mon représentant dans l’UE ?
Le CEPD juge les rôles de DPO et de représentant incompatibles pour une même entreprise, car le DPO doit rester indépendant alors que le représentant agit sur instructions. Le représentant doit en outre être établi dans un État membre. Prévoyez deux intervenants distincts.
Dans quel pays européen faut-il choisir son représentant ?
Dans un État membre où se trouvent les personnes dont vous traitez les renseignements. Lorsque la plupart d’entre elles sont dans un même État membre, le CEPD recommande d’y choisir le représentant, comme bonne pratique.
Que risque une entreprise qui n’a pas désigné de représentant dans l’UE ?
Une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial au titre du RGPD, avec d’éventuelles astreintes. L’autorité néerlandaise a imposé 525 000 euros à Locatefamily.com pour ce seul manquement.
Faut-il aussi un représentant au Royaume-Uni ?
Oui, si votre entreprise vise des personnes au Royaume-Uni. Le RGPD britannique comporte son propre article 27, distinct de celui de l’Union, et un représentant dans l’UE ne couvre pas le Royaume-Uni.