Le règlement européen sur la protection des données ne s'applique pas qu'aux sociétés établies en Europe. Il suit la personne dont les données sont traitées, pas l'adresse de celle qui les traite. Si votre boutique enregistre une commande d'une personne située en Europe, si votre lettre d'information arrive dans une boîte européenne, si votre application mesure le comportement d'un visiteur européen, vous êtes dans le texte — sans bureau, sans entité européenne, et le plus souvent sans que personne vous l'ait signalé.
Qui doit désigner un représentant, et qui en est dispensé
Le mécanisme est court. Un responsable de traitement établi hors de l'Union qui traite les données personnelles de personnes situées dans l'Union, dans le cadre d'une offre de biens ou de services — payants ou gratuits — ou du suivi de leur comportement, doit désigner par écrit un représentant établi dans l'un des États membres où se trouvent ces personnes. La désignation est un mandat : un document signé qui dit ce que le représentant fait en votre nom, pas une ligne ajoutée sur une page. Une dispense existe pour les traitements occasionnels, qui ne portent pas sur des catégories sensibles à grande échelle et qui ne risquent pas de créer un risque — une porte bien plus étroite qu'elle n'y paraît, et par laquelle une boutique qui vend en continu ne passe pas.
- Une boutique qui livre à des adresses européennes. Le formulaire de commande suffit : un nom, une adresse, un téléphone et un historique d'achat sont des données personnelles, et elles sont collectées dans le cadre d'une offre faite à une personne située en Europe.
- Une version du site dans une langue européenne, avec livraison et paiement locaux. Ce sont les indices qu'une autorité lit pour établir que l'offre cible des personnes de l'Union, et n'est pas seulement accessible depuis chez elles.
- Une lettre d'information avec des abonnés européens. Une liste est un traitement, avec une base légale à documenter, un retrait à honorer et une règle de conservation à écrire.
- Les balises de mesure, de publicité et de reciblage. Suivre un visiteur européen de page en page, ou reconstituer une audience à partir de ce comportement, c'est du suivi — l'autre déclencheur du texte, celui qu'on oublie parce que la balise a été posée par une agence.
- Un espace client et un canal après-vente. Tickets, retours, demandes de garantie et messages associés forment un dossier client, hébergé quelque part, accessible à quelqu'un, conservé un certain temps — autant de points qu'il faut énoncer.
À quoi sert concrètement le représentant
C'est un point de contact avec des conséquences juridiques. Le représentant est saisi, en plus de vous ou à votre place, par les autorités de contrôle et par les personnes dont vous détenez les données, sur toute question relative à vos traitements. Il doit tenir le registre des traitements à disposition et le produire quand une autorité le demande — ce qui suppose que ce registre existe, et soit exact, avant que quiconque accepte le mandat. Il agit dans les limites du mandat et ne décide pas des traitements : il transmet, répond, et détient des documents. Et des mesures peuvent être dirigées contre lui, ce qui est précisément la raison d'être du texte.
Représentant ou délégué à la protection des données : ce n'est pas le même rôle
La confusion est quasi générale, et elle coûte cher parce qu'une nomination à côté ne satisfait rien. Le délégué à la protection des données est une fonction de conseil, interne ou externe, obligatoire seulement si certaines conditions sont réunies — un organisme public, un suivi systématique à grande échelle, des catégories sensibles traitées à grande échelle. Il doit être indépendant, rendre compte au plus haut niveau de la direction, et ne peut recevoir d'instruction sur la manière d'exercer sa mission ni être sanctionné pour l'avoir exercée. Le représentant est de nature inverse : une présence mandatée sur le territoire, qui agit pour vous, sur instruction, et qui peut être une société plutôt qu'une personne. C'est justement parce qu'il agit sur instruction qu'il ne peut pas être votre délégué. Nommer l'un ne vous dispense pas de l'autre, et la plupart des exportateurs ont besoin du représentant, pas du délégué.
Où le nom du représentant doit figurer
Dans la politique de confidentialité, au moment où les données sont collectées : l'identité et les coordonnées du responsable de traitement et, s'il y en a un, de son représentant, accessibles avant que le premier champ soit rempli. Également sur la page de mentions légales du site, dans le registre des traitements, dans les contrats signés avec vos sous-traitants, et dans la réponse adressée à qui exerce un droit. Les coordonnées doivent être utilisables et non décoratives : une adresse postale dans l'État membre, une boîte que quelqu'un relève, et une langue dans laquelle un client ou une autorité peut écrire. Un représentant nommé dans le mandat mais absent de la page publique est, vu de l'extérieur, un représentant qui n'existe pas.
Pourquoi son absence est l'un des manquements les plus faciles à constater de l'extérieur
Il n'y a rien à enquêter. La politique de confidentialité est publique, et l'absence de représentant nommé est visible d'un client qui se plaint, d'une association de consommateurs, d'un concurrent, et d'une autorité qui mène une campagne de contrôle sur un secteur. Le manquement s'aggrave aussi de lui-même : sans représentant, il n'y a pas d'adresse où écrire, le premier courrier reste donc sans réponse, et un courrier sans réponse transforme une formalité en dossier avec un historique. Le coût commercial arrive avant le coût réglementaire — places de marché, prestataires de paiement et grands acheteurs professionnels demandent désormais le nom du représentant à l'ouverture de compte, et un champ vide bloque le compte avant qu'une autorité se soit penchée sur vous.
Rédigez le registre des traitements avant de nommer qui que ce soit : le représentant doit le détenir, et un prestataire sérieux refusera le mandat sans lui. Signez ensuite un mandat désignant une entité plutôt qu'une personne physique, établie là où se trouve l'essentiel de vos clients, avec une boîte relevée et une vraie adresse postale. Publiez identité et coordonnées dans la politique de confidentialité en langue locale et dans le pied de page du site, et réglez dans le mandat qui transmet quoi à qui, et qui rédige la réponse, avant le premier courrier plutôt que pendant.
Où le lire vous-même
Pages officielles, ouvertes et vérifiées le 15 octobre 2026. Quand une règle bouge, ce sont ces adresses qui bougent avec elle — pas cet article.