Article 27 du RGPD : Représentants des responsables du traitement ou des sous-traitants qui ne sont pas établis dans l’union
Sommaire
Comprendre l’article 27
L’article 27 du RGPD indique que lorsque le responsable de traitement ou le sous-traitant se trouve en dehors de l’Union, et que le traitement vise des personnes concernées situées sur le territoire de l’Union (article 3) il doit désigner un représentant présent sur le territoire de l’Union.
Cette obligation comporte plusieurs exceptions, des situations dans lesquelles responsable de traitement et sous traitant n’ont pas l’obligation de désigner un représentant.
On retrouve parmi les exceptions un traitement occasionnel de données personnelles (non sensibles et ne concernant pas des condamnations pénales et des infractions) non susceptible d’engendrer des risques pour les droits et libertés des personnes physiques, si le traitement est réalisé par une autorité publique ou un organisme public.
Le représentant désigné doit être présent sur le territoire des personnes concernées par le traitement. Ce représentant fait office de contact pour les autorités de contrôle et les personnes concernées.
Article 27 du RGPD
- « Lorsque l’article 3, paragraphe 2, s’applique, le responsable du traitement ou le sous-traitant désigne par écrit un représentant dans l’Union.
- L’obligation prévue au paragraphe 1 du présent article ne s’applique pas:a) à un traitement qui est occasionnel, qui n’implique pas un traitement à grande échelle des catégories particulières de données visées à l’article 9, paragraphe 1, ou un traitement de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 10, et qui n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, compte tenu de la nature, du contexte, de la portée et des finalités du traitement; oub) à une autorité publique ou à un organisme public;
- Le représentant est établi dans un des États membres dans lesquels se trouvent les personnes physiques dont les données à caractère personnel font l’objet d’un traitement lié à l’offre de biens ou de services, ou dont le comportement fait l’objet d’un suivi.
- Le représentant est mandaté par le responsable du traitement ou le sous-traitant pour être la personne à qui, notamment, les autorités de contrôle et les personnes concernées doivent s’adresser, en plus ou à la place du responsable du traitement ou du sous-traitant, pour toutes les questions relatives au traitement, aux fins d’assurer le respect du présent règlement.
- La désignation d’un représentant par le responsable du traitement ou le sous-traitant est sans préjudice d’actions en justice qui pourraient être intentées contre le responsable du traitement ou le sous-traitant lui-même. »
Chaque entreprise est différente. Nos DPO externes s’adaptent à votre réalité.