Une entreprise de logiciels sans bureau, filiale ni personnel dans l'Union n'est pas hors du règlement. L'article 3, paragraphe 2, l'applique au traitement de données à caractère personnel de personnes concernées qui se trouvent dans l'Union par un responsable du traitement ou un sous-traitant non établi dans l'Union, lorsque le traitement est lié à l'offre de biens ou de services à ces personnes, qu'elles paient ou non, ou au suivi de leur comportement dans la mesure où il a lieu dans l'Union. Un produit SaaS vendu à des entreprises européennes, une offre gratuite utilisée par des particuliers européens, un script d'analyse qui suit des visiteurs européens : chacun relève de l'un des deux. Et là où l'article 3, paragraphe 2, s'applique, l'article 27, paragraphe 1, suit en une phrase : le responsable du traitement ou le sous-traitant désigne par écrit un représentant dans l'Union. Cet article lit l'article 27 disposition par disposition au regard du catalogue que StandardOS tient du règlement, pour l'entreprise qui doit en désigner un et pour le client européen qui demandera qui c'est.

Qui l'obligation atteint : les deux branches de l'article 3, paragraphe 2

La première branche est l'offre de biens ou de services à des personnes concernées dans l'Union, qu'un paiement soit exigé ou non, si bien qu'un produit gratuit compte. Le considérant 23 lit l'offre à partir de l'intention : la langue ou la monnaie utilisée, la mention de clients dans l'Union, la livraison sur place ; la simple accessibilité d'un site web ne suffit pas. La seconde branche est le suivi du comportement dans l'Union, que le considérant 24 lit comme le suivi des personnes sur l'internet, profilage compris. Un produit avec une page de prix européenne, des clients européens dans ses études de cas et un script d'enregistrement de session sur son site marketing relève des deux. L'obligation de représentant frappe alors l'entreprise dans le rôle qu'elle tient : responsable de ses propres données clients et visiteurs, et sous-traitant des données que ses clients mettent dans le produit, puisque l'article 27, paragraphe 1, nomme les deux. L'entreprise qui ne relève du règlement que parce qu'elle traite pour un responsable européen, sans offre ni suivi propres, se trouve dans une situation plus étroite que les lignes directrices du Comité sur le champ d'application territorial examinent, et la lecture sûre pour une entreprise produit est que sa propre offre la place déjà dans la première branche.

L'exemption : trois conditions, toutes à la fois

L'article 27, paragraphe 2, point a), lève l'obligation lorsque le traitement est occasionnel, n'inclut pas le traitement à grande échelle de catégories particulières de données visées à l'article 9, paragraphe 1, ou de données relatives aux condamnations pénales visées à l'article 10, et n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, compte tenu de sa nature, de son contexte, de sa portée et de ses finalités. Les trois sont reliées par « et » : toutes doivent tenir. Un produit utilisé par des clients n'est pas un traitement occasionnel ; c'est l'activité de l'entreprise, chaque jour, et la première condition échoue avant que les deux autres ne soient atteintes. C'est la même lecture que le seuil du registre des traitements utilise à l'article 30, paragraphe 5, où « occasionnel » est le mot qui empêche l'exemption des 250 personnes de jamais s'appliquer à une entreprise de logiciels, et la détermination gratuite pose ici les deux mêmes questions, si le traitement est occasionnel et s'il inclut des catégories particulières à grande échelle, et en déduit le représentant. L'article 27, paragraphe 2, point b), exempte une autorité publique ou un organisme public ; une entreprise n'en est pas un.

Où et comment : de l'article 27, paragraphe 3, à l'article 27, paragraphe 5

Le représentant est établi dans l'un des États membres où se trouvent les personnes concernées dont les données sont traitées en lien avec l'offre ou le suivi (article 27, paragraphe 3) ; avec des clients dans six États, n'importe lequel des six convient, et l'État choisi ne crée pas d'autorité de contrôle chef de file, puisque le guichet unique de l'article 56 exige un établissement principal et qu'un représentant n'en est pas un. Le représentant est mandaté par le responsable du traitement ou le sous-traitant pour être contacté, en plus ou à la place de l'entreprise, par les autorités de contrôle et les personnes concernées sur toutes les questions liées au traitement (27, paragraphe 4) ; le considérant 80 appelle cela un mandat écrit et fait coopérer le représentant avec les autorités sur toute mesure prise pour assurer le respect du règlement, et l'article 58, paragraphe 1, point a), donne à chaque autorité de contrôle le pouvoir d'ordonner au représentant de fournir toute information dont elle a besoin. La désignation est sans préjudice des actions en justice contre le responsable ou le sous-traitant eux-mêmes (27, paragraphe 5) : le représentant est une adresse, pas un bouclier, et le considérant 80 dit que la désignation ne modifie pas la responsabilité propre de l'entreprise. Les lignes directrices du Comité sur le champ d'application territorial ajoutent une ligne pratique : le rôle de représentant n'est pas compatible avec celui de délégué à la protection des données externe, un même cabinet ne peut donc pas être les deux.

Où va le nom

Une fois désigné, le représentant apparaît à trois endroits que le règlement nomme. La politique de confidentialité : l'article 13, paragraphe 1, point a), et l'article 14, paragraphe 1, point a), font fournir par le responsable l'identité et les coordonnées du responsable et, le cas échéant, de son représentant, si bien que le nom entre dans la politique au moment de la collecte. Le registre des traitements : l'article 30, paragraphe 1, point a), met le nom et les coordonnées du représentant dans le registre du responsable, l'article 30, paragraphe 2, point a), dans celui du sous-traitant, et les deux paragraphes s'ouvrent de la même manière, chaque responsable ou sous-traitant « et, le cas échéant, le représentant du responsable » ou du sous-traitant tenant un registre, si bien que le représentant garde lui-même une copie du registre et la produit à une autorité sur demande au titre de l'article 30, paragraphe 4. Les clauses de sous-traitance : l'avenant d'un client européen demandera le représentant à côté des clauses de l'article 28, paragraphe 3, parce que son propre registre doit le porter. Les violations de l'article 27 relèvent de l'article 83, paragraphe 4, point a), le niveau de 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Quoi en faire

Répondez à la détermination : pas d'établissement dans l'Union, offre ou suivi, pas occasionnel, et le représentant est requis, avec l'article 27, paragraphe 1, et l'article 3, paragraphe 2, pour base. Désignez-en un par écrit dans un État où sont vos utilisateurs, avec le mandat de l'article 27, paragraphe 4, explicité ; mettez son nom et ses coordonnées dans la politique de confidentialité et dans le registre, et remettez le registre au représentant. Lisez ensuite la page du délai de violation en gardant le représentant à l'esprit : une entreprise sans établissement dans l'Union n'a pas d'autorité chef de file, et sa notification au titre de l'article 33 va à l'autorité de chaque État dont les résidents sont affectés, c'est-à-dire l'autorité à laquelle le représentant répondra.