Brexit et double représentant : faut-il nommer un représentant au Royaume-Uni ET dans l'UE ?

Le grand saut dans l'inconnu post-Brexit

Imaginez : vous êtes une entreprise basée aux États-Unis, et vous traitez des données de clients britanniques et français. Depuis le Brexit, le Royaume-Uni a son propre régime de protection des données, le UK-GDPR, qui ressemble au RGPD européen... mais avec des différences subtiles. L'une des questions les plus épineuses : devez-vous nommer un représentant au Royaume-Uni ET un autre dans l'UE ? La réponse courte : oui, probablement. Mais plongeons dans les détails.

Featured Snippet Bait : Oui, si vous êtes une entreprise non britannique et non européenne traitant des données de résidents des deux zones, vous devez nommer un représentant distinct au Royaume-Uni (UK-GDPR) et dans l'UE (RGPD). Chaque régime impose sa propre obligation de représentation.

Le UK-GDPR : un clone avec des particularités

Le UK-GDPR est largement calqué sur le RGPD, mais il a ses propres règles. L'article 27 du UK-GDPR exige que les entreprises non établies au Royaume-Uni désignent un représentant britannique si elles traitent des données de personnes se trouvant au Royaume-Uni. C'est la même logique que l'article 27 du RGPD pour l'UE.

Mais attention : le représentant britannique doit être une personne physique ou morale établie au Royaume-Uni. Vous ne pouvez pas utiliser votre représentant européen pour le Royaume-Uni, et vice versa. Chaque zone a son propre territoire.

Qui est concerné ?

Si vous êtes une entreprise établie en dehors du Royaume-Uni et de l'UE (par exemple, aux États-Unis, en Chine, au Japon), et que vous traitez des données de résidents britanniques et européens, vous devez nommer deux représentants : un au Royaume-Uni, un dans l'UE. Si vous êtes déjà établi dans l'UE mais pas au Royaume-Uni, vous n'avez pas besoin de représentant européen (car vous y êtes établi), mais vous devez en nommer un au Royaume-Uni. Et inversement.

Petite analogie : c'est comme avoir deux adresses postales distinctes pour recevoir du courrier officiel. Vous ne pouvez pas utiliser la même boîte aux lettres pour deux pays différents, surtout si les facteurs ne se parlent pas.

Les exceptions : quand vous pouvez respirer

Il existe des exceptions. Si votre traitement de données est occasionnel, à faible risque, et ne concerne pas des catégories particulières de données (sensibles, pénales, etc.), vous pourriez être exempté. Mais attention : l'exception est étroite. En pratique, la plupart des entreprises commerciales devront nommer un représentant.

De plus, si vous êtes une autorité publique ou un organisme public, vous êtes également exempté. Mais pour les entreprises privées, la règle générale s'applique.

Comment choisir son représentant ?

Le représentant peut être une personne physique (un employé) ou une société de services. Il doit être établi dans le pays concerné (Royaume-Uni ou État membre de l'UE). Son rôle est d'être le point de contact pour les autorités de contrôle et les personnes concernées. Il doit tenir un registre des activités de traitement et coopérer avec les autorités.

Conseil pratique : ne choisissez pas votre représentant au hasard. Assurez-vous qu'il connaît bien le droit local et qu'il est joignable. Un mauvais représentant peut vous coûter cher en amendes (jusqu'à 17,5 millions de livres ou 4% du chiffre d'affaires annuel mondial au Royaume-Uni, et 20 millions d'euros ou 4% dans l'UE).

Et si vous ne faites rien ?

Les autorités de contrôle, comme l'ICO au Royaume-Uni et les CNIL en Europe, peuvent vous infliger des amendes. Mais surtout, vous risquez de ne pas pouvoir répondre aux demandes des personnes concernées ou aux enquêtes, ce qui aggrave la situation. Mieux vaut prévenir que guérir.

Pour plus d'informations, consultez le texte officiel du UK Data Protection Act 2018 et le RGPD sur EUR-Lex.

FAQ