Services de représentation
Services de représentation pour les entreprises actives à l’échelle internationale
Votre représentant légal en Suisse, dans l’Union européenne et au Royaume-Uni
Toute entreprise qui, sans disposer d’un établissement propre en Suisse, dans l’Union européenne ou au Royaume-Uni, propose des produits ou des services sur ces marchés doit, en vertu d’un nombre croissant de réglementations, désigner un représentant local. Cette obligation ne concerne depuis longtemps plus uniquement le droit de la protection des données. Elle s’étend désormais également à la réglementation des données, de l’intelligence artificielle, de la cybersécurité et des plateformes numériques.
MLL Legal assure ces fonctions de représentation au moyen de ses propres structures dans toutes les juridictions pertinentes : en Suisse depuis nos bureaux de Zurich, Genève, Zoug et Lausanne, au Royaume-Uni via notre bureau de Londres et dans l’Union européenne via MLL-EU-GDPR GmbH à Munich, filiale à 100 % de MLL Legal Ltd. En tant que représentant, nous sommes le point de contact désigné vis-à-vis des autorités compétentes, y compris les autorités de contrôle, ainsi que des personnes concernées. Nous constituons l’interface fiable entre votre entreprise et le marché concerné.
Ce qui nous distingue :
- Des structures propres dans toutes les juridictions pertinentes. En Suisse et au Royaume-Uni, nous vous représentons depuis nos propres bureaux : dans l’Union européenne, via MLL-EU-GDPR GmbH à Munich, une société du groupe créée dès 2018 spécifiquement pour les mandats de représentation. Aucun transfert à des tiers.
- Une équipe qui comprend les obligations liées à la représentation. Le mandat s’appuie sur l’un des principaux groupes de pratique suisses en droit des technologies de l’information et de la communication, des données et de la protection des données.
- Conseils en allemand, anglais et français.
Quel est le rôle d’un représentant et quelles en sont les limites ?
Le représentant légal est votre point de contact officiel sur le marché concerné. Il reçoit les demandes des autorités et des personnes concernées, vous les transmet et coordonne la communication. Selon la réglementation applicable, il tient également certains registres ou conserve certains éléments de preuve à disposition.
Un représentant n’est pas un délégué à la protection des données (DPO) et ne constitue pas un établissement de votre entreprise dans la juridiction concernée. La responsabilité matérielle du respect des règles applicables demeure auprès de vous. Sur demande, nous pouvons combiner la représentation avec un conseil juridique plus étendu, tout en maintenant ces deux prestations clairement distinctes.
REPRÉSENTATION EN MATIÈRE DE PROTECTION DES DONNÉES
LPD suisse : représentant suisse en matière de protection des données (art. 14 LPD)
Les entreprises ayant leur siège à l’étranger qui traitent à grande échelle et de façon régulière des données personnelles de personnes en Suisse, tout en créant un risque élevé pour leur personnalité, doivent désigner un représentant en Suisse. MLL Legal assume cette fonction depuis Zurich : nous sommes le point de contact du Préposé fédéral à la protection des données et à la transparence (PFPDT) ainsi que des personnes concernées, nous tenons le registre des activités de traitement prévu par la loi et nous veillons à ce que les demandes vous parviennent sans retard et puissent être traitées dans les délais.
Base légale : représentation en Suisse
Selon l’article 14 de la LPD, les responsables du traitement privés ayant leur siège à l’étranger doivent désigner un représentant en Suisse lorsqu’ils traitent des données personnelles de personnes en Suisse, que le traitement est lié à l’offre de biens ou de services ou au suivi de leur comportement et que ce traitement est effectué à grande échelle, régulier et présente un risque élevé pour la personnalité des personnes concernées. Le représentant est le point de contact des personnes concernées et du PFPDT et tient un registre des activités de traitement (articles 14 et s. de la LPD). Le représentant n’encourt pas de responsabilité propre pour les violations du droit de la protection des données commises par l’entreprise ; il est toutefois soumis à des obligations de coopération et d’information.
RGPD UE : représentant dans l’Union européenne (art. 27 RGPD)
Si vous traitez des données à caractère personnel de personnes se trouvant dans l’Union européenne sans y disposer d’un établissement, par exemple parce que vous leur offrez des biens ou services ou suivez leur comportement, vous devez en principe désigner un représentant dans l’Union. MLL Legal fournit cette représentation via MLL-EU-GDPR GmbH à Munich. Nous sommes le point de contact des autorités de contrôle et des personnes concernées, nous tenons le registre des activités de traitement et nous veillons à ce que les demandes vous parviennent de manière structurée et dans les délais.
Missions du représentant au sens du RGPD
Selon l’article 27 du RGPD, les responsables du traitement et les sous-traitants qui ne sont pas établis dans l’UE doivent désigner un représentant dans l’Union lorsqu’ils relèvent de l’article 3(2) du RGPD, à savoir lorsqu’ils offrent des biens ou services à des personnes se trouvant dans l’Union ou suivent leur comportement. Le représentant est le point de contact des autorités de contrôle et des personnes concernées et tient le registre des activités de traitement. Il n’encourt pas de responsabilité propre pour les violations matérielles du droit de la protection des données : il est cependant soumis à des obligations de diligence et de coopération.
UK GDPR : représentant au Royaume-Uni (art. 27 UK GDPR)
Depuis le Brexit, les entreprises sans établissement au Royaume-Uni qui traitent des données à caractère personnel de personnes se trouvant au Royaume-Uni ont besoin d’un représentant britanninque. MLL Legal assume cette fonction via son bureau de Londres : nous sommes le point de contact de l’autorité britannique de protection des données (ICO) et des personnes concernées et nous vous transmettons immédiatement les demandes.
Exigences juridiques applicables au représentant britannique
Les entreprises sans établissement au Royaume-Uni qui relèvent du champ d’application du UK GDPR doivent désigner un représentant conformément à l’article 27 du UK GDPR. Celui-ci est le point de contact de l’ICO ainsi que des personnes concernées, transmet les demandes à l’entreprise représentée et tient le registre des activités de traitement. Il n’existe en principe pas de responsabilité propre pour les violations du droit de la protection des données ; une obligation contractuelle de diligence envers l’entreprise représentée s’applique toutefois.
REGLEMENTATION NUMERIQUE DE L’UNION EUROPEENNE
Règlement sur les services numériques (DSA) : représentant légal pour les plateformes en ligne (art. 13 DSA)
Les fournisseurs de services intermédiaires, notamment les services d’hébergement, les plateformes en ligne et les places de marché en ligne, qui ne disposent pas d’un établissement dans l’Union européenne doivent désigner un représentant légal dans un État membre. MLL Legal assume cette fonction via MLL-EU-GDPR GmbH à Munich et agit comme point de contact pour les coordinateurs nationaux pour les services numériques, la Commission européenne et le Comité européen des services numériques. Nous recevons les injonctions des autorités, coordonnons leur mise en œuvre avec vous et gardons les délais sous surveillance.
Obligations du représentant légal selon le DSA
Selon l’article 13 du DSA, les fournisseurs de services intermédiaires sans établissement dans l’Union européenne doivent désigner un représentant légal dans un État membre dans lequel ils offrent leurs services. Le représentant est le point de contact des autorités, de la Commission et du Comité européen des services numériques et veille à la mise en œuvre des injonctions des autorités. Il convient de noter que, selon l’article 13(3) du DSA, le représentant légal peut être tenu responsable du non-respect des obligations prévues par le DSA ; la portée et l’interprétation de cette disposition sont discutées en doctrine. Nous acceptons donc les mandats de représentation DSA après examen préalable du profil concret des services concernés.
Règlement sur l’intelligence artificielle (AI Act) : mandataire (art. 22 / 54 AI Act)
Les fournisseurs de systèmes d’IA sans établissement dans l’Union européenne doivent désigner, pour certains systèmes, en particulier les systèmes d’IA à haut risque et les modèles d’IA à usage général, un mandataire établi dans l’Union européenne. MLL Legal assume de tels mandats via MLL-EU-GDPR GmbH à Munich : nous conservons la documentation technique et la déclaration UE de conformité, répondons aux demandes d’information des autorités et coopérons avec les autorités de surveillance du marché.
Cadre juridique applicable aux mandataires selon l’AI Act
l’AI Act impose aux fournisseurs de systèmes d’IA à haut risque (art. 22) et de modèles d’IA à usage général (art. 54) sans établissement dans l’Union européenne de désigner un mandataire dans l’Union européenne. Celui-ci tient la documentation technique et les déclarations UE de conformité à disposition, répond aux demandes des autorités et coopère dans le cadre des mesures de surveillance. Il est tenu de mettre fin au mandat si le fournisseur viole ses obligations. Les violations peuvent être sanctionnées, selon l’article 99 de l’AI Act, par des amendes pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial. Nous acceptons les mandats portant sur des systèmes d’IA à haut risque après une analyse individuelle des risques et de faisabilité.
Règlement sur les données (Data Act) : représentant dans l’Union (art. 37 Data Act)
Toute entreprise établie hors de l’Union européenne qui met à disposition sur le marché de l’Union des produits connectés ou qui y offre des services connexes ou des services de traitement de données doit, depuis le 12 septembre 2025, désigner un représentant dans l’Union. MLL Legal assume cette fonction via MLL-EU-GDPR GmbH à Munich, agit comme interlocuteur des autorités compétentes et fournit les preuves de conformité requises par le Data Act.
Cadre juridique applicable au représentant selon le Data Act
Selon l’article 37(11) du Data Act, les entreprises sans établissement dans l’Union européenne qui relèvent du champ d’application du règlement, notamment les fabricants de produits connectés ainsi que les fournisseurs de services connexes et de services de traitement de données, doivent désigner un représentant dans un État membre dans lequel les produits ou services sont offerts. Le représentant est le point de contact des autorités et démontre, sur demande, les mesures de conformité mises en place. La responsabilité juridique du respect du Data Act demeure auprès de l’entreprise.
Règlement sur la gouvernance des données (DGA) : représentant dans l’Union (art. 11 / 19 DGA)
Les fournisseurs de services d’intermédiation de données et les organisations altruistes en matière de données reconnues qui ne disposent pas d’un établissement dans l’Union européenne doivent désigner un représentant dans l’Union. MLL Legal assume cette fonction via MLL-EU-GDPR GmbH à Munich et sert de point de contact central vis-à-vis des autorités compétentes.
Obligations de représentation dans l’Union en vertu du DGA
Selon l’article 11(3) du DGA, les fournisseurs de services d’intermédiation de données et, selon l’article 19 du DGA, les organisations altruistes en matière de données reconnues qui ne disposent pas d’un établissement dans l’Union doivent désigner un représentant dans un État membre dans lequel ils offrent leurs services ou exercent leurs activités. Le représentant est le point de contact des autorités compétentes et peut également être destinataire de mesures d’exécution. Les sanctions prévues par le DGA visent les fournisseurs eux-mêmes (art. 34 DGA) et non le représentant ; un risque général de responsabilité contractuelle demeure toutefois.
Directive NIS2 : représentant dans l’Union (art. 26 NIS2)
Certains fournisseurs de services numériques sans établissement dans l’Union européenne, notamment les fournisseurs de services en nuage, de services gérés, de services DNS, de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux, doivent désigner un représentant dans l’Union au titre de NIS2. MLL Legal assume cette fonction via MLL-EU-GDPR GmbH à Munich et agit comme interlocuteur des autorités compétentes et des centres de réponse aux incidents de sécurité informatique (CSIRT).
Bases juridiques de la représentation dans l’Union selon NIS2
Selon l’article 26 de la directive NIS2, certains fournisseurs de services établis hors de l’Union européenne doivent désigner un représentant dans un État membre dans lequel ils offrent leurs services. Le représentant est le point de contact des autorités compétentes et des CSIRT. NIS2 étant une directive à transposer en droit national, les modalités, y compris les éventuelles obligations propres et sanctions applicables au représentant, dépendent du droit national de transposition applicable.
Combinaison individuelle de services de représentation
Selon le modèle économique, plusieurs obligations de représentation peuvent s’appliquer simultanément. Elles peuvent souvent être utilement regroupées, par exemple sous la forme d’une représentation combinée en matière de protection des données et de plateformes. Lors d’un entretien personnel, nous déterminons quelles fonctions de représentation sont pertinentes pour votre entreprise et établissons sur cette base une offre adaptée individuellement.
Déroulement de la représentation
- Entretien initial et détermination du champ
Nous clarifions le champ d’application, examinons les éventuels conflits d’intérêts et déterminons les obligations de représentation pertinentes. - Contrat de mandat
L’étendue des prestations, les responsabilités et les conditions sont convenues individuellement. - Désignation et publication
Nous sommes désignés comme représentant ; les coordonnées sont fournies et publiées si nécessaire. - Gestion courante
Nous recevons les demandes des autorités et des personnes concernées, vous les transmettons de manière structurée, tenons les registres requis et assurons, le cas échéant, les escalades dans le respect des délais.
Questions fréquentes
Ai-je vraiment besoin d’un représentant ?
Cela dépend de votre modèle d’affaires, des marchés concernés et de la réglementation applicable. Nous clarifions cela de manière contraignante lors de l’entretien initial.
Non. Le représentant est le point de contact externe vis-à-vis des autorités et des personnes concernées. Le DPO est une fonction interne de conseil et de contrôle. Les deux peuvent être requis simultanément.Le représentant est-il la même chose qu’un délégué à la protection des données (DPO) ?
Non. La désignation d’un représentant ne crée pas, à elle seule, un établissement de votre entreprise dans la juridiction concernée.La représentation crée-t-elle un établissement ou une obligation fiscale ?
Oui. Nous regroupons plusieurs fonctions de représentation dans un même mandat lorsque cela est juridiquement et organisationnellement pertinent.Un mandat peut-il couvrir plusieurs réglementations ?
Allemand, anglais et français.Dans quelles langues travaillez-vous ?
Avons-nous éveillé votre intérêt ?
Pour de plus amples informations ou pour un rendez-vous sans engagement, veuillez utiliser notre formulaire de contact. Nous discuterons de vos besoins et développerons une solution adaptée à vos exigences en matière de représentation et de conformité.
ICT & Digital
Notre équipe ICT, leader en Suisse, vous conseille de manière complète en matière de droit des logiciels, de licences, de protection des données et de sécurité des données – tout comme en matière de commerce électronique, de marketing digital et de blockchain. Grâce à des approches pragmatiques et axées sur les solutions, ainsi qu’à une longue expérience des modèles d’affaires numériques transfrontaliers, nous vous aidons à évaluer les risques juridiques de manière réaliste et à saisir pleinement les opportunités.
