Représentant RGPD dans l'UE pour les applications Android : qui en a besoin en 2026

Qui peut être représentant, ce que changent les règles de Google sur les commerçants en 2027, où le représentant est indiqué et ce que coûte une désignation manquante.

Les développeurs Google Play établis hors de l'Union européenne doivent désigner un représentant dans l'UE au titre de l'article 27 du règlement général sur la protection des données (RGPD) dès que leur application Android traite les données personnelles de personnes se trouvant dans l'UE à qui elle est proposée ou dont elle suit le comportement.

Pourquoi la distribution sur Google Play entraîne le RGPD

Les deux critères viennent de l'article 3 du RGPD. Sur Google Play, le premier se règle dans la Play Console. Une version disponible dans des pays de l'UE, avec une fiche traduite dans leurs langues et des prix en monnaie locale, cible ces marchés, et le RGPD cite lui-même la langue ou la monnaie d'un pays de l'UE, associée à la possibilité de commander dans cette langue, parmi les signes de ciblage.

Les applications Android remplissent le second critère plus souvent que leurs développeurs ne le pensent. Le Comité européen de la protection des données range parmi les formes de suivi la publicité comportementale, les données de localisation utilisées à des fins de marketing, le suivi en ligne par des cookies ou par des techniques comme l'empreinte de l'appareil, ainsi que les analyses personnalisées de santé ou d'alimentation. Une application dont la section « Sécurité des données » déclare la localisation, l'activité dans l'application ou les identifiants de l'appareil partagés à des fins publicitaires ou de marketing décrit exactement cela. Collecter des données en ligne n'est pas en soi un suivi : le Comité regarde la finalité et le profilage qui en découle.

L'exemption de l'article 27 est étroite. Elle exige un traitement occasionnel, sans données sensibles à grande échelle comme les données de santé ou biométriques, et peu susceptible de créer des risques pour les personnes, tout cela à la fois. Une application avec un trafic européen régulier n'y a pas droit.

Qui peut être votre représentant

Toute personne physique ou morale établie dans un pays de l'UE où vivent vos utilisateurs peut assumer ce rôle une fois désignée par écrit. Des cabinets d'avocats, des cabinets de conseil et des sociétés spécialisées le proposent comme service, et une société de votre propre groupe immatriculée dans l'UE convient aussi. Le Comité européen de la protection des données recommande de placer le représentant dans l'État membre où vit une grande partie de votre public.

Les mêmes lignes directrices excluent deux combinaisons : votre représentant ne peut pas être aussi votre délégué à la protection des données externe ni traiter des données personnelles pour votre compte. Une désignation au Royaume-Uni ne compte pas non plus pour l'UE : en 2025, l'autorité espagnole de protection des données a considéré qu'une entreprise dont le représentant se trouvait en Irlande du Nord n'avait aucun représentant dans l'UE.

Ce que fait le représentant pour vous

En vertu du mandat, les utilisateurs et les autorités de contrôle peuvent s'adresser au représentant en plus du développeur, ou à sa place, pour toute question sur le traitement. Le représentant détient aussi le registre des activités de traitement, que le développeur tient à jour, le présente lorsqu'une autorité le demande, coopère aux enquêtes et remet les informations qu'une autorité exige.

La désignation ne protège pas le développeur : une action en justice contre l'entreprise elle-même reste possible, et les autorités peuvent notifier des mesures correctrices et des amendes au développeur par l'intermédiaire du représentant. Le mandat doit donc citer l'article 27 du RGPD et énumérer ces obligations en termes clairs. Un mandataire désigné au titre d'une autre loi européenne, pour les dispositifs médicaux par exemple, ne couvre pas la protection des données : l'autorité italienne de protection des données a infligé en 2022 au fabricant de l'application de suivi du glucose Eversense une amende de 51 000 $ (45 000 €) dans une affaire qui comprenait exactement cette erreur.

Ce que publie Google Play et la déclaration de commerçant

Google Play affiche déjà le nom légal et l'e-mail de chaque développeur dans son profil sur la boutique. Un compte d'organisation affiche aussi son adresse légale et son numéro de téléphone, et un compte personnel avec des applications payantes ou des achats intégrés affiche son adresse complète. Pour ouvrir un compte d'organisation, Google vérifie le numéro D-U-N-S, le nom légal, l'adresse et le téléphone de la société.

Un changement plus important est en cours. Chaque compte développeur dans le monde doit déclarer dans la Play Console son statut de commerçant au regard des lois de l'Espace économique européen et du Royaume-Uni avant le 1er février 2027, et les nouveaux comptes font cette déclaration à leur création. À partir du 1er mars 2027, Google Play fonctionne comme une place de marché en ligne dans l'EEE et au Royaume-Uni. Les utilisateurs du monde entier verront les coordonnées d'un commerçant, son numéro D-U-N-S dans la section d'assistance de l'application et un lien vers ses conditions d'utilisation s'il en propose, et dans l'EEE et au Royaume-Uni le nom du développeur remplacera Google dans la ligne « Proposé par ». Un compte qui manque l'échéance s'expose à des mesures allant du blocage des mises à jour au retrait de ses applications de Google Play dans le monde entier. Une fausse déclaration de non-commerçant enfreint le Contrat de distribution pour les développeurs de Google et peut coûter le compte. Un compte personnel qui se déclare commerçant doit rendre publics son numéro de téléphone et son adresse.

Aucune de ces informations ne désigne quelqu'un pour répondre de vos traitements de données : la déclaration de commerçant et le représentant au titre de l'article 27 sont des obligations distinctes. Pour les développeurs qui préfèrent ne pas publier leur adresse personnelle, une application publiée par une société affiche les coordonnées de la société, comme l'explique notre guide sur le compte développeur Google Play d'une société.

La politique de confidentialité et le formulaire « Sécurité des données »

Google Play exige de chaque application, même si elle ne touche à aucune donnée personnelle, une politique de confidentialité publiée à la fois dans le champ prévu de la Play Console et dans l'application. La politique doit se trouver à une adresse publique active, sans blocage géographique et pas au format PDF, et le règlement de Google sur les données utilisateur demande qu'elle nomme le développeur et un point de contact pour la confidentialité. Pour un développeur hors de l'UE, c'est dans ce bloc de contact que le RGPD attend le représentant au titre de l'article 27 : son nom, une adresse postale dans l'UE et une adresse e-mail surveillée. La Play Console n'a pas de champ distinct pour le représentant : ce que les utilisateurs voient dans la politique est ce qui compte.

Le formulaire « Sécurité des données » doit correspondre à la politique de confidentialité, y compris pour les données collectées par chaque SDK intégré à votre application. Testez la boîte e-mail du représentant avant de la publier : la lettre d'une autorité qui tombe dans les spams reste sans réponse tout autant.

Les applications pour enfants présentent plus de risques

Selon le RGPD, un service en ligne qui repose sur le consentement doit obtenir celui d'un parent avant de traiter les données d'un enfant qui n'a pas atteint l'âge du consentement numérique. Cet âge est de 16 ans, sauf si un pays de l'UE l'abaisse, et aucun pays ne peut le fixer en dessous de 13 ans. Le traitement régulier de données d'enfants n'est ni occasionnel ni à faible risque, donc l'exemption de l'article 27 ne s'applique pas, et une application pour enfants qui a des utilisateurs en Europe a besoin d'un représentant dès sa première installation européenne. Nous avons mis en place un tel représentant pour une application destinée aux enfants.

Les applications avec contenus d'utilisateurs ont aussi besoin d'un représentant au titre du DSA

Une application Android qui stocke et affiche ce que ses utilisateurs envoient, des publications et photos aux avis, annonces et fichiers partagés, est un service intermédiaire au sens du règlement sur les services numériques (DSA). Depuis le 17 février 2024, tout fournisseur de ce type sans établissement dans l'UE doit désigner par écrit un représentant légal dans un État membre où il exerce son activité, quelle que soit la taille de l'entreprise. Les considérants du règlement citent la disponibilité dans la boutique d'applications d'un pays parmi les signes qu'un service vise ce pays.

Le fournisseur communique le nom et les coordonnées de ce représentant au coordinateur pour les services numériques du pays du représentant et les rend publics, et le représentant lui-même peut répondre des manquements du fournisseur. En août 2025, le coordinateur maltais a publiquement demandé des explications à Kick, une plateforme australienne de diffusion en direct, qui n'avait pas notifié son représentant légal. Un fournisseur sans représentant au titre du DSA peut être contrôlé par tous les pays de l'UE à la fois, et les amendes peuvent atteindre 6 % du chiffre d'affaires annuel mondial. Les autorités utilisent aussi directement contre les applications la procédure de notification prévue par le règlement : en juin 2025, l'autorité berlinoise de protection des données a signalé l'application DeepSeek à Google et à Apple comme contenu illicite, en invoquant des transferts de données personnelles vers la Chine.

Le Royaume-Uni exige son propre représentant

Le Royaume-Uni conserve sa propre version du RGPD. L'article 27 du RGPD britannique a survécu au Brexit : un développeur sans établissement britannique qui cible des utilisateurs au Royaume-Uni, ou suit leur comportement, doit y nommer par écrit un représentant. L'exemption est aussi étroite que dans l'UE, et les amendes reprennent celles de l'UE. Un représentant dans un pays de l'UE ne couvre pas les utilisateurs britanniques : une application publiée sur les deux marchés a besoin de deux désignations.

Le signalement des vulnérabilités au titre du règlement sur la cyberrésilience

Le règlement sur la cyberrésilience (CRA) concerne aussi les applications Android mises à disposition dans l'UE dans le cadre d'une activité commerciale, un critère que remplissent également les applications gratuites qui vivent de la publicité ou d'achats intégrés. Depuis le 11 septembre 2026, leurs fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves, à commencer par une alerte précoce dans les 24 heures. Les autres obligations s'appliquent à partir du 11 décembre 2027. Un représentant au titre de ce règlement est facultatif, contrairement à celui du RGPD.

Ce que coûte un représentant manquant

Le RGPD plafonne les amendes pour absence de représentant à 12 millions de $ (10 millions d'euros) ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. En 2022, l'autorité italienne a infligé à Clubhouse une amende de 2,3 millions de $ (2 millions d'euros) pour une série de manquements. Sa politique de confidentialité donnait l'adresse postale du représentant sans e-mail, et la propre page du représentant le décrivait comme un facilitateur plutôt que comme un véritable interlocuteur. L'entreprise a d'abord soutenu que la simple présence de l'application dans les deux grandes boutiques ne montrait aucune intention de servir l'Italie, puis a cessé de contester la portée du RGPD, et l'autorité l'a appliqué. Aux Pays-Bas, l'autorité de protection des données a infligé 590 000 $ (525 000 €) à Locatefamily.com pour n'avoir jamais désigné de représentant.

Comment Murblz gère la représentation des développeurs Android

Nous nous occupons de tout, de bout en bout.

1. Nous vérifions si l'article 27 s'applique : pays de vos versions, langues de la fiche, types de données et SDK intégrés.
2. Nous désignons votre représentant et rédigeons son mandat écrit.
3. Nous ajoutons le représentant à votre politique de confidentialité et l'alignons sur vos réponses du formulaire « Sécurité des données ».
4. Nous établissons le registre des activités de traitement et le mettons à jour à chaque version importante.
5. Nous gérons la boîte e-mail du représentant et vous transmettons les demandes des utilisateurs et des autorités.
6. Nous désignons aussi le représentant légal exigé par le règlement sur les services numériques pour les applications avec contenus d'utilisateurs, et nous préparons votre déclaration de commerçant dans la Play Console.
7. Nous pouvons immatriculer dans l'UE une société de votre groupe qui sera votre représentant.

Questions fréquentes