Représentant RGPD dans l'UE pour les applications iOS : qui en a besoin en 2026

Qui peut être représentant, ce que doit dire le mandat, en quoi il diffère du statut de commerçant sur l'App Store et pour quoi les autorités ont déjà sanctionné des entreprises.

Un développeur sans bureau dans l'Union européenne doit désigner un représentant dans l'UE au titre de l'article 27 du règlement général sur la protection des données (RGPD) dès que son application iOS traite les données personnelles de personnes se trouvant dans l'UE à qui elle est proposée ou dont elle suit le comportement.

Pourquoi une application iOS relève du RGPD

Les deux critères viennent de l'article 3 du RGPD. Pour une application iOS, le premier dépend de choix faits dans App Store Connect. Les autorités cherchent des signes concrets de ciblage, comme une interface dans la langue d'un pays de l'UE, des prix en euros ou la mention de clients en Europe. Sélectionner des pays de l'UE dans App Store Connect et traduire l'application en allemand, en français ou en italien, c'est exactement cela.

Le second critère est souvent rempli lui aussi. Si la section « Confidentialité de l'app » indique des données utilisées pour vous suivre, ou si l'application demande l'autorisation via App Tracking Transparency, elle suit les personnes d'une application et d'un site à l'autre à des fins publicitaires, et les autorités européennes y voient un suivi du comportement. Le Comité européen de la protection des données donne un exemple taillé pour une application : une start-up américaine sans présence en Europe propose un plan de ville pour touristes qui fonctionne à Paris et à Rome. C'est offrir un service dans l'UE, et dès que la start-up utilise les données de localisation pour des publicités ciblées, elle suit aussi le comportement.

Pour tout développeur qui n'est pas une autorité publique, la seule exemption est étroite. Le traitement doit être occasionnel, ne pas porter à grande échelle sur des données de santé, biométriques ou d'autres données sensibles, et ne pas être susceptible de créer un risque pour les droits des personnes, tout cela à la fois. Une application qui sert des clients européens chaque jour ne remplit pas la première condition.

Qui peut être votre représentant dans l'UE

Le représentant est une personne physique ou morale établie dans l'un des pays de l'UE où se trouvent vos utilisateurs. En pratique, ce rôle revient à des cabinets d'avocats, des cabinets de conseil et des sociétés spécialisées, et une société de votre propre groupe immatriculée dans l'UE peut aussi l'assumer : ce qui compte, c'est un mandat écrit et une véritable adresse dans l'Union. Lorsque le représentant est une société, le Comité européen de la protection des données recommande de nommer une personne responsable de votre dossier.

Le Comité conseille de choisir le pays où vit une part importante de vos utilisateurs. Deux rôles sont exclus : le représentant ne peut pas être aussi votre délégué à la protection des données externe ni un sous-traitant qui traite des données pour vous, car les deux créent un conflit d'intérêts.

Un représentant au Royaume-Uni ne compte plus pour l'UE. L'autorité espagnole de protection des données a sanctionné en 2025 un réseau publicitaire dont le représentant se trouvait en Irlande du Nord, ce qui laissait l'entreprise sans aucun représentant dans l'Union ; cette partie de l'amende a été fixée à 57 000 $ (50 000 €), réduite de 40 % après que l'entreprise a reconnu sa responsabilité et payé de manière anticipée.

Ce que doit couvrir le mandat écrit

Le mandat autorise les autorités et les utilisateurs à s'adresser au représentant en plus du développeur ou à sa place, pour toute question sur le traitement. Il doit aussi préciser les obligations que le RGPD impose directement au représentant : tenir le registre des activités de traitement et le présenter sur demande, coopérer avec l'autorité de contrôle et lui remettre toute information qu'elle exige.

La responsabilité propre du développeur ne se déplace pas : les autorités peuvent toujours agir contre l'entreprise elle-même. L'exécution peut toutefois passer par le représentant, y compris les mesures correctrices et les amendes infligées au développeur. C'est pourquoi un représentant sérieux examine la politique de confidentialité et le registre des traitements du client avant de signer.

Le mandat doit citer expressément l'article 27 du RGPD. En 2022, l'autorité italienne de protection des données, le Garante, a infligé à Senseonics, fabricant de l'application de suivi du glucose Eversense, une amende de 51 000 $ (45 000 €) pour un ensemble de manquements qui comprenait celui-ci : l'entreprise avait un mandataire au titre de la législation européenne sur les dispositifs médicaux et pensait qu'il couvrait aussi la protection des données.

Où le représentant apparaît dans votre application iOS

Apple exige que chaque application renvoie vers une politique de confidentialité, à la fois dans les métadonnées d'App Store Connect et dans l'application elle-même. Selon le RGPD, cette politique doit indiquer l'identité et les coordonnées du responsable du traitement et de son représentant dans l'UE : un nom, une adresse postale dans l'UE et une adresse e-mail qui fonctionne.

Le Garante a infligé à Clubhouse une amende de 2,3 millions de $ (2 millions d'euros) en 2022, et deux des manquements concernaient le représentant. La politique de confidentialité donnait son adresse postale mais pas d'e-mail, et la propre page du représentant, accessible depuis la politique, le présentait comme un simple facilitateur, alors que la loi en fait le véritable interlocuteur qui agit pour l'entreprise. Le développeur avait d'abord soutenu qu'une présence dans les deux grandes boutiques d'applications ne signifiait pas qu'il ciblait l'Italie, puis a cessé de contester l'application du RGPD, et l'autorité l'a appliqué.

Testez la boîte e-mail que vous publiez. Une adresse de représentant qui envoie les messages dans les spams, c'est une demande d'utilisateur ou d'autorité perdue.

Le statut de commerçant sur l'App Store est une autre obligation

Apple exige de chaque développeur qu'il déclare s'il est commerçant au sens du règlement sur les services numériques (DSA). Depuis le 16 octobre 2024, une mise à jour sans cette déclaration ne peut pas être soumise à l'examen, et depuis le 17 février 2025, ces applications sont retirées de l'App Store dans toute l'UE. L'adresse, le numéro de téléphone et l'e-mail d'un commerçant apparaissent sur la page produit de l'application dans les 27 pays de l'UE, et Apple confirme le téléphone et l'e-mail par une vérification en deux étapes. Ces coordonnées indiquent aux clients qui vend l'application. Elles ne désignent personne pour répondre de vos traitements de données et ne remplacent pas un représentant au titre de l'article 27.

Pour un développeur indépendant, la déclaration pose un problème pratique : l'adresse affichée aux clients européens. Apple n'accepte une boîte postale à la place d'une adresse personnelle qu'avec un document qui la rattache au développeur. La fiche d'une société affiche l'adresse liée à son numéro D-U-N-S, la voie que nous décrivons dans notre guide sur l'adhésion d'une société à l'Apple Developer Program.

Les applications qui ont besoin d'un second représentant au titre du DSA

Une application iOS qui stocke et affiche des contenus envoyés par ses utilisateurs, comme des publications, des photos, des avis, des annonces ou des fichiers partagés, est un service intermédiaire au sens du règlement sur les services numériques, qui s'applique à tous les fournisseurs depuis le 17 février 2024. Un fournisseur sans établissement dans l'UE doit alors désigner par écrit un représentant légal dans un État membre où il propose le service. Les petites entreprises ne bénéficient d'aucune exemption, et le texte européen considère la disponibilité dans la boutique d'applications d'un pays comme un signe qu'un service cible ce pays. Une application qui n'affiche que son propre contenu, comme un jeu sans contenus d'utilisateurs ou un utilitaire, n'a pas besoin de ce second mandat.

Le représentant au titre du DSA pèse plus lourd que celui du RGPD. Son nom, son adresse postale, son e-mail et son numéro de téléphone sont communiqués au coordinateur national pour les services numériques et doivent être publics, et le représentant lui-même peut être tenu responsable des manquements du fournisseur. Sans représentant, chaque pays de l'UE peut contrôler et sanctionner le fournisseur, avec des amendes allant jusqu'à 6 % du chiffre d'affaires annuel mondial.

Les utilisateurs britanniques exigent un représentant au Royaume-Uni

Le Royaume-Uni a sa propre vitrine dans App Store Connect et sa propre version du RGPD. L'article 27 du RGPD britannique, resté en vigueur après le Brexit, oblige un développeur sans établissement au Royaume-Uni qui propose une application aux personnes qui s'y trouvent ou suit leur comportement à désigner par écrit un représentant établi au Royaume-Uni, avec la même exemption étroite. Les amendes pour absence de représentant reprennent celles de l'UE. Votre représentant dans l'UE ne peut pas répondre pour les utilisateurs britanniques : une application vendue des deux côtés de la Manche a besoin de deux désignations.

Le signalement des failles au titre du règlement sur la cyberrésilience

Le règlement sur la cyberrésilience (CRA) traite les applications commerciales, y compris les applications gratuites qui génèrent des revenus, comme des produits comportant des éléments numériques. Depuis le 11 septembre 2026, leurs fabricants doivent signaler les vulnérabilités activement exploitées et les incidents de sécurité graves : une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans les 14 jours suivant un correctif pour une vulnérabilité, ou dans le mois suivant la notification pour un incident. Les autres exigences du règlement s'appliquent à partir du 11 décembre 2027, et un représentant dans l'UE y est facultatif.

Ce qu'un représentant manquant a coûté aux services en ligne

Un manquement à l'article 27 est passible d'une amende allant jusqu'à 12 millions de $ (10 millions d'euros) ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. L'autorité néerlandaise a infligé à Locatefamily.com une amende de 590 000 $ (525 000 €) pour n'avoir aucun représentant dans l'UE et lui a ordonné d'en désigner un dans les douze semaines, sous peine de payer 23 000 $ (20 000 €) par période de deux semaines de retard. L'affaire est partie de plaintes de personnes qui ne parvenaient pas à faire supprimer leurs données du site.

En juillet 2026, le Garante a infligé à Character Technologies, développeur américain d'une application de discussion et de jeu de rôle, une amende de 180 000 $ (158 000 €) pour cinq manquements. L'un d'eux était un représentant désigné en mai 2025, plus d'un an après le lancement du service en italien, et l'autorité a rejeté l'argument selon lequel le traitement pour un service en langue italienne était occasionnel.

Comment Murblz met en place votre représentant dans l'UE

Nous nous occupons de tout, de bout en bout.

1. Nous vérifions si l'article 27 s'applique à votre application : vitrines, langues, données collectées et SDK intégrés.
2. Nous désignons votre représentant et rédigeons son mandat écrit.
3. Nous ajoutons le représentant à votre politique de confidentialité, prête pour App Store Connect.
4. Nous préparons le registre des activités de traitement et le tenons à jour au fil des évolutions de l'application.
5. Nous mettons en place la boîte e-mail du représentant et le transfert vers vous des demandes des utilisateurs et des autorités.
6. Pour les applications avec contenus d'utilisateurs, nous organisons le représentant légal au titre du règlement sur les services numériques.
7. Si vous préférez une structure à vous, nous immatriculons dans l'UE une société de votre groupe qui sera votre représentant.

Questions fréquentes