- La FIFA a désigné, conformément à l’art. 27 en relation avec le. Art. 3 al. 2 RGPD, un représentant de l’UE basé à Hambourg a été désigné en Suisse pour remplir les obligations de protection des données dans l’UE.
- Le HmbBfDI accepte une présence minimale (adresse postale, pas de personnel permanent), à condition que la communication et les rencontres réelles assurent la fonction de représentation en cas de besoin.
Comme on le sait, la FIFA est association basée en Suisse mais active au niveau international. Elle a donc un – basé à Hambourg – Représentant de l’UE au sens de l’art. 27 en relation avec. l’art. 3, al. 2 du RGPD (voir les Déclaration de confidentialité de la FIFA). La FIFA a donc signalé une fuite de données, conformément à une recommandation du groupe de travail “Article 29” de l’époque (Lignes directrices sur la notification des violations de données personnelles en vertu du règlement 2016/679), auprès du délégué hambourgeois à la protection des données et à la liberté d’information (HmbBfDI).
Dans ce contexte, le HmbBfDI a estimé dans son 27e rapport d’activité (2018) suivant Exigences envers le représentant de l’UE fermement :
Outre d’autres entreprises actives au niveau mondial, la Fédération internationale de football a également désigné une personne morale comme représentant, dont le siège est à Hambourg. Il s’agit d’un prestataire qui s’est spécialisé dans la fonction de représentant de l’Union pour des entreprises de pays tiers. Pour ce faire, il utilise à Hambourg une infrastructure minimale avec une adresse postale dans un bureau communautaire local et sans personnel proprequi se rend régulièrement sur place. Une telle mesure, prévue par le droit Zone d’ombre n’est suffisante que si la représentation du responsable est effectivement assurée. Tant que – comme en l’espèce – la la communication avec les collaborateurs du représentant agissant depuis la Suisse fonctionne sans problème et en cas de besoin, réunion dans le bureau commun de Hambourg le bureau de Hambourg répond à l’objectif de l’article 27 du RGPD.