المواقع الإلكترونية والتطبيقات وSaaS التي تصل إلى الأشخاص في الاتحاد الأوروبي

• Regulation (EU) 2016/679 — GDPR, Article 27
• EDPB Guidelines 3/2018 on the territorial scope
• Directive 2002/58/EC — ePrivacy, for cookies and tracking

من يجب أن يعيّن

أي متحكم أو معالج غير موجود في الاتحاد والذي تقع معالجته تحت المادة 3(2): تقديم السلع أو الخدمات للأشخاص المعنيين في الاتحاد، سواء كان الدفع مطلوبًا أم لا، أو مراقبة سلوكهم داخل الاتحاد. يتم الحكم على العرض بناءً على النية، كما يتضح من أشياء مثل التسعير باليورو، لغة من لغات الاتحاد الأوروبي، خيارات التسليم في الاتحاد الأوروبي، الإعلانات المستهدفة في الاتحاد الأوروبي أو تسمية الدول الأعضاء. تشمل المراقبة التحليلات، وملفات تعريف الارتباط الإعلانية، والتصنيف السلوكي، واختبار A/B، وبصمة الجهاز للمستخدمين الموجودين في الاتحاد. يتم تضمين المعالجات في حقهم الخاص: تحتاج شركة استضافة أمريكية تعالج نيابة عن عميل في الاتحاد الأوروبي إلى ممثل خاص بها إذا كانت المادة 3(2) تنطبق عليها.

الحدود والإعفاءات

لا يوجد حد أدنى للإيرادات أو عدد الموظفين أو حجم المعالجة. الاستثناء الوحيد، في المادة 27(2)، ضيق وتراكمي: يجب أن تكون المعالجة عرضية، ويجب ألا تشمل معالجة واسعة النطاق للبيانات من الفئات الخاصة أو بيانات الجرائم، ويجب أن تكون غير مرجحة أن تؤدي إلى خطر على الحقوق والحريات. تعتبر تحليلات المواقع الإلكترونية المنتظمة للزوار من الاتحاد الأوروبي غير عرضية، لذا في الممارسة العملية، نادرًا ما ينطبق الاستثناء على الأعمال التجارية العاملة. يتم إعفاء السلطات العامة والهيئات بشكل منفصل.

ما يجب أن يظهر على الملصق

ليس هناك ملصق مادي. الالتزام هو الشفافية: يجب تقديم هوية وبيانات الاتصال بالممثل للأشخاص المعنيين بموجب المادتين 13 و14، مما يعني في الممارسة العملية فقرة محددة بوضوح في إشعار الخصوصية تحتوي على اسم الممثل، وعنوانه البريدي، وقناة الاتصال، وبيان بأن الأشخاص المعنيين يمكنهم التواصل مع الممثل بشأن جميع القضايا المتعلقة بالمعالجة. دفنها في ملف PDF أو تسمية بريد إلكتروني عام فقط هو ما تنتقده السلطات.

حقول المنصات

تتطلب متاجر التطبيقات وجود جهة اتصال للخصوصية والعديد منها الآن تتحقق من أن ممثل الاتحاد الأوروبي مُعين حيث يكون المطور خارج الاتحاد. تسأل استبيانات الشراء المؤسسي ومراجعات الأمان بشكل روتيني عن التعيين، وغيابه يؤخر الصفقات. بدأت بعض الأسواق في التحقق من الشهادة مقابل السجل العام لمقدم الخدمة.

المستندات الواجب الاحتفاظ بها

التعيين الكتابي أو التفويض، الذي يحدد نطاق التمثيل والمعالجة المغطاة. سجلات أنشطة المعالجة بموجب المادة 30، التي يجب على الممثل الاحتفاظ بها وتقديمها للسلطة الإشرافية عند الطلب - هذه هي الوثيقة التي تطلبها السلطات أولاً، وغيابها يعد انتهاكًا منفصلًا. دليل على آلية النقل حيث تغادر البيانات الاتحاد، مثل البنود التعاقدية القياسية بموجب القرار (الاتحاد الأوروبي) 2021/914 مع تقييم تأثير النقل. إشعار الخصوصية كما تم نشره، مؤرخ.

المعايير والاختبارات

لا ينطبق في معنى اختبار المنتج. ما يتم تقييمه بدلاً من ذلك هو الوثائق والمساءلة القابلة للإثبات: ما إذا كانت سجلات المعالجة دقيقة، وما إذا كانت الأسس القانونية قائمة، وما إذا تم جمع الموافقة على ملفات تعريف الارتباط قبل بدء التتبع، وما إذا كانت طلبات الأشخاص المعنيين يتم الرد عليها في غضون شهر.

المتطلبات اللغوية

تتطلب المادة 12 تقديم المعلومات بلغة واضحة ومباشرة، ويتوقع من الهيئة الأوروبية لحماية البيانات أن يكون الممثل قادرًا على التواصل مع الأشخاص المعنيين والسلطات باللغة الخاصة بالدول الأعضاء حيث يتواجد الأشخاص المعنيون. يعتبر مكتب يجيب فقط باللغة الإنجليزية نقطة ضعف حيث يستهدف العرض، على سبيل المثال، فرنسا أو ألمانيا أو بولندا.

متى ينطبق

يجب أن يكون التعيين موجودًا قبل بدء المعالجة التي تستدعي المادة 3(2). تعيين ممثل بعد تقديم شكوى لا يعالج الفترة السابقة، وقد فرضت السلطات الإشرافية غرامات بشكل خاص عن الفترة التي لم يكن فيها ممثل موجود. الطلبات المقدمة من الأشخاص المعنيين والتي يتم تحويلها بواسطة الممثل تعمل على ساعة المادة 12(3): شهر واحد من استلامها من قبل المتحكم، قابلة للتمديد لشهرين للطلبات المعقدة إذا تم إبلاغ الشخص المعني بذلك خلال الشهر الأول.

مدة حفظ المستندات

يجب الاحتفاظ بالتعيين وسجلات المادة 30 طالما استمرت التمثيل، بالإضافة إلى دليل على الفترة المغطاة بعد ذلك، لأن التحقيق اللاحق سيسأل عن متى بدأ وانتهى التفويض. يجب الاحتفاظ بسجلات الطلبات المستلمة والمحوّلة كدليل على أن الممثل قام بعمله.

عند عدم الامتثال

حتى 10 ملايين يورو أو 2% من إجمالي الإيرادات السنوية العالمية لعدم تعيين ممثل. تعتبر الهيئة الأوروبية لحماية البيانات غياب الممثل انتهاكًا في حد ذاته، مستقلًا عن أي خرق آخر، وقد فرضت عدة سلطات غرامات على هذا الأساس فقط. بخلاف الغرامة، فإن التعرض العملي هو أن الشكوى بشأن أي شيء آخر - ملفات تعريف الارتباط، طلب شخص معني، خرق - تظهر التعيين المفقود على الفور، لأن أول شيء تبحث عنه السلطة هو من يمكنها التواصل معه.

من ينفّذ

السلطة الإشرافية في أي دولة عضو حيث يتواجد الأشخاص المعنيون. لا يوجد مركز واحد للمتحكمين خارج الاتحاد: يمكن لأي من السلطات الـ 27 أن تتصرف، مما يعني أن الشكوى الفرنسية تذهب إلى CNIL، والشكوى الألمانية إلى Landesbeauftragte المعنية، وكلاهما يمكن أن يتقدما بالتوازي.

أين يقع الحد الفاصل

تعيين ممثل يلبي مادة واحدة؛ لا يجعل بقية المعالجة قانونية، ولا يحمي المتحكم، لأن المادة 27(5) تحافظ على الإجراءات القانونية ضد المتحكم نفسه. يغطي ممثل موجود في دولة عضو واحدة جميع الاتحاد والدول الأعضاء في المنطقة الاقتصادية الأوروبية مثل آيسلندا والنرويج وليختنشتاين. المادة 27 من اللائحة العامة لحماية البيانات، المادة 13 من DSA، المادة 16 من GPSR وممثل CRA هي أربع تعيينات منفصلة: الاحتفاظ بواحدة لا يلبي الآخرين، حتى لو كان نفس المزود يحتفظ بهم جميعًا. تتطلب المملكة المتحدة ممثلها الخاص بموجب اللائحة العامة لحماية البيانات في المملكة المتحدة، منذ خروج بريطانيا من الاتحاد الأوروبي، ولا يغطيها تعيين الاتحاد الأوروبي.

أسئلة تُطرح علينا

هل يصبح الممثل مسؤولاً عن معالجتنا؟

الممثل هو نقطة الاتصال ويمكن أن يتواصل معه السلطات والأشخاص المعنيون بالإضافة إلى، أو بدلاً من، المتحكم. تبقى المسؤولية عن المعالجة نفسها مع المتحكم أو المعالج بموجب المادة 27(5). ما يكون الممثل مسؤولاً عنه مباشرة هو الحفاظ على سجل المعالجة والتعاون مع السلطة.

لدينا بالفعل مسؤول حماية البيانات - هل هذا يكفي؟

لا. إنهما دوران مختلفان بأسس قانونية مختلفة. يقوم مسؤول حماية البيانات بتقديم المشورة والمراقبة داخليًا ويمكن أن يكون موجودًا في أي مكان؛ يجب أن يكون الممثل بموجب المادة 27 موجودًا في الاتحاد ويُوجد حتى تتمكن السلطات والأشخاص المعنيون من التواصل معه هناك.

نستخدم فقط Google Analytics على الزوار من الاتحاد الأوروبي - هل يعتبر ذلك كافيًا؟

نعم. مراقبة سلوك الأشخاص المعنيين في الاتحاد تجعلك ضمن المادة 3(2)، والتحليلات هي المثال النموذجي الذي تقدمه الهيئة الأوروبية لحماية البيانات. كما أنها تجلب متطلبات موافقة الخصوصية، وهي التزام منفصل عن التزام اللائحة العامة لحماية البيانات.

هل يمكن لشركتنا القانونية أو بائعنا في الاتحاد الأوروبي أن يعمل كممثل؟

يمكن لأي شخص موجود في الاتحاد أن يفعل ذلك، بشرط أن يقبل تفويضًا كتابيًا ويمكنه فعلاً أداء الدور: استلام الطلبات، الاحتفاظ بسجلات المادة 30 والتعاون مع السلطات. الخطر مع ترتيب عشوائي هو أنه لا يوجد أحد يراقب صندوق البريد عندما تكتب السلطة الإشرافية.