REP27 · هل أحتاج إلى واحد
المادة 3(2) · المادة 27 من اللائحة العامة لحماية البيانات
أربعة أسئلة تحدد ذلك، ولا يتعلق أي منها بحجمك أو حجم مبيعاتك أو عدد العملاء الأوروبيين لديك. الاختبار إقليمي: حيث يتم تأسيس شركتك، وما إذا كانت أنشطتك تصل إلى الأشخاص داخل الاتحاد. اقرأ المخطط، ثم اقرأ لماذا الاستثناء في الأسفل نادرًا ما ينطبق.
التأسيس يعني نشاطًا حقيقيًا وفعالًا من خلال ترتيبات مستقرة — ليس حيث يتم تسجيل شركتك على الورق، وليس حيث توجد خوادمك.
شركة مسجلة في ديلاوير ولها مكتب مبيعات في دبلن تعتبر مؤسسة في الاتحاد ولا تحتاج إلى ممثل. شركة مسجلة في أيرلندا تعمل بالكامل من ساو باولو قد لا تزال مشمولة. التفسير 22 واضح أن الشكل القانوني ليس حاسمًا: وكيل واحد يتمتع بالاستقرار الكافي يمكن أن يشكل مؤسسة، بينما لوحة نحاسية لا يمكن أن تفعل ذلك.
إذا لم يكن لديك فرع أو شركة تابعة أو مكتب أو موظفين دائمين في دولة عضو، اعتبر نفسك خارجًا وانتقل إلى السؤال الثاني.
ليس "هل لديك عملاء في الاتحاد الأوروبي" — "هل عرضك موجه إليهم". النية هي ما يهم، ويتم الحكم عليها بناءً على الأدلة.
التفسير 23 يسرد الإشارات: استخدام لغة أو عملة لدولة عضو، ذكر العملاء أو المستخدمين في الاتحاد، تقديم الشحن إلى عناوين أوروبية، تشغيل نطاق خاص بالاتحاد الأوروبي، شراء إعلانات تستهدف الجماهير الأوروبية. أي من هذه يجعل العرض موجهًا. طلب واحد غير مرغوب فيه من عميل بلجيكي على موقع باللغة الإنجليزية بسعر بالدولار، دون خيار شحن إلى الاتحاد الأوروبي، لا يعتبر كذلك.
لا يجب أن يكون العرض مدفوعًا. تطبيق مجاني، تجربة مجانية، نشرة إخبارية مجانية وأداة ويب مجانية كلها خدمات بهذا المعنى.
هذا هو الجانب الذي تفوته معظم الشركات، لأنه يشمل الأعمال التي لا تبيع شيئًا في أوروبا على الإطلاق.
التفسير 24 يعرف المراقبة على أنها تتبع الأشخاص على الإنترنت ثم تصنيفهم، خصوصًا لاتخاذ قرارات أو التنبؤ بالتفضيلات والسلوك. في الممارسة العملية، يشمل ذلك بكسلات الإعلانات، جماهير إعادة التسويق، تحليلات عبر المواقع مع معرفات المستخدم، تسجيل الجلسات وخرائط الحرارة، تخصيص يعتمد على الكوكيز، وSDKs التطبيقات التي تبلغك بالاستخدام.
المادة 27(2)(أ) تعفي المعالجة التي تكون عرضية، ولا تشمل بيانات فئة خاصة أو بيانات جنائية على نطاق واسع، ومن غير المحتمل أن تؤدي إلى خطر على الحقوق والحريات. يجب أن تتحقق جميع الشروط الثلاثة معًا.
| الوضع | عرضي؟ | معفى؟ |
|---|---|---|
| متجر عبر الإنترنت مع قاعدة بيانات عملاء | لا — مستمر | لا |
| منتج SaaS مع مستخدمين في الاتحاد الأوروبي | لا — مستمر | لا |
| الموقع الإلكتروني يقوم بتحليل الزوار من الاتحاد الأوروبي | لا — مستمر | لا |
| النشرة الإخبارية مع المشتركين الأوروبيين | لا — تخزين مستمر | لا |
| مسح بطاقة المؤتمر لمرة واحدة، يتم حذفه بعد الحدث | نعم | ربما |
تقرأ إرشادات EDPB 3/2018 "عرضي" بشكل ضيق: المعالجة التي لا تتم بانتظام وتحدث خارج السياق العادي للأعمال. أي شيء موجود في CRM عن قصد يفشل ذلك.
غير متوافق بموجب إرشادات EDPB 3/2018. يجب أن يكون مسؤول حماية البيانات مستقلاً؛ الممثل يتصرف بناءً على تعليماتك.
ممكن نظريًا، لكن هناك تعارض في الممارسة: لا يمكن لمُعالجك أن يجيب بشكل موثوق لسلطة عن امتثالك.
صندوق بريد أو مكتب افتراضي بدون شخص مفوض ليس تعيينًا. يتطلب المادة 27(1) طرفًا يقبل الدور كتابةً.
يجب أن يكون الممثل مقيمًا في دولة عضو حيث يوجد موضوعات بياناتك. بعد خروج بريطانيا من الاتحاد الأوروبي، لا يمكن لشركة بريطانية أن تمثلك في الاتحاد الأوروبي.
لا. تتطلب المادة 27(1) تعيينًا كتابيًا يحدد كيانًا معينًا مقيمًا في الاتحاد. فقرة تقول أنك تمتثل لـ GDPR لا تسمي أحدًا، لذا لا يوجد ممثل ولا نقطة اتصال لموضوعات البيانات.
يمكن أن ينطبق. تغطي المادة 3(2)(ب) مراقبة السلوك، وتحليل البيانات، وبيكسلات الإعلان، وتسجيل الجلسات وإعادة التسويق الموجه للأشخاص في الاتحاد جميعها تعتبر. عدم بيع أي شيء لا يعفيك إذا كنت تقوم بتصنيف الزوار الأوروبيين.
يمكن تعيين أي شخص مقيم في الاتحاد، بما في ذلك مكتب محاماة أو موزع، بشرط أن يقبلوا التفويض كتابةً. في الممارسة العملية، معظمهم يرفضون: الدور يحمل تعرضًا مباشرًا للسلطات الإشرافية ويتطلب الاحتفاظ بسجل المادة 30 الخاص بك.
لا. توجيهات EDPB 3/2018 تنص على أن الدورين غير متوافقين، لأن مسؤول حماية البيانات يجب أن يعمل بشكل مستقل بينما يعمل الممثل بناءً على تعليمات المتحكم. لا يمكن لجسم واحد أن يحمل كلا الدورين.
حتى 10 مليون يورو أو 2% من العائد السنوي العالمي، أيهما أعلى، بموجب المادة 83(4)(أ). إنها انتهاك مستقل: لقد فرضت السلطات غرامات على الشركات بسبب عدم التعيين فقط، دون أي خرق للبيانات.
لا، وهذه هي القراءة الخاطئة الأكثر شيوعًا. تحدد الملاءمة ما إذا كان يمكن نقل البيانات إلى بلدك دون احتياطات إضافية. المادة 27 تحدد ما إذا كان يمكن الاتصال بشخص ما داخل الاتحاد. اليابان، المملكة المتحدة، كندا وسويسرا جميعها لديها ملاءمة وشركاتها لا تزال بحاجة إلى ممثل.
نادراً. تتطلب المادة 27(2)(أ) أن تكون المعالجة عرضية، منخفضة المخاطر، خالية من بيانات الفئات الخاصة، وغير محتملة أن تؤدي إلى خطر على الحقوق والحريات - جميعها معًا. متجر لديه قاعدة بيانات عملاء، نشرة إخبارية أو تحليلات يفشل في الشرط الأول بالفعل.
نعم، إذا كنت تستهدف أشخاصًا في المملكة المتحدة. منذ عام 2021، أصبح قانون حماية البيانات في المملكة المتحدة نظامًا منفصلًا له منظم خاص به، ولا يملك الممثل المعين في دولة عضو أي وضع أمامه. يتم إصدار التعيينين بشكل منفصل.
ذات صلة: ما هي تكلفة ممثل المادة 27 · الشخص المسؤول بموجب GPSR لبائعي أمازون
نحن نقرأ إشعار الخصوصية العام الخاص بك ونخبرك في عشر ثوانٍ ما إذا كان قد تم تعيين ممثل بالفعل. إذا كان هناك واحد، نقول ذلك وتغلق علامة التبويب.
قم بتشغيل الفحص المجاني انظر الأسعار