Dos obligaciones, una confusión frecuente
Te han dicho que necesitas un representante en la UE. ¿Cuál de los dos?
Dos normas europeas piden a una empresa de fuera de la Unión que nombre a alguien dentro. En el correo de un marketplace o de un cliente suenan idénticas, y no son intercambiables. Una trata de los datos personales que manejas. La otra, de las mercancías que envías. Muchas empresas necesitan ambas y compran solo una.
La línea que las separa
La prueba más simple es qué cruza la frontera. Si lo que llega a Europa es información sobre personas — una dirección de correo, un historial de pedidos, una IP — estás en el terreno del artículo 27. Si lo que llega es una caja, estás en el del artículo 16. Una tienda que envía hervidores a Alemania hace las dos cosas a la vez: recoge la dirección del comprador e introduce un hervidor en el mercado.
| Artículo 27 RGPD | Artículo 16 GPSR | |
|---|---|---|
| Qué protege | Los datos personales de personas en la UE | La seguridad de los productos de consumo vendidos en la UE |
| Quién debe designar | Responsables y encargados fuera de la UE que se dirigen a personas aquí o las monitorizan | Fabricantes, importadores y vendedores que introducen bienes de consumo no alimentarios en el mercado de la UE |
| Dónde aparece el nombre | En la política de privacidad y, a petición, ante las autoridades | En el producto, su embalaje, el paquete o las instrucciones |
| Quién pregunta | Las autoridades de protección de datos y las personas | Las autoridades de vigilancia del mercado, aduanas, marketplaces |
| Qué se guarda por ti | El registro de actividades de tratamiento | La declaración de conformidad y la documentación técnica |
| Detonante habitual | Una solicitud de acceso o una reclamación | Un anuncio bloqueado o mercancía detenida en la frontera |
| Cómo se falla en la práctica | Una multa, normalmente tras una reclamación | El anuncio desaparece, antes de que nadie te escriba |
| Nuestro precio | Desde 290 € al año | Desde 190 € al año |
Cuál se aplica a ti
Cuatro preguntas lo resuelven en menos de un minuto. Respóndelas sobre tu propia empresa, no sobre la de tu proveedor.
Has respondido sí solo en datos
Software, apps, agencias, marketplaces, todo lo que se vende como descarga o como acceso. Necesitas el artículo 27 y nada más — hasta que empieces a enviar algo en una caja.
Has respondido sí solo en mercancías
Raro, pero real: un fabricante que vende a mayoristas de la UE que atienden directamente a cada cliente. Necesitas el artículo 16. En cuanto vendas tú a consumidores, la primera pregunta también pasa a sí.
Qué hace realmente cada uno cuando pasa algo
A un representante se le juzga el día que llega una carta, no el día que firmas. Los dos papeles se comportan distinto bajo presión, y saberlo es lo que te dice si un proveedor es real.
Artículo 27, día uno
Una persona pide copia de sus datos, o una autoridad traslada una reclamación. El representante acusa recibo, te avisa y mantiene disponible el registro de tratamientos. El plazo es de un mes, y lo que cuenta es tu respuesta — el representante la lleva.
Artículo 16, día uno
Una autoridad pide la declaración de conformidad, o un marketplace suspende un anuncio. La persona responsable entrega la documentación, informa a la autoridad de cualquier riesgo y coopera en las medidas correctoras. El plazo lo fija la autoridad, y es corto.
El error que más caro sale
Comprar uno y dar por hecho que cubre el otro. Ocurre de una forma concreta: una empresa designa un representante del artículo 27 para su tienda, publica el nombre en la política de privacidad y da Europa por resuelta. Dos años después un marketplace pide la persona responsable según las reglas de seguridad de producto, el nombre de privacidad no encaja en ese campo, y en una semana todos los anuncios se apagan.
También ocurre al revés. Un fabricante compra una persona responsable porque Amazon lo exigió, y luego recibe una solicitud de datos de un cliente europeo sin nadie designado para ella.
Preguntas que nos llegan antes de comprar
¿Puede la misma sociedad ocupar los dos papeles?
Sí, y suele salir más barato. Los asumimos ambos con mandatos escritos separados, porque las obligaciones son separadas: uno nos nombra ante las autoridades de control, el otro nos nombra en tu embalaje. Nuestro plan Multi cubre el artículo 27 y el artículo 16 juntos.
¿Un representante en el Reino Unido cubre la UE?
No. El representante del UK GDPR responde ante la ICO por el Reino Unido, y el de la UE ante las autoridades europeas. Quien vende en ambos necesita dos, y ninguno sustituye al papel de seguridad del producto.
Ya tenemos un abogado en Europa. ¿Basta?
Solo si acepta el mandato por escrito y su nombre y dirección se publican donde la norma lo exige. Un contrato de servicios no es una designación. Con el artículo 16 el nombre debe ir en el propio producto, algo que casi ningún despacho acepta.
¿Responde el representante por nosotros?
Con el artículo 27 el representante es un punto de contacto, y las obligaciones del RGPD siguen siendo tuyas. Con el artículo 16 la persona responsable tiene deberes propios — conservar documentación, cooperar, notificar riesgos — pero la seguridad del producto sigue siendo del fabricante.
¿Qué demuestra que la designación es real?
Un código que se resuelve en un registro público delante de quien pregunta. El nuestro se pone verde mientras el mandato está vigente y rojo en cuanto caduca, para ambos papeles. Un PDF solo demuestra que existe un PDF.
Descubre en un minuto cuál necesitas
Mándanos un anuncio de producto o una política de privacidad. Te diremos con claridad qué obligación aplica, sin coste y sin compromiso de compra.
Artículo 16 — seguridad del producto Artículo 27 — datos personales