Sitios web, aplicaciones y SaaS que llegan a personas en la UE

• Regulation (EU) 2016/679 — GDPR, Article 27
• EDPB Guidelines 3/2018 on the territorial scope
• Directive 2002/58/EC — ePrivacy, for cookies and tracking

Quién debe designarlo

Cualquier responsable o encargado que no esté establecido en la Unión y cuyo tratamiento esté bajo el Artículo 3(2): ofrecer bienes o servicios a los interesados en la Unión, ya sea que se requiera o no pago, o monitorear su comportamiento dentro de la Unión. La oferta se juzga por la intención, mostrada por cosas como precios en euros, un idioma de la UE, opciones de entrega en la UE, publicidad dirigida a la UE o nombrar estados miembros. El monitoreo abarca análisis, cookies publicitarias, perfiles de comportamiento, pruebas A/B y huellas digitales de dispositivos de usuarios ubicados en la Unión. Los encargados están incluidos por derecho propio: una empresa de alojamiento de EE. UU. que procesa en nombre de un cliente de la UE necesita su propio representante si se aplica el Artículo 3(2).

Umbrales y exenciones

No hay umbral de facturación, número de empleados o volumen. La única excepción, en el Artículo 27(2), es estrecha y acumulativa: el tratamiento debe ser ocasional, no debe incluir el tratamiento a gran escala de datos de categorías especiales o de datos de delitos, y no debe ser probable que resulte en un riesgo para los derechos y libertades. El análisis regular de sitios web sobre visitantes de la UE no es ocasional, por lo que en la práctica la excepción casi nunca se aplica a un negocio en funcionamiento. Las autoridades públicas y los organismos están exentos por separado.

Qué debe figurar en la etiqueta

No es una etiqueta física. La obligación es la transparencia: la identidad y los datos de contacto del representante deben ser proporcionados a los interesados bajo los Artículos 13 y 14, lo que en la práctica significa un párrafo claramente identificado en el aviso de privacidad con el nombre del representante, dirección postal y canal de contacto, y una declaración de que los interesados pueden dirigirse al representante sobre todos los temas relacionados con el tratamiento. Enterrarlo en un PDF o nombrar solo un correo electrónico genérico es lo que critican las autoridades.

Campos en los marketplaces

Las tiendas de aplicaciones requieren un contacto de privacidad y varias ahora verifican que se nombre un representante de la UE donde el desarrollador esté fuera de la Unión. Los cuestionarios de adquisición empresarial y las revisiones de seguridad preguntan rutinariamente por la designación, y su ausencia retrasa los acuerdos. Algunos mercados han comenzado a verificar el certificado contra el registro público del proveedor.

Documentación que debes conservar

La designación o mandato por escrito, que define el alcance de la representación y el tratamiento cubierto. Los registros de actividades de tratamiento bajo el Artículo 30, que el representante debe mantener y poner a disposición de la autoridad de supervisión a solicitud — este es el documento que las autoridades piden primero, y su ausencia es una infracción separada. Evidencia del mecanismo de transferencia donde los datos salen de la Unión, como las cláusulas contractuales estándar bajo la Decisión (UE) 2021/914 con una evaluación de impacto de la transferencia. El aviso de privacidad tal como se publica, fechado.

Normas y ensayos

No aplicable en el sentido de pruebas de productos. Lo que se evalúa en su lugar es la documentación y la responsabilidad demostrable: si el registro de tratamiento es preciso, si las bases legales son válidas, si se obtuvo el consentimiento para las cookies antes de que comenzara el seguimiento, y si las solicitudes de los interesados se responden dentro de un mes.

Requisitos lingüísticos

El Artículo 12 requiere que la información se proporcione en un lenguaje claro y sencillo, y el EDPB espera que el representante pueda comunicarse con los interesados y las autoridades en el idioma de los estados miembros donde se encuentran los interesados. Un escritorio que solo responda en inglés es una debilidad donde la oferta se dirige, digamos, a Francia, Alemania o Polonia.

Desde cuándo se aplica

La designación debe estar en vigor antes de que comience el tratamiento que activa el Artículo 3(2). Nombrar un representante después de una queja no corrige el período anterior, y las autoridades de supervisión han impuesto multas específicamente por el período durante el cual no existió un representante. Las solicitudes de los interesados enviadas por el representante corren en el reloj del Artículo 12(3): un mes desde la recepción por el responsable, ampliable por dos meses para solicitudes complejas si se informa al interesado dentro del primer mes.

Cuánto se conservan los documentos

La designación y los registros del Artículo 30 durante todo el tiempo que dure la representación, más evidencia del período cubierto después, porque una investigación posterior preguntará cuándo comenzó y terminó el mandato. Los registros de solicitudes recibidas y reenviadas deben conservarse como prueba de que el representante cumplió con su trabajo.

Qué ocurre si no cumples

Hasta 10 millones de € o el 2% de la facturación anual total mundial por no designar. El EDPB considera la ausencia de un representante como una infracción por derecho propio, independiente de cualquier otra violación, y varias autoridades han multado solo por esa base. Más allá de la multa, la exposición práctica es que una queja sobre cualquier otra cosa — cookies, una solicitud de interesado, una violación — hace que la falta de designación salga a la luz de inmediato, porque lo primero que busca una autoridad es a quién puede dirigirse.

Quién lo controla

La autoridad de supervisión de cualquier estado miembro donde se encuentren los interesados. No hay una ventanilla única para responsables fuera de la Unión: cualquiera de las 27 autoridades puede actuar, lo que significa que una queja francesa va a la CNIL, una alemana a la Landesbeauftragte correspondiente, y ambas pueden proceder en paralelo.

Dónde está el límite

Nombrar un representante satisface un artículo; no hace que el resto del tratamiento sea lícito, y no protege al responsable, porque el Artículo 27(5) preserva las acciones legales contra el propio responsable. Un representante establecido en un estado miembro cubre toda la Unión y los estados del EEE de Islandia, Noruega y Liechtenstein. El Artículo 27 del RGPD, el Artículo 13 de la DSA, el Artículo 16 del GPSR y el representante de la CRA son cuatro nombramientos separados: tener uno no satisface a los otros, incluso donde el mismo proveedor los tenga todos. El Reino Unido requiere su propio representante bajo el RGPD del Reino Unido, desde el Brexit, y una designación de la UE no lo cubre.

Las preguntas que nos hacen

¿El representante se vuelve responsable de nuestro tratamiento?

El representante es el punto de contacto y puede ser dirigido por autoridades e interesados además de, o en lugar de, el responsable. La responsabilidad por el tratamiento en sí permanece con el responsable o encargado bajo el Artículo 27(5). Lo que el representante es directamente responsable es de mantener el registro de tratamiento y cooperar con la autoridad.

Ya tenemos un DPO — ¿es eso suficiente?

No. Son roles diferentes con bases legales diferentes. Un DPO asesora y monitorea internamente y puede estar ubicado en cualquier lugar; un representante del Artículo 27 debe estar establecido en la Unión y existe para que las autoridades y los interesados tengan a alguien a quien dirigirse allí.

Solo usamos Google Analytics en visitantes de la UE — ¿eso cuenta?

Sí. Monitorear el comportamiento de los interesados en la Unión te incluye dentro del Artículo 3(2), y el análisis es el ejemplo clásico que da el EDPB. También trae el requisito de consentimiento de ePrivacy, que es una obligación separada de la del RGPD.

¿Puede nuestra firma legal de la UE o revendedor actuar como representante?

Cualquiera establecido en la Unión puede, siempre que acepte un mandato por escrito y pueda realmente desempeñar el rol: recibir solicitudes, mantener los registros del Artículo 30 y cooperar con las autoridades. El riesgo con un arreglo ad hoc es que nadie esté monitoreando el buzón cuando una autoridad de supervisión escribe.