Representante del RGPD del Reino Unido para empresas fuera del Reino Unido

• UK GDPR, Article 27
• Data Protection Act 2018
• Privacy and Electronic Communications Regulations 2003

Quién debe designarlo

Cualquier controlador o procesador no establecido en el Reino Unido que ofrezca bienes o servicios a personas en el Reino Unido o que monitoree su comportamiento allí. Desde el Brexit, esto incluye a empresas establecidas en la Unión Europea, que es el punto que la mayoría de las empresas de la UE pasan por alto: un establecimiento en la UE no cubre el Reino Unido, y un establecimiento en el Reino Unido no cubre la UE.

Umbrales y exenciones

La exención refleja la de la UE y es igualmente estrecha: procesamiento ocasional, sin datos de categorías especiales o de delitos a gran escala, y poco probable que resulte en un riesgo. La analítica regular sobre visitantes del Reino Unido no califica. Las autoridades públicas están exentas.

Qué debe figurar en la etiqueta

La identidad y los datos de contacto del representante deben ser proporcionados a los interesados en el aviso de privacidad, de la misma manera que bajo el RGPD de la UE, y deben ser fácilmente accesibles para la Oficina del Comisionado de Información.

Campos en los marketplaces

Los mercados orientados al Reino Unido y los compradores empresariales solicitan el representante del Reino Unido en la debida diligencia. También es lo primero que busca la ICO al manejar una queja sobre una empresa sin establecimiento en el Reino Unido.

Documentación que debes conservar

La designación por escrito. El registro de actividades de procesamiento relacionadas con el procesamiento en el Reino Unido, que el representante debe mantener y poner a disposición de la ICO. Documentación de transferencia, que desde el Brexit significa el Acuerdo de Transferencia Internacional de Datos del Reino Unido o el Anexo del Reino Unido a las cláusulas estándar de la UE, no solo las cláusulas de la UE.

Normas y ensayos

No aplicable. Lo que se evalúa es la documentación y la capacidad de responder a la ICO y a los interesados.

Requisitos lingüísticos

Inglés.

Desde cuándo se aplica

Antes de que comience el procesamiento que activa la jurisdicción del Reino Unido. Nombrar después de una queja no corrige el período anterior.

Cuánto se conservan los documentos

La designación y los registros de procesamiento del Reino Unido durante la duración de la representación más evidencia del período cubierto.

Qué ocurre si no cumples

Hasta £17.5 millones o el 4% de la facturación global bajo el régimen del Reino Unido. La ICO ha sido menos agresiva que varias autoridades de la UE sobre el requisito del representante específicamente, pero trata la ausencia como un factor agravante al investigar cualquier otra cosa.

Quién lo controla

La Oficina del Comisionado de Información.

Dónde está el límite

Se necesitan dos nombramientos separados para cubrir ambos territorios, y un proveedor puede tener ambos pero debe ser designado por separado para cada uno. El Reino Unido también diverge en detalles: la documentación de transferencia difiere, las reglas de cookies son aplicadas por la ICO bajo PECR, y el Reino Unido tiene su propio código de diseño apropiado para la edad para servicios que probablemente sean accesibles por niños.

Las preguntas que nos hacen

Somos una empresa de la UE — ¿necesitamos un representante en el Reino Unido?

Si diriges a usuarios del Reino Unido o monitoreas su comportamiento y no tienes establecimiento en el Reino Unido, sí. El Brexit convirtió al Reino Unido en un tercer país para este propósito, en ambas direcciones.

¿Puede el representante de la UE también actuar para el Reino Unido?

El mismo proveedor puede, pero la designación debe hacerse por separado bajo el RGPD del Reino Unido y el representante debe estar establecido en el Reino Unido.