REP27 · ¿Necesito uno?
Artículo 3(2) · Artículo 27 GDPR
Cuatro preguntas lo deciden, y ninguna de ellas se refiere a tu tamaño, tu facturación o cuántos clientes europeos tienes. La prueba es territorial: dónde está establecida tu empresa y si lo que haces llega a personas dentro de la Unión. Lee el diagrama, luego lee por qué la exención al final casi nunca se aplica.
Establecimiento significa una actividad real y efectiva a través de arreglos estables — no dónde está registrada tu empresa en papel, y no dónde están tus servidores.
Una empresa incorporada en Delaware con una oficina de ventas en Dublín está establecida en la Unión y no necesita representante. Una empresa incorporada en Irlanda cuya operación completa se lleva a cabo desde São Paulo puede aún estar sujeta. El considerando 22 es explícito en que la forma legal no es decisiva: un solo agente con suficiente estabilidad puede constituir un establecimiento, mientras que una placa de bronce no puede.
Si no tienes sucursal, filial, oficina o personal permanente en un Estado miembro, considérate fuera y pasa a la pregunta dos.
No "¿tienes clientes en la UE?" — "¿está tu oferta dirigida a ellos?" La intención es lo que cuenta, y se juzga en base a evidencias.
El considerando 23 enumera las señales: usar un idioma o una moneda de un Estado miembro, mencionar clientes o usuarios en la Unión, ofrecer envío a direcciones europeas, operar un dominio específico de la UE, comprar publicidad dirigida a audiencias europeas. Cualquiera de estas hace que la oferta esté dirigida. Un solo pedido no solicitado de un cliente belga en un sitio en inglés con precios en dólares, sin opción de envío a la UE, no lo hace.
La oferta no tiene que ser pagada. Una aplicación gratuita, una prueba gratuita, un boletín gratuito y una herramienta web gratuita son todos servicios en este sentido.
Este es el aspecto que la mayoría de las empresas pasa por alto, porque atrapa a negocios que no venden nada en Europa.
El considerando 24 define el monitoreo como rastrear personas en internet y luego perfilarlas, particularmente para tomar decisiones o predecir preferencias y comportamientos. En la práctica, eso incluye píxeles publicitarios, audiencias de remarketing, análisis entre sitios con identificadores de usuario, grabación de sesiones y mapas de calor, personalización basada en cookies, y SDKs de aplicaciones que informan el uso de vuelta a ti.
El Artículo 27(2)(a) exonera el procesamiento que es ocasional, no incluye datos de categoría especial o criminal a gran escala, y es poco probable que resulte en un riesgo para los derechos y libertades. Las tres condiciones deben cumplirse juntas.
| Situación | ¿Ocasional? | ¿Exento? |
|---|---|---|
| Tienda en línea con una base de datos de clientes | No — continuo | No |
| Producto SaaS con usuarios de la UE | No — continuo | No |
| Sitio web que ejecuta análisis sobre visitantes de la UE | No — continuo | No |
| Boletín con suscriptores europeos | No — almacenamiento continuo | No |
| Escaneo de insignia de conferencia único, eliminado después del evento | Sí | Posiblemente |
Las Directrices del EDPB 3/2018 leen "ocasional" de manera restrictiva: el procesamiento que no se realiza de forma regular y ocurre fuera del curso ordinario de los negocios. Cualquier cosa que esté en un CRM por diseño falla en esto.
Incompatible según las Directrices del EDPB 3/2018. El DPO debe ser independiente; el representante actúa bajo sus instrucciones.
Posible en teoría, pero un conflicto en la práctica: su procesador no puede responder de manera creíble a una autoridad sobre su propia conformidad.
Un buzón o una oficina virtual sin nadie designado no es una designación. El Artículo 27(1) requiere que una parte acepte el rol por escrito.
El representante debe estar establecido en un Estado miembro donde se encuentren sus interesados. Después del Brexit, una empresa del Reino Unido no puede representarlo en la UE.
No. El Artículo 27(1) requiere una designación por escrito nombrando una entidad específica establecida en la Unión. Un párrafo que diga que cumple con el GDPR no nombra a nadie, por lo que no hay representante ni punto de contacto para los interesados.
Puede. El Artículo 3(2)(b) cubre el monitoreo del comportamiento, y los análisis, píxeles publicitarios, grabación de sesiones y remarketing dirigidos a personas en la Unión cuentan. No vender nada no lo exime si está perfilando a visitantes europeos.
Cualquiera establecido en la Unión puede ser designado, incluyendo un bufete de abogados o un distribuidor, siempre que acepte el mandato por escrito. En la práctica, la mayoría declinan: el rol conlleva exposición directa a las autoridades de supervisión y requiere mantener su registro del Artículo 30.
No. Las Directrices del EDPB 3/2018 establecen que los dos roles son incompatibles, porque el DPO debe actuar de manera independiente mientras que el representante actúa bajo las instrucciones del controlador. Un organismo no puede tener ambos roles.
Hasta €10 millones o el 2% de la facturación anual mundial, lo que sea mayor, bajo el Artículo 83(4)(a). Es una infracción independiente: las autoridades han multado a empresas solo por la falta de designación, sin ninguna violación de datos subyacente.
No, y esta es la lectura errónea más común. La adecuación regula si los datos pueden ser transferidos a su país sin salvaguardias adicionales. El Artículo 27 regula si alguien dentro de la Unión puede ser contactado. Japón, el Reino Unido, Canadá y Suiza tienen adecuación y sus empresas aún necesitan un representante.
Rara vez. El Artículo 27(2)(a) requiere que el procesamiento sea ocasional, de bajo riesgo, libre de datos de categoría especial y poco probable que resulte en un riesgo para los derechos y libertades — los cuatro a la vez. Una tienda con una base de datos de clientes, un boletín o análisis falla ya en la primera condición.
Sí, si dirige a personas en el Reino Unido. Desde 2021, el UK GDPR es un régimen separado con su propio regulador, y un representante establecido en un Estado miembro no tiene legitimidad ante él. Las dos designaciones se emiten por separado.
Relacionado: cuánto cuesta un representante del Artículo 27 · persona responsable del GPSR para vendedores de Amazon
Leemos su aviso de privacidad público y le decimos en diez segundos si ya se ha nombrado un representante. Si es así, lo decimos y usted cierra la pestaña.
Realiza la verificación gratuita Ver precios