REP27 · Representante UE · América Latina
Artículo 27 RGPD · Colombia · Perú · Uruguay · Panamá
Si su empresa está establecida en Colombia, Perú, Uruguay o Panamá y ofrece bienes o servicios a personas que se encuentran en la Unión Europea —o hace seguimiento de su comportamiento— el artículo 27 del RGPD le obliga a designar por escrito un representante dentro de la Unión. Nosotros somos ese representante: figuramos en su aviso de privacidad, atendemos a las 27 autoridades de control y cualquiera puede comprobar la designación con el código de su certificado.
Quedar designado en 24 horas Revisar mi aviso de privacidad gratis
Los cuatro países tienen ley propia de protección de datos y autoridad propia. Ninguna de esas normas descarga la obligación del artículo 27: el RGPD no mira dónde está su empresa, mira dónde están las personas cuyos datos trata. Si están en la Unión, hace falta un representante establecido en la Unión.
| País | Norma nacional | Autoridad | Qué no resuelve |
|---|---|---|---|
| Colombia | Ley 1581 de 2012 y Decreto 1074 de 2015 | Superintendencia de Industria y Comercio (SIC), Delegatura de Protección de Datos Personales | El Registro Nacional de Bases de Datos es colombiano; no aparece en su aviso para el usuario europeo ni recibe reclamaciones del artículo 27.4. |
| Perú | Ley 29733 y su nuevo reglamento, Decreto Supremo 016-2024-JUS | Autoridad Nacional de Protección de Datos Personales, en el Ministerio de Justicia | Inscribir sus bancos de datos en el Registro Nacional peruano no crea ningún punto de contacto dentro de la Unión. |
| Uruguay | Ley 18.331 y artículos 37 a 40 de la Ley 19.670 | Unidad Reguladora y de Control de Datos Personales (URCDP) | La decisión de adecuación europea facilita las transferencias hacia Uruguay, pero no exime de designar representante. |
| Panamá | Ley 81 de 2019 y Decreto Ejecutivo 285 de 2021 | Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI) | Es una ley de aplicación territorial: no cubre a las personas cuyos datos se tratan desde Europa. |
10 millones de euros o el 2%No designar representante es una infracción autónoma del artículo 83.4.a del RGPD, la que sea mayor entre las dos cifras. Las Directrices 3/2018 del Comité Europeo de Protección de Datos lo confirman: es un incumplimiento por sí mismo, no un detalle formal.
Colombia es, de los cuatro, el país con más contratos de tratamiento por cuenta de clientes europeos. El BPO de Bogotá, Medellín y Barranquilla, las plataformas SaaS y los exportadores que venden en línea a Europa entran por la vía del artículo 3.2 casi sin darse cuenta.
La Ley 1581 de 2012 y el Decreto 1074 de 2015 obligan a inscribir las bases de datos en el RNBD y a atender a la SIC. Son deberes colombianos y se cumplen ante una autoridad colombiana. Cuando el titular del dato está en Madrid, en Milán o en Berlín, quien pregunta es otra autoridad y la respuesta tiene que llegar desde dentro de la Unión.
En la práctica lo que desbloquea el contrato no es la multa, sino la ficha de proveedor: el cliente europeo audita a sus encargados y pide ver la designación antes de firmar el acuerdo de tratamiento. Sin ella, el expediente se queda parado en el departamento jurídico.
Perú renovó su marco con el Decreto Supremo 016-2024-JUS, que desarrolla la Ley 29733 con obligaciones más exigentes de información, seguridad y notificación de brechas. Es un cambio grande dentro del país y no toca nada de lo europeo.
Los sectores que más se cruzan con la Unión son la agroexportación con venta directa al consumidor europeo, el software y los servicios digitales de Lima, y las fintech que abren cuentas a residentes en Europa. En todos ellos el criterio del artículo 3.2 es el mismo: si el sitio acepta pagos en euros, se traduce a idiomas de la Unión o envía a países europeos, la oferta está dirigida a esas personas.
Un matiz que se pasa por alto: el seguimiento de comportamiento cuenta igual que la venta. Analítica, remarketing o medición de audiencia sobre visitantes europeos activan la obligación aunque no haya un solo pedido cerrado.
Uruguay es uno de los pocos países con decisión de adecuación de la Comisión Europea, y por eso es donde más se repite el mismo error: creer que la adecuación sustituye al artículo 27. Son dos cosas distintas.
La adecuación resuelve las transferencias: permite que un dato salga de la Unión hacia Uruguay sin cláusulas contractuales tipo. El artículo 27 resuelve otra cosa: quién atiende, dentro de la Unión, a la persona y a la autoridad. Una empresa uruguaya sujeta al artículo 3.2 sigue necesitando representante, con adecuación y todo.
A esto se suma que la propia Ley 19.670 dio alcance extraterritorial a la norma uruguaya, con lo que muchas empresas conviven con dos marcos a la vez: la URCDP por un lado y las autoridades europeas por el otro. Tener la designación publicada evita que el segundo frente se abra por sorpresa.
La Ley 81 de 2019, desarrollada por el Decreto Ejecutivo 285 de 2021, dio a Panamá una norma moderna y una autoridad, la ANTAI. Su alcance es territorial y ahí termina.
El perfil panameño es distinto al del resto: reexportación desde la Zona Libre de Colón, logística y transporte marítimo, servicios corporativos y financieros, y comercio electrónico que despacha a Europa. Muchas de esas operaciones tratan datos de destinatarios europeos sin tener presencia en la Unión, que es justamente el supuesto para el que se escribió el artículo 27.
En logística y reexpedición aparece además la pareja habitual: el mismo envío que activa el artículo 27 por los datos suele activar el artículo 16 del Reglamento 2023/988 por el producto. Si es su caso, el plan Multi cubre las dos figuras con un solo expediente.
El texto exacto de los artículos 13.1.a y 14.1.a, generado en cada idioma que use su web y listo para pegar. Es donde se atascan casi todos los expedientes, así que quitamos el paso.
Lleva un código: al abrirlo se consulta el registro en vivo y muestra el estado real —activa, en revisión, suspendida, revocada o caducada—. Nada que creer por confianza.
Desde el plan Standard conservamos el registro de actividades y lo entregamos a la autoridad que lo pida, avisándole a usted el mismo día en que ocurre.
Las solicitudes llegan en el idioma del titular. Se registran, se traducen y se le reenvían con el plazo europeo ya calculado.
Documento bilingüe bajo derecho checo, firmado por Europe Services, SE, válido para auditorías y para las fichas de proveedor de sus clientes europeos.
Sin coste por solicitud desde el plan Standard, sin cargo por país europeo y sin permanencia más allá del año contratado.
Sí, cuando queda dentro del artículo 3.2 del RGPD por ofrecer bienes o servicios a personas que están en la Unión o por hacer seguimiento de su comportamiento. No importa dónde esté la empresa ni dónde estén los servidores: importa dónde están esas personas.
No. La adecuación permite transferir datos desde la Unión hacia Uruguay sin garantías adicionales. El artículo 27 exige algo distinto: un punto de contacto establecido en la Unión. Son obligaciones independientes y hay que cumplir las dos.
Sí. El artículo 27 alcanza por igual a responsables y a encargados cuando entran por el artículo 3.2. El representante de su cliente representa a su cliente, no a usted.
Corren en paralelo. La norma nacional protege a las personas de su país; el RGPD protege a las personas que están en la Unión. Cumplir una no dice nada sobre la otra, y ninguna autoridad nacional puede recibir por usted una solicitud del artículo 27.4.
El seguimiento del comportamiento cuenta por sí solo. Si mide, segmenta o hace remarketing sobre personas que están en la Unión, el artículo 3.2 se activa aunque no haya ninguna venta.
Desde 290 € al año, facturados por anticipado, con renovación automática hasta que usted cancele antes de la fecha. Desde el plan Standard no hay coste por solicitud.
La carta de designación y el certificado se emiten dentro de las 24 horas hábiles siguientes al formulario y al pago, tras la revisión de una persona. Los sectores de mayor riesgo pueden llegar a cinco días hábiles.
No. Según la guía del Comité Europeo de Protección de Datos una misma entidad no puede ser las dos cosas. Somos el punto de contacto del artículo 27.4: recibimos, registramos y reenviamos, custodiamos su registro del artículo 30, y no respondemos sobre el fondo ni damos asesoramiento jurídico.
Sí, la persona responsable del artículo 16 del Reglamento (UE) 2023/988 sobre seguridad general de los productos. El plan Multi cubre el artículo 27, el artículo 16 y el representante autorizado para el marcado CE en un solo expediente.
América Latina no es un bloque único a efectos del RGPD. Solo dos países tienen decisión de adecuación — Argentina desde 2003 y Uruguay desde 2012 — y ambas cubren la transferencia de datos, no la representación. El resto de la región son terceros países sin adecuación, con cláusulas contractuales tipo para mover datos y con la misma obligación del artículo 27 para quien se dirige a personas en la Unión.
| País | Ley y autoridad | Adecuación |
|---|---|---|
| Argentina | Ley 25.326, AAIP | Sí, desde 2003 |
| Uruguay | Ley 18.331, URCDP | Sí, desde 2012 |
| Brasil | LGPD, ANPD | No |
| México | LFPDPPP, tras la desaparición del INAI | No |
| Colombia | Ley 1581, Superintendencia de Industria y Comercio | No |
| Chile | Ley 19.628 y la nueva Ley 21.719 | No |
| Panamá | Ley 81 de 2019, ANTAI | No |
Lo que no cambia en ningún caso: el encargado interno, el registro de bases de datos y la inscripción ante la autoridad local son figuras domésticas. Ninguna de ellas designa a nadie dentro de la Unión, y es esa designación la que exige el artículo 27.
Las empresas latinoamericanas que ya tienen designación pasan las homologaciones de proveedor europeas semanas antes que las demás. Eso, más que la sanción, es lo que hace que valga la pena.
Primero la revisión gratuita: leemos su aviso de privacidad público y le decimos si hace falta. Sin registro y sin compromiso.
Hacer la revisión gratuita