REP27 · ¿Necesitamos uno? · Empresas no pertenecientes a la UE
Artículo 3(2) · Artículo 27(1) · Artículo 27(2)
La pregunta se responde mediante cuatro pruebas, en el orden en que las establece la regulación, y la respuesta casi nunca depende de la industria o del tamaño de la empresa. Depende de si un Representante del GDPR para una empresa no de la UE se requiere en absoluto: si estás establecido en la Unión, si el Artículo 3(2) te alcanza, si tu procesamiento es genuinamente ocasional, y si eres una autoridad pública. Todo lo demás — dónde están tus servidores, si tienes un DPO, si se aplica una decisión de adecuación — es ruido que se ha argumentado y perdido.
Estados Unidos reino unido India China Hong Kong Canadá Australia Brasil
Responderlas fuera de orden es cómo las empresas se convencen de que están exentas. La regulación pregunta primero sobre el establecimiento, y solo luego sobre lo que haces.
| Pregunta | Lo que cuenta | Qué no |
|---|---|---|
| ¿Establecido en la Unión? | Una oficina, personal, actividad efectiva y real a través de acuerdos estables. | Una región en la nube, un almacén 3PL, un revendedor, un buzón. |
| ¿Se alcanzó el Artículo 3(2)? | Moneda de la UE, idioma, envío, anuncios dirigidos, dominios de la UE. | Solo accesible desde la Unión |
| ¿Procesamiento ocasional? | Un evento único sin registros retenidos | Una base de datos de clientes, historial de pedidos, un boletín |
| ¿Autoridad pública? | Organismos públicos bajo el Artículo 27(2)(b) | Empresas privadas de cualquier tamaño |
Cada uno de estos ha sido argumentado por una empresa que luego pagó por ello. Vale la pena leerlos como advertencias en lugar de como teoría.
El Requisito de representante de la UE no se satisface eligiendo un proveedor. Se satisface con un documento con cinco propiedades.
Para nombrar un representante de la UE necesitas un mandato firmado por ambas partes. Un proveedor que no ha contrafirmado no es tu representante, sea lo que sea lo que diga tu sitio web.
Artículo 27(3). Dentro del grupo de países donde se encuentran tus usuarios, la elección es tuya.
El Artículo 13(1)(a) requiere la identidad del representante en su aviso de privacidad. Una designación no publicada no protege a nadie.
El representante mantiene el registro de actividades de procesamiento disponible para las autoridades, que es la parte que la mayoría de los clientes primerizos nunca han preparado.
Una dirección que responda. Las solicitudes que llegan a un buzón muerto se tratan como solicitudes que no lograste manejar.
La aplicación que involucra el Artículo 27 rara vez comienza con el Artículo 27. Comienza con una queja sobre algo más, y el representante faltante se descubre mientras se abre el expediente.
| Cómo comienza | ¿Qué se verifica? | ¿Qué suele faltar? |
|---|---|---|
| Una solicitud de acceso de un interesado ignorada | A quién debería haber llegado la solicitud | No hay punto de contacto dentro de la Unión |
| Una queja sobre cookies o rastreadores | El aviso de privacidad | No hay representante nombrado bajo el Artículo 13(1)(a) |
| Una notificación de violación de datos | Registros del Artículo 30 | No se mantienen registros en ninguna parte de la Unión |
| Una revisión de adquisiciones o auditoría | La designación en sí | Un documento no firmado o no verificable |
Suele ser una empresa de SaaS o comercio electrónico que asumió que una región en la nube de la UE era suficiente, y que un DPO en el organigrama cubría el resto.
Post-Brexit, un tercer país como cualquier otro. Necesita un representante de la UE, y sus clientes de la UE a menudo no son conscientes de que la situación ha cambiado.
Exportadores de servicios que procesan en nombre de clientes de la UE. Procesadores, por lo que el Artículo 27 se aplica a ellos directamente en lugar de a través de sus clientes.
Vendedores de bienes de consumo. Casi siempre necesitan el Artículo 16 también, y descubren ambos al mismo tiempo cuando un mercado los bloquea.
Fuera de la Unión. Necesita la designación de la UE para sus clientes de la UE, además de un acuerdo suizo separado que ningún proveedor de la UE puede proporcionar.
El Artículo 27 y el Artículo 30 juntos definen el trabajo, y es más estrecho y concreto de lo que la mayoría de los clientes primerizos espera.
| Deber | ¿De dónde proviene? | En la práctica |
|---|---|---|
| Actuar como punto de contacto | Artículo 27(4) | Las autoridades y los interesados en datos se dirigen al representante además de, o en lugar de, a ti. |
| Mantener el registro de procesamiento | Artículo 30(1) y 30(2) | El registro se mantiene y se pone a disposición de las autoridades a solicitud. |
| Cooperar con las autoridades de supervisión | Artículo 31 | Las solicitudes se responden, registran y reenvían a ti el mismo día hábil. |
| Ser accesible en el idioma correcto | Práctica, no texto | Ocho idiomas, para que una queja no se convierta en una segunda queja. |
Nombre registrado, número y dirección en tu propio país. Sin apostilla, sin notarización, sin traducción.
Alguien capaz de vincular a la empresa. Un director o un funcionario; un gerente de marketing será cuestionado más tarde.
Lo que recopilas, de quién en la Unión, por qué y quién más lo toca. Una página es suficiente y se convierte en tu registro del Artículo 30.
Un buzón en tu extremo que realmente se lee, porque todo lo que la oficina recibe se reenvía allí.
Así que la identidad publicada del representante puede ser verificada contra la designación.
Las empresas que esperan un proceso de incorporación de un mes suelen pensar en una certificación. Esto es una designación: un formulario, una contrafirma, un párrafo publicado.
No. El considerando 22 pide actividad efectiva y real a través de arreglos estables. Alquilar infraestructura no es eso, y el argumento ha sido presentado y rechazado.
No. Un DPO te asesora bajo el Artículo 37. Un representante es un punto de contacto dentro de la Unión bajo el Artículo 27. Roles diferentes, ambos posiblemente requeridos.
Solo una designación por escrito, firmada por una entidad establecida en la Unión, crea un representante. Una relación comercial no lo hace, por más cercana que sea.
No hay un umbral. Una lista de clientes más un historial de pedidos más un boletín es procesamiento continuo y falla el Artículo 27(2)(a) inmediatamente, incluso en volúmenes pequeños.
No. La adecuación rige las transferencias. No tiene efecto sobre el Artículo 27, y las empresas en países adecuados designan en exactamente los mismos términos.
El Artículo 83(4)(a) lo coloca en el nivel de hasta 10 millones de euros o el 2% de la facturación anual mundial, y su ausencia se trata regularmente como un factor agravante en otros procedimientos.
Puede ser una persona física o jurídica establecida en la Unión, pero las autoridades y los clientes empresariales esperan una empresa con un registro verificable detrás de ella.
Dentro de las 24 horas de un formulario de incorporación completado. El certificado y el código de verificación se emiten al mismo tiempo, por lo que puedes enviar prueba a un cliente el mismo día.
No. Una designación cubre a los interesados en los 27. Lo que rige el Artículo 27(3) es dónde está establecido el propio representante.
La designación firmada, el aviso de privacidad que muestra al representante bajo el Artículo 13(1)(a), y el registro de actividades de procesamiento bajo el Artículo 30. Esos tres, en ese orden.
Si una entidad del grupo establecida en la Unión realiza el procesamiento como controlador, el análisis cambia por completo. Si simplemente existe mientras la matriz no perteneciente a la UE decide todo, la matriz aún necesita un representante.
No para esto. La obligación se activa al ofrecer servicios o monitorear el comportamiento, no por cuánto tiempo mantienes los datos después.
Es la misma idea en un estatuto separado. Servir a ambos territorios significa dos designaciones, una establecida en la Unión y una en el Reino Unido.
Relacionado: la versión corta de esta prueba · una filial en lugar de un representante
Europe Services, SE en Praga, activa desde 2018, como tu representante del Artículo 27 en los 27 Estados miembros, con un certificado que lleva un código de verificación y un escritorio de solicitudes en ocho idiomas.
Ver los planes