REP27 · Aplicación
Artículo 83(4)(a) · Aplicación
El artículo 27 es inusual entre las obligaciones del GDPR: se puede verificar desde fuera, en un navegador, en unos diez segundos. No hay necesidad de auditar sus sistemas o leer sus contratos: o su aviso de privacidad nombra a una entidad establecida en la Unión, o no lo hace. Esa visibilidad es la razón por la que la falta de designación aparece tan a menudo en la aplicación, y por qué se trata como una infracción por sí sola.
Esta es la razón práctica por la que la redacción en su sitio importa tanto como el mandato detrás de ella. Una designación que existe pero no se publica es invisible exactamente para las personas para las que fue creada.
El artículo 83(2) enumera los factores. Cuatro de ellos se ven directamente afectados por la rapidez con la que actúe.
| Factor | Lo que significa aquí |
|---|---|
| Naturaleza y gravedad | Si los interesados en los datos tuvieron alguna forma de contactarlo |
| Duración | Cuánto tiempo se procesó sin una designación en su lugar |
| Intencional o negligente | Si la obligación era conocida y se dejó sin abordar |
| Pasos mitigantes | Nombrar rápidamente una vez identificado cuenta aquí |
| Cooperación | Responder a través de un punto de contacto operativo en lugar de en silencio |
| Infracciones anteriores | Si la misma falta se había planteado antes |
En nuestra experiencia, el regulador rara vez es la primera consecuencia. Un comprador empresarial europeo solicita el nombre del representante en un cuestionario de seguridad, el campo vuelve en blanco y el archivo va a legal. El trato no muere — se desliza, y el deslizamiento se mide en trimestres.
Ese es el argumento que persuade a los equipos financieros: no el techo teórico bajo el artículo 83, sino el contrato que dejó de moverse debido a una línea faltante en un aviso de privacidad.
Las autoridades de supervisión tienen recursos limitados y un gran mandato. Lo que pueden actuar de manera económica, lo actúan más a menudo — y el artículo 27 es lo más barato en la regulación para verificar.
Establecer si las medidas de seguridad de una empresa son apropiadas bajo el artículo 32 requiere una investigación, experiencia técnica y meses. Establecer si un aviso de privacidad nombra a un representante establecido en la Unión requiere un navegador y un minuto, en cualquier idioma, sin notificar a nadie. Una autoridad puede revisar cien sitios web no pertenecientes a la UE que sirven a su mercado en una tarde.
Esa asimetría da forma a la aplicación de una manera que vale la pena entender. La falta de designación rara vez es la razón por la que comienza una investigación, pero a menudo es lo primero que se registra una vez que se ha iniciado, porque ya está establecido antes de que se envíe la primera carta. También colorea todo lo que sigue: una empresa que nunca proporcionó un punto de contacto es más difícil de caracterizar como diligente en los otros factores del artículo 83(2).
Lo inverso también es cierto. Una designación publicada claramente, verificable de forma independiente y en su lugar desde el principio, es la evidencia más barata de buena fe disponible en toda la regulación.
Sí. El artículo 83(4)(a) enumera el artículo 27 entre las disposiciones cuya infracción atrae el nivel más bajo de multas, y las Directrices del EDPB 3/2018 afirman que la ausencia de una designación es una infracción por derecho propio. No necesita acompañar a una violación de datos o cualquier otro fallo.
Hasta €10 millones, o el 2% de la facturación anual mundial del año financiero anterior, lo que sea mayor. La facturación se evalúa a nivel de grupo, no para la entidad que firmó el contrato.
Sí. Varias autoridades de supervisión han impuesto sanciones donde la falta de representante estaba entre las infracciones encontradas, y es un hallazgo estándar en investigaciones de sitios web no pertenecientes a la UE. También es una de las cosas más fáciles de establecer para una autoridad: el aviso de privacidad es público.
Generalmente, una queja de un interesado que no pudo encontrar a nadie a quien escribir, o una revisión por parte de una autoridad que lee avisos de privacidad en su propio mercado. Ambas comienzan a partir de lo que dice públicamente su sitio.
Detiene la infracción en curso, lo cual es importante: las autoridades consideran la duración de la infracción y los pasos tomados. No borra el período durante el cual no existió ninguna designación.
Para la mayoría de las empresas, el costo comercial llega primero. Los compradores europeos piden el representante durante la incorporación del proveedor, y una respuesta faltante retrasa los contratos mucho antes de que cualquier autoridad escriba.
El límite es proporcional, ya que el 2% de una pequeña facturación es una cifra pequeña, pero la alternativa de €10 millones se aplica donde sea mayor. Las autoridades también consideran la cooperación y la duración, por lo que la pronta designación importa más que el tamaño.
Designación firmada en 24 horas, con la redacción que necesita su aviso y un certificado que cualquiera puede verificar.
Nombrarnos Verifique su aviso primero