REP27 · Article 27 · EEE
Accord EEE · Article 27 RGPD · trente pays
La plupart des fournisseurs vous vendent l'Union. Le RGPD a été incorporé dans l'Accord EEE en juillet 2018, ce qui signifie que l'Islande, la Norvège et le Liechtenstein l'appliquent comme leur propre loi et votre désignation de l'article 27 atteint les personnes concernées là-bas sans un second contrat. C'est la bonne nouvelle, et cela vaut la peine d'être écrit. La partie qui coûte de l'argent aux gens est l'erreur opposée : supposer que la même désignation s'étend au Royaume-Uni, à la Suisse ou à la Turquie. Ce n'est pas le cas, et aucun libellé ne peut le rendre.
UE 27 Islande Norvège Liechtenstein Datatilsynet Persónuvernd Une désignation
Le mot "Europe" cause beaucoup de dommages dans les documents de conformité. Il y a trois groupes distincts, ils suivent des statuts différents, et une désignation écrite pour l'un ne vaut rien dans les autres.
L'Islande, la Norvège et le Liechtenstein ne sont pas des États membres. Ils participent au marché intérieur par le biais de l'Accord EEE, et les actes de l'Union pertinents pour ce marché y sont incorporés par décision du Comité mixte EEE. Le RGPD a été incorporé le 6 juillet 2018 et est entré en vigueur pour les trois États le 20 juillet 2018.
Le règlement s'applique là comme droit national plutôt que directement, mais les obligations sont identiques. L'article 27 se lit de la même manière à Reykjavik qu'à Rome.
Datatilsynet en Norvège, Persónuvernd en Islande et la Datenschutzstelle au Liechtenstein supervisent leurs territoires et peuvent écrire à votre représentant.
Le mécanisme de cohérence fonctionne différemment pour les États de l'EEE, et un responsable en dehors de l'Union n'a aucune autorité principale dans tous les cas.
L'article 27(3) demande un établissement dans un État membre où se trouvent vos sujets de données. Rien n'exige un représentant séparé à Oslo.
La demande est enregistrée et vous est transmise le même jour ouvrable, en norvégien si c'est ainsi qu'elle est arrivée. Rien dans la procédure ne change parce que l'expéditeur est en dehors de l'Union.
Le représentant les détient et les rend disponibles. C'est la partie que les clients de première fois n'ont jamais préparée, et c'est la partie que les autorités demandent en premier.
Si l'avis ne mentionne que "l'Union européenne", elles concluent raisonnablement que le point de contact n'est pas pour elles. Nommer l'EEE élimine le doute et la plainte qui s'ensuit.
Ils demandent la désignation et un moyen de la vérifier. Un certificat avec un code de vérification règle cela sans échange d'emails.
C'est la section qui vaut la peine d'être imprimée. Chaque ligne ci-dessous est une nomination distincte avec un fournisseur distinct, et aucune désignation de l'article 27 n'atteint aucun d'eux.
| Territoire | Droit applicable | Ce qu'elle exige d'une entreprise étrangère |
|---|---|---|
| Royaume-Uni | RGPD britannique | Un représentant établi au Royaume-Uni. Le nôtre est REP27 LTD, numéro d'entreprise 17385889 |
| Suisse | Loi fédérale révisée sur la protection des données | Un représentant suisse pour certains responsables ; aucun fournisseur de l'UE ne peut agir |
| Turquie | KVKK | Enregistrement VERBIS et un représentant local, sans lien avec l'article 27 |
| Serbie, Albanie, Macédoine du Nord | Lois nationales inspirées du RGPD | Représentation locale là où la loi nationale l'exige |
| Andorre, Monaco, Saint-Marin | Droit national, adéquation dans certains cas | Les préoccupations d'adéquation concernent les transferts, pas la représentation |
L'article 13(1)(a) exige que l'identité et les coordonnées du représentant soient fournies aux personnes concernées. Le libellé ci-dessous est ce que nous fournissons, et la raison de sa forme est qu'un lecteur à Bergen ne devrait pas avoir à l'interpréter.
Un paragraphe mentionnant Europe Services, SE, l'adresse de Prague, l'email de demande et les mots "Espace économique européen", traduit dans les langues que vous publiez.
Parce qu'elle est plus étroite que votre couverture, et un sujet de données norvégien la lisant a des raisons de dire qu'il n'a pas été informé de qui contacter.
Dans l'avis de confidentialité lui-même, pas dans les conditions de vente et pas seulement dans une bannière de cookies. Les autorités examinent l'avis.
Désigner un représentant que vous n'avez pas nommé par écrit. Un arrangement non signé publié comme un fait est pire que le silence.
La théorie est établie ; ce que les clients demandent, c'est ce qui se passe le jour même. La séquence ci-dessous est celle que nous avons exécutée, et elle est identique que l'autorité soit située dans un État de l'EEE ou un État membre.
| Étape | Ce qui arrive | Ce que fait le représentant |
|---|---|---|
| 1 | Une lettre ou un email à l'adresse publiée dans votre avis de confidentialité | Enregistré le jour de son arrivée, avec une référence que l'autorité peut citer |
| 2 | Une demande pour le registre des activités de traitement | Le registre de l'article 30 que nous détenons est produit dans les délais |
| 3 | Questions sur un sujet de données spécifique | Transmis à vous le même jour ouvrable ; la réponse substantielle reste la vôtre |
| 4 | Une échéance, généralement courte | Reconnu immédiatement, ce qui empêche une escalade sur la procédure seule |
| 5 | Suivi ou clôture | Déposé avec la désignation, de sorte qu'un audit ultérieur voit une trace complète |
Le mode de défaillance que nous voyons dans les entreprises qui ont nommé un fournisseur bon marché est le silence à l'étape un. Une adresse que personne ne lit produit une constatation de non-coopération, qui est plus lourde que la plainte initiale et plus facile à prouver.
Si la désignation dit "Union Européenne" seulement, demandez à ce qu'elle soit réémise. Cela ne coûte rien de corriger maintenant et est gênant à expliquer plus tard.
Un PDF prouve qu'un PDF existe. Un certificat avec un code vérifiable sur une page publique est ce que l'approvisionnement des entreprises et les autorités acceptent.
Un sujet de données peut écrire dans sa propre langue. Un bureau qui répond uniquement en anglais transforme une demande routinière en une plainte concernant l'accessibilité.
Demandez le prix de renouvellement avant la première facture. Le nôtre est inférieur au prix d'entrée ; plusieurs fournisseurs vont dans l'autre sens.
Oui. Le règlement a été incorporé dans l'Accord EEE en juillet 2018 et s'applique dans les trois États en tant que droit national. Le texte de l'article 27 est le même que dans l'Union.
Oui, pour les personnes concernées dans ces trente. Ce qui compte en vertu de l'article 27(3) est que le représentant soit établi dans un État membre où se trouvent vos personnes concernées ; rien n'exige un bureau à Oslo également.
Oui. Chaque autorité de l'EEE supervise son propre territoire et peut s'adresser au représentant comme point de contact, en plus ou à la place de vous.
Non. Il a quitté l'Union en 2020 et l'Accord EEE avec lui. Les personnes concernées au Royaume-Uni sont couvertes par le RGPD britannique, qui exige un représentant séparé établi au Royaume-Uni.
Non. La Suisse n'est pas dans l'EEE. La loi fédérale révisée sur la protection des données s'applique là-bas et demande un représentant suisse dans des cas définis ; aucun fournisseur établi dans l'UE ne peut jouer ce rôle.
En dehors des deux. La loi turque exige l'enregistrement VERBIS et, pour les contrôleurs étrangers, un représentant local. L'union douanière entre la Turquie et l'Union n'affecte pas du tout la protection des données.
EEE, lorsque votre couverture est à l'échelle de l'EEE. Ne mentionner que l'Union sous-estime cela et donne à une personne concernée norvégienne ou islandaise une raison de dire qu'elle n'a pas été informée à qui s'adresser.
Non. L'article 27 demande une seule désignation. Les fournisseurs vendant une représentation par pays à l'intérieur de l'EEE vendent quelque chose que le règlement ne demande pas.
Quelle que soit celle choisie par la personne concernée. En pratique, nous voyons du norvégien, de l'islandais, de l'anglais et de l'allemand pour ces trois États ; le bureau répond en huit langues.
Non. La sécurité des produits est un règlement distinct avec sa propre personne responsable en vertu de l'article 16. Une entreprise expédiant des biens physiques a généralement besoin des deux.
L'article 3(2) n'a pas de seuil. Si vous offrez des biens ou des services à eux ou surveillez leur comportement, l'obligation existe peu importe combien ils sont.
Seulement si ce distributeur est établi dans l'Union ou l'EEE et a signé une désignation acceptant le rôle. Une relation commerciale n'est pas une nomination.
Le contraire. Une désignation faite avant 2021 couvre l'Union et l'EEE, et a cessé de couvrir le Royaume-Uni lorsqu'il est parti. La plupart des entreprises découvrent cela lors d'un audit.
Dans les 24 heures suivant un formulaire complété : désignation signée, certificat avec un code de vérification, et le paragraphe de l'avis de confidentialité prêt à être publié.
Non. C'est la même désignation au même prix, à partir de 290 € par an. La couverture provient de l'accord EEE, pas d'un supplément.
Les décisions d'incorporation sont publiées et prennent effet à une date indiquée. Si un acte futur change la position, la désignation est modifiée et réémise plutôt que remplacée.
Connexe : quel État membre désigner dans · couvrant également le Royaume-Uni
Europe Services, SE à Prague en tant que votre représentant de l'article 27 pour l'ensemble de l'Espace économique européen, nommé dans les 24 heures, avec un certificat vérifiable et un bureau de demande en huit langues.
Voir les plans