REP27 · Avons-nous besoin d'un · Entreprises non-UE
Article 3(2) · Article 27(1) · Article 27(2)
La question est répondue par quatre tests, dans l'ordre dans lequel le règlement les énonce, et la réponse ne dépend presque jamais de l'industrie ou de la taille de l'entreprise. Elle dépend de si un Représentant GDPR pour une entreprise non-UE est requis : si vous êtes établi dans l'Union, si l'article 3(2) vous atteint, si votre traitement est réellement occasionnel, et si vous êtes une autorité publique. Tout le reste — où se trouvent vos serveurs, si vous avez un DPO, si une décision d'adéquation s'applique — est du bruit qui a été argumenté et perdu.
États-Unis Royaume-Uni Inde Chine Hong Kong Canada Australie Bresil
Répondre hors d'ordre est la façon dont les entreprises se convainquent qu'elles sont exemptées. Le règlement demande d'abord à propos de l'établissement, et seulement ensuite à propos de ce que vous faites.
| Possibilité | Qu'est-ce qui compte | Qu'est-ce qui ne commence pas |
|---|---|---|
| Établi dans l'Union ? | Un bureau, du personnel, une activité efficace et réelle à travers des arrangements stables | Une région cloud, un entrepôt 3PL, un revendeur, une boîte aux lettres |
| Article 3(2) atteint ? | Monnaie de l'UE, langue, expédition, publicités ciblées, domaines de l'UE | Être simplement accessible depuis l'Union |
| Traitement occasionnel ? | Un événement unique sans enregistrements conservés | Une base de données clients, l'historique des commandes, une newsletter |
| Autorité publique ? | Organismes publics en vertu de l'article 27(2)(b) | Entreprises privées de toute taille |
Chacune de ces questions a été argumentée par une entreprise qui a ensuite payé pour cela. Elles valent la peine d'être lues comme des avertissements plutôt que comme une théorie.
Le Exigence de représentant de l'UEn'est pas satisfaite par le choix d'un fournisseur. Elle est satisfaite par un document avec cinq propriétés.
Pour nommer un représentant UE, vous avez besoin d'un mandat signé par les deux parties. Un fournisseur qui n'a pas contresigné n'est pas votre représentant, peu importe ce que dit votre site web.
L'article 27(3). Au sein du groupe de pays où se trouvent vos utilisateurs, le choix est le vôtre.
L'article 13(1)(a) exige l'identité du représentant dans votre avis de confidentialité. Une désignation non publiée ne protège personne.
Le représentant garde le registre des activités de traitement disponible pour les autorités, ce qui est la partie que la plupart des premiers clients n'ont jamais préparée.
Une adresse qui répond. Les demandes arrivant dans une boîte de réception morte sont considérées comme des demandes que vous n'avez pas réussi à traiter.
L'application de l'article 27 commence rarement par l'article 27. Elle commence par une plainte concernant autre chose, et le représentant manquant est découvert lors de l'ouverture du dossier.
| Comment cela commence | Qu'est-ce qui est vérifié | Qu'est-ce qui manque généralement |
|---|---|---|
| Une demande d'accès d'une personne concernée ignorée | À qui la demande aurait dû parvenir | Pas de point de contact à l'intérieur de l'Union |
| Une plainte concernant un cookie ou un traceur | L'avis de confidentialité | Aucun représentant nommé en vertu de l'article 13(1)(a) |
| Une notification de violation de données | Dossiers de l'article 30 | Aucun enregistrement détenu nulle part dans l'Union |
| Un examen de passation de marchés ou d'audit | La désignation elle-même | Un document non signé ou non vérifiable |
Généralement une entreprise SaaS ou de commerce électronique qui a supposé qu'une région cloud de l'UE suffisait, et qu'un DPO sur l'organigramme couvrait le reste.
Post-Brexit, un pays tiers comme un autre. Nécessite un représentant UE, et ses clients de l'UE sont souvent inconscients que la situation a changé.
Exportateurs de services traitant pour le compte de clients de l'UE. Processeurs, donc l'article 27 s'applique directement à eux plutôt que par l'intermédiaire de leurs clients.
Vendeurs de biens de consommation. Ont presque toujours besoin de l'Article 16 également, et découvrent les deux en même temps lorsque un marché les bloque.
En dehors de l'Union. Nécessite la désignation UE pour ses clients de l'UE, plus un arrangement séparé suisse qu'aucun fournisseur de l'UE ne peut fournir.
L'article 27 et l'article 30 définissent ensemble le travail, et il est plus étroit et plus concret que ce que la plupart des clients de première fois s'attendent.
| Devoir | D'où cela vient | Dans la pratique |
|---|---|---|
| Agir en tant que point de contact | Article 27(4) | Les autorités et les personnes concernées s'adressent au représentant en plus de, ou à la place de, vous. |
| Maintenir le registre des traitements | Article 30(1) et 30(2) | L'enregistrement est conservé et mis à disposition des autorités sur demande |
| Coopérer avec les autorités de contrôle | Article 31 | Les demandes sont répondues, enregistrées et transférées à vous le même jour ouvrable |
| Être joignable dans la bonne langue | Pratique, pas texte | Huit langues, afin qu'une plainte ne devienne pas une seconde plainte |
Nom enregistré, numéro et adresse dans votre propre pays. Pas d'apostille, pas de notarisation, pas de traduction.
Quelqu'un capable de lier l'entreprise. Un directeur ou un responsable ; un responsable marketing sera interrogé plus tard.
Qu'est-ce que vous collectez, de qui dans l'Union, pourquoi, et qui d'autre y touche. Une page suffit et cela devient votre enregistrement Article 30.
Une boîte de réception de votre côté qui est réellement lue, car tout ce que le bureau reçoit est transféré là.
Ainsi, l'identité publiée du représentant peut être vérifiée par rapport à la désignation.
Les entreprises s'attendant à un processus d'intégration d'un mois pensent généralement à une certification. Il s'agit d'une désignation : un formulaire, une contresignature, un paragraphe publié.
Non. Le considérant 22 demande une activité effective et réelle à travers des arrangements stables. Louer une infrastructure n'est pas cela, et l'argument a été avancé et rejeté.
Non. Un DPO vous conseille selon l'article 37. Un représentant est un point de contact à l'intérieur de l'Union selon l'article 27. Rôles différents, tous deux éventuellement requis.
Seule une désignation écrite, signée par une entité établie dans l'Union, crée un représentant. Une relation commerciale ne le fait pas, aussi proche soit-elle.
Il n'y a pas de seuil. Une liste de clients plus un historique de commandes plus une newsletter constitue un traitement continu et échoue immédiatement à l'article 27(2)(a), même à faibles volumes.
Non. L'adéquation régit les transferts. Cela n'a aucun effet sur l'article 27, et les entreprises dans des pays adéquats désignent dans exactement les mêmes conditions.
L'article 83(4)(a) le place dans la catégorie jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, et son absence est régulièrement considérée comme un facteur aggravant dans d'autres procédures.
Il peut s'agir d'une personne physique ou morale établie dans l'Union, mais les autorités et les clients entreprises s'attendent à une société avec une inscription vérifiable derrière elle.
Dans les 24 heures suivant un formulaire d'intégration complété. Le certificat et le code de vérification sont émis en même temps, vous pouvez donc envoyer une preuve à un client le même jour.
Non. Une désignation couvre les personnes concernées dans les 27. Ce que régit l'article 27(3) est l'endroit où le représentant lui-même est établi.
La désignation signée, l'avis de confidentialité montrant le représentant selon l'article 13(1)(a), et le registre des activités de traitement selon l'article 30. Ces trois, dans cet ordre.
Si une entité de groupe établie dans l'Union effectue le traitement en tant que responsable, l'analyse change complètement. Si elle existe simplement pendant que la société mère non-UE décide de tout, la mère a toujours besoin d'un représentant.
Pas pour cela. L'obligation est déclenchée par l'offre de services ou la surveillance du comportement, pas par la durée pendant laquelle vous conservez les données par la suite.
C'est la même idée dans un statut séparé. Servir les deux territoires signifie deux désignations, une établie dans l'Union et une au Royaume-Uni.
Connexe : la version courte de ce test · Une filiale au lieu d'un représentant
Europe Services, SE à Prague, active depuis 2018, en tant que votre représentant selon l'article 27 dans tous les 27 États membres, avec un certificat portant un code de vérification et un bureau de demande en huit langues.
Voir les plans