Due obblighi, una confusione ricorrente
Ti hanno detto che serve un rappresentante UE. Quale dei due?
Due norme europee chiedono a un'azienda fuori dall'Unione di nominare qualcuno al suo interno. Nell'email di un marketplace o di un cliente sembrano identiche, e non sono intercambiabili. Una riguarda i dati personali che tratti. L'altra riguarda le merci che spedisci. Molte aziende hanno bisogno di entrambe, e ne comprano una sola.
La linea che li separa
La prova più semplice è cosa attraversa il confine. Se ciò che arriva in Europa sono informazioni su persone — un indirizzo email, uno storico ordini, un indirizzo IP — sei nel campo dell'articolo 27. Se ciò che arriva è una scatola, sei nel campo dell'articolo 16. Un negozio online che spedisce bollitori in Germania fa entrambe le cose insieme: raccoglie l'indirizzo di chi compra e immette un bollitore sul mercato.
| Articolo 27 GDPR | Articolo 16 GPSR | |
|---|---|---|
| Cosa protegge | I dati personali delle persone nell'UE | La sicurezza dei prodotti di consumo venduti nell'UE |
| Chi deve nominarlo | Titolari e responsabili fuori dall'UE che si rivolgono a persone qui o le monitorano | Fabbricanti, importatori e venditori che immettono beni di consumo non alimentari sul mercato UE |
| Dove compare il nome | Nell'informativa privacy, e su richiesta alle autorità | Sul prodotto, sulla confezione, sul collo o nelle istruzioni |
| Chi si fa vivo | Le autorità per la protezione dei dati, e le persone | Le autorità di vigilanza del mercato, le dogane, i marketplace |
| Cosa custodiamo per te | Il registro dei trattamenti | La dichiarazione di conformità e la documentazione tecnica |
| Innesco tipico | Una richiesta di accesso, o un reclamo | Un annuncio bloccato, o merce ferma in dogana |
| Come si fallisce in pratica | Una sanzione, di solito dopo un reclamo | L'annuncio sparisce, prima che qualcuno ti scriva |
| Il nostro prezzo | Da 290 € l'anno | Da 190 € l'anno |
Quale si applica a te
Quattro domande risolvono la questione in meno di un minuto. Rispondi pensando alla tua azienda, non a quella del tuo fornitore.
Hai risposto sì solo sui dati
Software, app, agenzie, marketplace, tutto ciò che si vende come download o come accesso. Ti serve l'articolo 27 e nient'altro — finché non inizi a spedire qualcosa in una scatola.
Hai risposto sì solo sulle merci
Raro, ma esiste: un fabbricante che vende a grossisti UE i quali gestiscono direttamente ogni cliente. Ti serve l'articolo 16. Nel momento in cui vendi tu ai consumatori, anche la prima domanda diventa sì.
Cosa fa davvero ciascuno quando succede qualcosa
Un rappresentante si giudica il giorno in cui arriva una lettera, non il giorno della firma. I due ruoli si comportano diversamente sotto pressione, e saperlo è ciò che ti dice se un fornitore è serio.
Articolo 27, primo giorno
Una persona chiede copia dei suoi dati, o un'autorità inoltra un reclamo. Il rappresentante prende in carico, ti avvisa e tiene disponibile il registro dei trattamenti. Il termine è di un mese, e a contare è la tua risposta — il rappresentante la porta.
Articolo 16, primo giorno
Un'autorità chiede la dichiarazione di conformità, o un marketplace sospende un annuncio. La persona responsabile consegna la documentazione, informa l'autorità di eventuali rischi e collabora alle azioni correttive. Il termine lo fissa l'autorità, ed è breve.
L'errore che costa di più
Comprarne uno e dare per scontato che copra l'altro. Succede in modo preciso: un'azienda nomina un rappresentante art. 27 per il suo negozio online, pubblica il nome nell'informativa e considera l'Europa sistemata. Due anni dopo un marketplace chiede la persona responsabile ai sensi delle regole sulla sicurezza dei prodotti, il nome della privacy non va bene in quel campo, e in una settimana tutti gli annunci si spengono.
Capita anche il contrario. Un fabbricante compra una persona responsabile perché Amazon l'ha preteso, poi riceve una richiesta sui dati da un cliente europeo e non ha nessuno nominato per quella.
Domande che ci arrivano prima dell'acquisto
La stessa società può ricoprire entrambi i ruoli?
Sì, e di solito costa meno. Li ricopriamo entrambi con mandati scritti distinti, perché gli obblighi sono distinti: uno ci indica alle autorità di controllo, l'altro ci indica sulla tua confezione. Il nostro piano Multi copre articolo 27 e articolo 16 insieme.
Un rappresentante UK copre l'Unione?
No. Il rappresentante UK GDPR risponde all'ICO per il Regno Unito, quello UE risponde alle autorità europee. Chi vende in entrambi ne ha bisogno di due, e nessuno dei due sostituisce il ruolo sulla sicurezza dei prodotti.
Abbiamo già un avvocato in Europa. Basta?
Solo se accetta il mandato per iscritto e il suo nome e indirizzo sono pubblicati dove la norma lo richiede. Un incarico non è una nomina. Con l'articolo 16 il nome deve stare sul prodotto stesso, cosa che quasi nessuno studio legale accetta.
Il rappresentante risponde per noi?
Con l'articolo 27 il rappresentante è un punto di contatto, e gli obblighi del GDPR restano tuoi. Con l'articolo 16 la persona responsabile ha doveri propri — custodire la documentazione, collaborare, segnalare i rischi — ma la sicurezza del prodotto resta del fabbricante.
Cosa dimostra che la nomina è reale?
Un codice che risolve su un registro pubblico davanti a chi lo chiede. Il nostro diventa verde finché il mandato è attivo e rosso nel momento in cui decade, per entrambi i ruoli. Un PDF dimostra solo che esiste un PDF.
Scopri in un minuto quale ti serve
Mandaci un annuncio di prodotto o un'informativa privacy. Ti diremo con chiarezza quale obbligo si applica, senza costi e senza impegno.
Articolo 16 — sicurezza dei prodotti Articolo 27 — dati personali