Rappresentante del UK GDPR per le aziende al di fuori del Regno Unito

• UK GDPR, Article 27
• Data Protection Act 2018
• Privacy and Electronic Communications Regulations 2003

Chi deve nominarlo

Qualsiasi titolare del trattamento o responsabile del trattamento non stabilito nel Regno Unito che offre beni o servizi a persone nel Regno Unito o monitora il loro comportamento lì. Dalla Brexit, questo include le aziende stabilite nell'Unione Europea, che è il punto che la maggior parte delle aziende UE ignora: un'azienda stabilita nell'UE non copre il Regno Unito, e un'azienda stabilita nel Regno Unito non copre l'UE.

Soglie ed esenzioni

L'esenzione rispecchia quella dell'UE ed è altrettanto ristretta: trattamento occasionale, nessun dato di categoria speciale o di reato su larga scala, e improbabile che comporti un rischio. L'analisi regolare sui visitatori del Regno Unito non si qualifica. Le autorità pubbliche sono esenti.

Cosa deve comparire in etichetta

L'identità e i dettagli di contatto del rappresentante devono essere forniti ai soggetti interessati nell'informativa sulla privacy, allo stesso modo di quanto previsto dal GDPR dell'UE, e devono essere facilmente accessibili all'Ufficio del Commissario per le Informazioni.

Campi sui marketplace

I marketplace e gli acquirenti aziendali orientati al Regno Unito richiedono il rappresentante del Regno Unito nella due diligence. È anche la prima cosa che l'ICO cerca quando gestisce un reclamo su un'azienda senza stabilimento nel Regno Unito.

Documentazione da tenere

La designazione scritta. Il registro delle attività di trattamento relative al trattamento nel Regno Unito, che il rappresentante deve mantenere e rendere disponibile all'ICO. Documentazione di trasferimento, che dalla Brexit significa l'Accordo sul Trasferimento Internazionale dei Dati del Regno Unito o l'Addendum del Regno Unito alle clausole standard dell'UE, non solo le clausole dell'UE.

Norme e prove

Non applicabile. Ciò che viene valutato è la documentazione e la capacità di rispondere all'ICO e ai soggetti interessati.

Requisiti linguistici

Inglese.

Da quando si applica

Prima che il trattamento che attiva la giurisdizione del Regno Unito inizi. Nominare dopo un reclamo non sana il periodo precedente.

Per quanto si conservano i documenti

La designazione e i registri di trattamento nel Regno Unito per la durata della rappresentanza più la prova del periodo coperto.

Cosa succede se non sei in regola

Fino a £17,5 milioni o il 4% del fatturato globale ai sensi del regime del Regno Unito. L'ICO è stata meno aggressiva rispetto a diverse autorità dell'UE riguardo al requisito del rappresentante specificamente, ma considera l'assenza come un fattore aggravante quando indaga su qualsiasi altra cosa.

Chi controlla

L'Ufficio del Commissario per le Informazioni.

Dove passa il confine

Sono necessarie due nomine separate per coprire entrambi i territori, e un fornitore può detenere entrambe ma deve essere designato separatamente per ciascuna. Il Regno Unito diverge anche nei dettagli: la documentazione di trasferimento è diversa, le regole sui cookie sono applicate dall'ICO ai sensi del PECR, e il Regno Unito ha il proprio codice di design appropriato per l'età per i servizi che potrebbero essere accessibili ai bambini.

Le domande che ci fanno

Siamo un'azienda dell'UE — abbiamo bisogno di un rappresentante nel Regno Unito?

Se targetizzate utenti nel Regno Unito o monitorate il loro comportamento e non avete uno stabilimento nel Regno Unito, sì. La Brexit ha reso il Regno Unito un paese terzo per questo scopo, in entrambe le direzioni.

Il rappresentante dell'UE può anche agire per il Regno Unito?

Lo stesso fornitore può, ma la designazione deve essere effettuata separatamente ai sensi del UK GDPR e il rappresentante deve essere stabilito nel Regno Unito.