REP27 · Articolo 27 · SEE
Accordo EEA · Articolo 27 RGPD · trenta paesi
La maggior parte dei fornitori ti vende l'Unione. Il GDPR è stato incorporato nell'Accordo EEA nel luglio 2018, il che significa che Islanda, Norvegia e Liechtenstein lo applicano come propria legge e la tua designazione ai sensi dell'Articolo 27 raggiunge i soggetti interessati lì senza un secondo contratto. Questa è la buona notizia, ed è utile averla per iscritto. La parte che costa denaro alle persone è l'errore opposto: assumere che la stessa designazione si estenda al Regno Unito, alla Svizzera o alla Turchia. Non è così, e nessuna formulazione può cambiarlo.
UE 27IslandaNorvegiaLiechtenstein DatatilsynetPersónuvernd Una designazione
La parola "Europa" sta causando molti danni nei documenti di conformità. Ci sono tre gruppi distinti, seguono statuti diversi, e una designazione scritta per uno non vale nulla negli altri.
Islanda, Norvegia e Liechtenstein non sono Stati Membri. Partecipano al mercato interno attraverso l'Accordo EEA, e gli atti dell'Unione pertinenti a quel mercato sono incorporati in esso per decisione del Comitato Congiunto EEA. Il GDPR è stato incorporato il 6 luglio 2018 ed è entrato in vigore per i tre stati il 20 luglio 2018.
Il regolamento si applica lì come legge nazionale piuttosto che direttamente, ma gli obblighi sono identici. L'articolo 27 è identico a Reykjavik come a Roma.
Datatilsynet in Norvegia, Persónuvernd in Islanda e la Datenschutzstelle in Liechtenstein supervisionano i loro territori e possono scrivere al tuo rappresentante.
Il meccanismo di coerenza funziona in modo diverso per gli Stati EEA, e un titolare al di fuori dell'Unione non ha alcuna autorità principale in ogni caso.
L'articolo 27(3) richiede l'istituzione in uno Stato membro dove si trovano i tuoi interessati. Nulla richiede un rappresentante separato a Oslo.
La richiesta viene registrata e inoltrata a te lo stesso giorno lavorativo, in norvegese se è così che è arrivata. Nulla cambia nella procedura perché il mittente è al di fuori dell'Unione.
Il rappresentante li detiene e li rende disponibili. Questa è la parte che i clienti alle prime armi non hanno mai preparato, ed è la parte che le autorità chiedono per prima.
Se l'informativa nomina solo "l'Unione Europea", concludono ragionevolmente che il punto di contatto non è per loro. Nominare l'EEA rimuove il dubbio e la lamentela che ne deriva.
Chiedono la designazione e un modo per verificarla. Un certificato con un codice di verifica risolve la questione senza uno scambio di email.
Questa è la sezione da stampare. Ogni riga sottostante è un'appuntamento separato con un fornitore separato, e nessuna designazione ai sensi dell'Articolo 27 raggiunge nessuno di essi.
| Territorio | Legge applicabile | Cosa richiede da un'azienda straniera |
|---|---|---|
| Regno Unito | GDPR del Regno Unito | Un rappresentante stabilito nel Regno Unito. Il nostro è REP27 LTD, numero di registrazione 17385889 |
| Svizzera | L'Atto Federale Rivisto sulla Protezione dei Dati | Un rappresentante svizzero per determinati titolari; nessun fornitore dell'UE può agire |
| Turchia | KVKK | Registrazione VERBIS e un rappresentante locale, non correlato all'articolo 27 |
| Serbia, Albania, Macedonia del Nord | Leggi nazionali modellate sul GDPR | Rappresentanza locale dove la legge nazionale lo richiede |
| Andorra, Monaco, San Marino | Diritto nazionale, adeguatezza in alcuni casi | Le preoccupazioni di adeguatezza riguardano i trasferimenti, non la rappresentanza |
L'Articolo 13(1)(a) richiede che l'identità e i dettagli di contatto del rappresentante siano forniti ai soggetti interessati. La formulazione sottostante è ciò che forniamo, e il motivo per cui è strutturata in questo modo è che un lettore a Bergen non dovrebbe doverla interpretare.
Un paragrafo che nomina Europe Services, SE, l'indirizzo di Praga, l'email di richiesta e le parole "Area Economica Europea", tradotto nelle lingue in cui pubblichi.
Perché è più restrittiva della tua copertura, e un interessato norvegese che la legge ha motivi per dire di non essere stato informato su chi contattare.
Nell'informativa sulla privacy stessa, non nei termini di vendita e non solo in un banner sui cookie. Le autorità guardano all'informativa.
Nominare un rappresentante che non hai nominato per iscritto. Un accordo non firmato pubblicato come fatto è peggio del silenzio.
La teoria è stabilita; ciò che i clienti chiedono è cosa succede il giorno. La sequenza sottostante è quella che abbiamo eseguito, ed è identica che l'autorità si trovi in uno stato EEA o in uno Stato Membro.
| Fase | Cosa arriva | Cosa fa il rappresentante |
|---|---|---|
| 1 | Una lettera o un'email all'indirizzo pubblicato nella tua informativa sulla privacy | Registrato il giorno in cui arriva, con un riferimento che l'autorità può citare |
| 2 | Una richiesta per il registro delle attività di trattamento | Il registro dell'articolo 30 che possediamo è prodotto entro la scadenza |
| 3 | Domande su un soggetto dati specifico | Inoltrato a te lo stesso giorno lavorativo; la risposta sostanziale rimane tua |
| 4 | Una scadenza, di solito breve | Riconosciuto immediatamente, il che previene un'escalation solo sulla procedura |
| 5 | Follow-up o chiusura | Archiviato con la designazione, in modo che un audit successivo veda un percorso completo |
Il modo di errore che vediamo nelle aziende che hanno nominato un fornitore economico è il silenzio al primo passo. Un indirizzo che nessuno legge produce un riscontro di non cooperazione, che è più pesante della lamentela originale e più facile da dimostrare.
Se la designazione dice solo "Unione Europea", chiedi che venga riemessa. Non costa nulla correggerlo ora ed è scomodo spiegarlo dopo.
Un PDF dimostra che esiste un PDF. Un certificato con un codice verificabile su una pagina pubblica è ciò che l'approvvigionamento aziendale e le autorità accettano.
Un interessato può scrivere nella propria lingua. Un ufficio che risponde solo in inglese trasforma una richiesta di routine in un reclamo sull'accessibilità.
Chiedi il prezzo di rinnovo prima della prima fattura. Il nostro è inferiore al prezzo di ingresso; diversi fornitori si muovono nella direzione opposta.
Sì. Il regolamento è stato incorporato nell'Accordo EEA nel luglio 2018 e si applica nei tre stati come legge nazionale. Il testo dell'Articolo 27 è lo stesso di quello dell'Unione.
Sì, per i soggetti interessati in quei trenta. Ciò che conta ai sensi dell'Articolo 27(3) è che il rappresentante sia stabilito in uno Stato Membro dove si trovano i tuoi soggetti interessati; nulla richiede un ufficio anche a Oslo.
Può. Ogni autorità dell'EEA supervisiona il proprio territorio e può contattare il rappresentante come punto di contatto, in aggiunta o invece di te.
No. È uscito dall'Unione nel 2020 e dall'Accordo EEA con essa. I soggetti interessati del Regno Unito sono coperti dal UK GDPR, che richiede un rappresentante separato stabilito nel Regno Unito.
No. La Svizzera non è nell'EEA. La legge federale riveduta sulla protezione dei dati si applica lì e richiede un rappresentante svizzero in casi definiti; nessun fornitore stabilito nell'UE può svolgere quel ruolo.
Fuori da entrambi. La legge turca richiede la registrazione VERBIS e, per i controllori stranieri, un rappresentante locale. L'unione doganale tra la Turchia e l'Unione non influisce affatto sulla protezione dei dati.
EEA, quando la tua copertura è a livello EEA. Nominare solo l'Unione sottovaluta la questione e dà a un soggetto interessato norvegese o islandese un motivo per dire che non è stato informato su chi contattare.
No. L'articolo 27 richiede una sola designazione. I fornitori che vendono rappresentanza per paese all'interno dell'EEA stanno vendendo qualcosa che il regolamento non richiede.
Qualunque sia la scelta del soggetto interessato. In pratica vediamo norvegese, islandese, inglese e tedesco per questi tre stati; il desk risponde in otto lingue.
No. La sicurezza dei prodotti è un regolamento separato con il proprio responsabile ai sensi dell'articolo 16. Un'azienda che spedisce beni fisici di solito ha bisogno di entrambi.
L'articolo 3(2) non ha soglia. Se offri beni o servizi a loro o monitori il loro comportamento, l'obbligo esiste indipendentemente da quanti siano.
Solo se quel distributore è stabilito nell'Unione o nell'EEA e ha firmato una designazione accettando il ruolo. Una relazione commerciale non è un'appuntamento.
Il contrario. Una designazione effettuata prima del 2021 copre l'Unione e l'EEA, e ha smesso di coprire il Regno Unito quando è uscito. La maggior parte delle aziende scopre questo durante un audit.
Entro 24 ore da un modulo completato: designazione firmata, certificato con un codice di verifica e il paragrafo dell'informativa sulla privacy pronto per la pubblicazione.
No. È la stessa designazione allo stesso prezzo, a partire da €290 all'anno. La copertura deriva dall'Accordo EEA, non da un'aggiunta.
Le decisioni di incorporazione vengono pubblicate e hanno effetto a una data stabilita. Se un atto futuro cambia la posizione, la designazione viene modificata e riemessa anziché sostituita.
Correlati: quale Stato Membro designare in · coprendo anche il Regno Unito
Europe Services, SE a Praga come tuo rappresentante ai sensi dell'Articolo 27 per l'intera Area Economica Europea, nominato entro 24 ore, con un certificato verificabile e un desk di richiesta in otto lingue.
Vedi i piani