REP27 · Ne abbiamo bisogno? · Aziende non UE
Articolo 3(2) · Articolo 27(1) · Articolo 27(2)
La domanda viene risposta da quattro test, nell'ordine in cui il regolamento li stabilisce, e la risposta quasi mai dipende dall'industria o dalla dimensione dell'azienda. Dipende dal fatto che un Rappresentante GDPR per un'azienda non UE è richiesto in assoluto: se sei stabilito nell'Unione, se l'Articolo 3(2) ti raggiunge, se il tuo trattamento è genuinamente occasionale e se sei un'autorità pubblica. Tutto il resto — dove si trovano i tuoi server, se hai un DPO, se si applica una decisione di adeguatezza — è rumore che è stato argomentato e perso.
Stati Uniti Regno Unito IndiaCinaHong KongCanadaAustraliaBrasile
Rispondere a queste domande in ordine sbagliato è come le aziende si convincono di essere esenti. Il regolamento chiede prima dell'istituzione, e solo dopo di cosa fai.
| Domanda | Cosa conta | Cosa non inizia |
|---|---|---|
| Stabilito nell'Unione? | Un ufficio, personale, attività efficace e reale attraverso accordi stabili. | Una regione cloud, un magazzino 3PL, un rivenditore, una casella di posta. |
| Articolo 3(2) raggiunto? | Valuta UE, lingua, spedizioni, pubblicità mirate, domini UE. | Essere semplicemente accessibile dall'Unione |
| Trattamento occasionale? | Un evento unico senza registrazioni conservate | Un database clienti, la cronologia degli ordini, una newsletter |
| Autorità pubblica? | Enti pubblici ai sensi dell'Articolo 27(2)(b) | Aziende private di qualsiasi dimensione |
Ognuno di questi è stato sostenuto da un'azienda che in seguito ha pagato per esso. Valgono la pena di essere letti come avvertimenti piuttosto che come teoria.
Il Requisito di rappresentanza nell'UE non è soddisfatta dalla scelta di un fornitore. È soddisfatta da un documento con cinque proprietà.
Per nominare un rappresentante UE hai bisogno di un mandato firmato da entrambe le parti. Un fornitore che non ha controfirmato non è il tuo rappresentante, qualunque cosa dica il tuo sito web.
L'Articolo 27(3). All'interno del gruppo di paesi in cui si trovano i tuoi utenti, la scelta è tua.
L'Articolo 13(1)(a) richiede l'identità del rappresentante nel tuo avviso sulla privacy. Una designazione non pubblicata non protegge nessuno.
Il rappresentante tiene il registro delle attività di trattamento disponibile per le autorità, che è la parte che la maggior parte dei clienti alle prime armi non ha mai preparato.
Un indirizzo che risponde. Le richieste che arrivano a una casella di posta morta sono trattate come richieste che non sei riuscito a gestire.
L'applicazione dell'Articolo 27 raramente inizia con l'Articolo 27. Inizia con un reclamo su qualcos'altro, e il rappresentante mancante viene scoperto mentre il fascicolo viene aperto.
| Come inizia | Cosa viene controllato | Cosa manca di solito |
|---|---|---|
| Una richiesta di accesso da parte di un soggetto interessato ignorata | Chi avrebbe dovuto ricevere la richiesta | Punto di contatto assente all'interno dell'Unione |
| Un reclamo relativo ai cookie o ai tracker | La nota informativa sulla privacy | Nessun rappresentante nominato ai sensi dell'Articolo 13(1)(a) |
| Una notifica di violazione dei dati | Registri dell'Articolo 30 | Nessun record conservato in nessun luogo nell'Unione |
| Una revisione degli appalti o degli audit | La designazione stessa | Un documento non firmato o non verificabile |
Solitamente un'azienda SaaS o di e-commerce che assumeva che una regione cloud UE fosse sufficiente, e che un DPO nell'organigramma coprisse il resto.
Dopo la Brexit, un paese terzo come qualsiasi altro. Ha bisogno di un rappresentante UE, e i suoi clienti UE spesso non sono a conoscenza del cambiamento di posizione.
Esportatori di servizi che trattano per conto di clienti UE. Processori, quindi l'Articolo 27 si applica direttamente a loro piuttosto che attraverso i loro clienti.
Venditori di beni di consumo. Hanno quasi sempre bisogno anche dell'Articolo 16 e scoprono entrambi contemporaneamente quando un marketplace li blocca.
Fuori dall'Unione. Ha bisogno della designazione UE per i suoi clienti UE, più un accordo separato con la Svizzera che nessun fornitore UE può fornire.
L'Articolo 27 e l'Articolo 30 insieme definiscono il lavoro, ed è più ristretto e concreto di quanto la maggior parte dei clienti alle prime armi si aspetti.
| Dovere | Da dove proviene | In pratica |
|---|---|---|
| Agire come punto di contatto | Articolo 27(4) | Le autorità e i soggetti interessati si rivolgono al rappresentante oltre a, o invece di, te. |
| Mantenere il registro del trattamento | Articolo 30(1) e 30(2) | Il registro è conservato e reso disponibile alle autorità su richiesta. |
| Collaborare con le autorità di controllo | Articolo 31 | Le richieste vengono risposte, registrate e inoltrate a te lo stesso giorno lavorativo. |
| Essere raggiungibile nella lingua giusta | Pratica, non testo | Otto lingue, affinché un reclamo non diventi un secondo reclamo. |
Nome registrato, numero e indirizzo nel tuo paese. Nessuna apostille, nessuna notarizzazione, nessuna traduzione.
Qualcuno in grado di vincolare l'azienda. Un direttore o un funzionario; un responsabile marketing sarà interrogato in seguito.
Cosa raccogli, da chi nell'Unione, perché e chi altro lo tocca. Una pagina è sufficiente e diventa il tuo registro ai sensi dell'Articolo 30.
Una casella di posta da parte tua che viene effettivamente letta, perché tutto ciò che la scrivania riceve viene inoltrato lì.
Così l'identità pubblicata del rappresentante può essere verificata rispetto alla designazione.
Le aziende che si aspettano un onboarding di un mese stanno solitamente pensando a una certificazione. Questa è una designazione: un modulo, una controfirma, un paragrafo pubblicato.
No. Il considerando 22 richiede attività efficace e reale attraverso disposizioni stabili. Affittare infrastrutture non è questo, e l'argomento è stato presentato e respinto.
No. Un DPO ti consiglia ai sensi dell'Articolo 37. Un rappresentante è un punto di contatto all'interno dell'Unione ai sensi dell'Articolo 27. Ruoli diversi, entrambi possibilmente richiesti.
Solo una designazione scritta, firmata da un'entità stabilita nell'Unione, crea un rappresentante. Una relazione commerciale non lo fa, per quanto sia stretta.
Non c'è una soglia. Un elenco clienti più una cronologia ordini più una newsletter è un trattamento continuo e fallisce immediatamente l'Articolo 27(2)(a), anche a volumi ridotti.
No. L'adeguatezza regola i trasferimenti. Non ha effetto sull'Articolo 27, e le aziende nei paesi adeguati designano alle stesse condizioni.
L'Articolo 83(4)(a) lo colloca nella fascia fino a €10 milioni o 2% del fatturato annuale globale, e la sua assenza è regolarmente trattata come un fattore aggravante in altre procedure.
Può essere una persona fisica o giuridica stabilita nell'Unione, ma le autorità e i clienti aziendali si aspettano un'azienda con una registrazione verificabile alle spalle.
Entro 24 ore dalla compilazione di un modulo di onboarding. Il certificato e il codice di verifica vengono emessi contemporaneamente, quindi puoi inviare la prova a un cliente lo stesso giorno.
No. Una designazione copre i soggetti interessati in tutti e 27. Ciò che regola l'Articolo 27(3) è dove è stabilito il rappresentante stesso.
La designazione firmata, l'informativa sulla privacy che mostra il rappresentante ai sensi dell'Articolo 13(1)(a), e il registro delle attività di trattamento ai sensi dell'Articolo 30. Questi tre, in quest'ordine.
Se un'entità del gruppo stabilita nell'Unione svolge il trattamento come titolare, l'analisi cambia completamente. Se esiste semplicemente mentre la casa madre non UE decide tutto, la casa madre ha comunque bisogno di un rappresentante.
Non per questo. L'obbligo è attivato dall'offerta di servizi o dal monitoraggio del comportamento, non da quanto a lungo conservi i dati successivamente.
È la stessa idea in un atto separato. Servire entrambi i territori significa due designazioni, una stabilita nell'Unione e una nel Regno Unito.
Correlati: La versione breve di questo test · Una filiale invece di un rappresentante
Europe Services, SE a Praga, attiva dal 2018, come tuo rappresentante ai sensi dell'Articolo 27 in tutti e 27 gli Stati Membri, con un certificato che porta un codice di verifica e un desk di richiesta in otto lingue.
Vedi i piani