REP27 · Esecuzione
Articolo 83(4)(a) · Esecuzione
L'articolo 27 è insolito tra gli obblighi del GDPR: può essere verificato dall'esterno, in un browser, in circa dieci secondi. Non è necessario auditare i propri sistemi o leggere i propri contratti: o il tuo avviso sulla privacy nomina un'entità stabilita nell'Unione, o non lo fa. Questa visibilità è il motivo per cui la mancanza di designazione appare così spesso nell'esecuzione, e perché è trattata come una violazione a sé stante.
Questa è la ragione pratica per cui la formulazione sul tuo sito è importante tanto quanto il mandato che la sostiene. Una designazione che esiste ma non è pubblicata è invisibile esattamente alle persone per cui è stata creata.
L'articolo 83(2) elenca i fattori. Quattro di essi sono direttamente influenzati dalla rapidità con cui agisci.
| Fattore | Cosa significa qui |
|---|---|
| Natura e gravità | Se i soggetti interessati avevano qualche modo per contattarti |
| Durata | Quanto a lungo il trattamento è avvenuto senza una designazione in atto |
| Intenzionale o negligente | Se l'obbligo era noto e non affrontato |
| Passi mitigatori | Nominarci prontamente una volta identificati conta qui |
| Cooperazione | Rispondere attraverso un punto di contatto funzionante piuttosto che in silenzio |
| Violazioni precedenti | Se la stessa lacuna era stata sollevata prima |
Dalla nostra esperienza, il regolatore è raramente la prima conseguenza. Un acquirente europeo chiede il nome del rappresentante in un questionario di sicurezza, il campo torna vuoto e il file va all'ufficio legale. L'affare non muore — scivola, e lo scivolamento è misurato in trimestri.
Questo è l'argomento che persuade i team finanziari: non il tetto teorico ai sensi dell'articolo 83, ma il contratto che ha smesso di muoversi a causa di una riga mancante in un avviso sulla privacy.
Le autorità di vigilanza hanno risorse limitate e un ampio mandato. Ciò su cui possono agire a basso costo, lo fanno più spesso — e l'articolo 27 è la cosa più economica nel regolamento da verificare.
Stabilire se le misure di sicurezza di un'azienda siano appropriate ai sensi dell'articolo 32 richiede un'indagine, competenze tecniche e mesi. Stabilire se un avviso sulla privacy nomini un rappresentante stabilito nell'Unione richiede un browser e un minuto, in qualsiasi lingua, senza notificare nessuno. Un'autorità può esaminare cento siti web non UE che servono il suo mercato in un pomeriggio.
Questa asimmetria plasma l'esecuzione in un modo che vale la pena comprendere. La mancanza di designazione è raramente il motivo per cui inizia un'indagine, ma è molto spesso la prima cosa registrata una volta che è iniziata, perché è già stabilita prima che venga inviata la prima lettera. Colora anche tutto ciò che segue: un'azienda che non ha mai fornito un punto di contatto è più difficile da caratterizzare come diligente sugli altri fattori dell'articolo 83(2).
Il contrario è altrettanto vero. Una designazione pubblicata chiaramente, verificabile in modo indipendente e in atto fin dall'inizio, è la prova più economica di buona fede disponibile nell'intero regolamento.
Sì. L'articolo 83(4)(a) elenca l'articolo 27 tra le disposizioni la cui violazione attira il livello più basso di sanzioni, e le Linee guida EDPB 3/2018 affermano che l'assenza di una designazione è una violazione a sé stante. Non deve accompagnare una violazione dei dati o qualsiasi altro fallimento.
Fino a €10 milioni, o il 2% del fatturato annuo mondiale dell'anno finanziario precedente, a seconda di quale sia maggiore. Il fatturato è valutato a livello di gruppo, non per l'entità che ha firmato il contratto.
Sì. Diverse autorità di vigilanza hanno emesso sanzioni dove la mancanza del rappresentante era tra le violazioni riscontrate, ed è una constatazione standard nelle indagini su siti web non UE. È anche una delle cose più facili da stabilire per un'autorità: l'informativa sulla privacy è pubblica.
Di solito una denuncia da parte di un soggetto interessato che non riusciva a trovare nessuno a cui scrivere, o un controllo da parte di un'autorità che legge le informative sulla privacy nel proprio mercato. Entrambi partono da ciò che il tuo sito dice pubblicamente.
Ferma la violazione in corso, il che è importante: le autorità valutano la durata della violazione e i passi intrapresi. Non cancella il periodo durante il quale non esisteva alcuna designazione.
Per la maggior parte delle aziende il costo commerciale arriva prima. Gli acquirenti europei chiedono il rappresentante durante l'onboarding dei fornitori, e una risposta mancante blocca i contratti molto prima che qualsiasi autorità scriva.
Il tetto è proporzionato, poiché il 2% di un piccolo fatturato è un numero ridotto, ma l'alternativa di €10 milioni si applica dove è maggiore. Le autorità considerano anche la cooperazione e la durata, motivo per cui la nomina tempestiva è più importante della dimensione.
Designazione firmata entro 24 ore, con la formulazione di cui ha bisogno la tua informativa e un certificato che chiunque può verificare.
Nomina noi Controlla prima la tua informativa