REP27 · Ho bisogno di uno
Articolo 3(2) · Articolo 27 GDPR
Quattro domande lo decidono, e nessuna di esse riguarda le dimensioni, il fatturato o quanti clienti europei hai. Il test è territoriale: dove è stabilita la tua azienda e se ciò che fai raggiunge persone all'interno dell'Unione. Leggi il diagramma, poi leggi perché l'esenzione in fondo si applica quasi mai.
Stabilimento significa un'attività reale ed efficace attraverso disposizioni stabili — non dove la tua azienda è registrata sulla carta, e non dove si trovano i tuoi server.
Un'azienda incorporata nel Delaware con un ufficio vendite a Dublino è stabilita nell'Unione e non ha bisogno di un rappresentante. Un'azienda incorporata in Irlanda la cui intera operazione si svolge da São Paulo potrebbe comunque essere coinvolta. Il considerando 22 è esplicito che la forma legale non è decisiva: un singolo agente con sufficiente stabilità può costituire uno stabilimento, mentre una targa non può.
Se non hai filiali, sussidiarie, uffici o personale permanente in uno Stato Membro, considerati come al di fuori e passa alla domanda due.
Non "hai clienti nell'UE" — "la tua offerta è rivolta a loro". L'intenzione è ciò che conta, e viene giudicata sulla base di prove.
Il considerando 23 elenca i segnali: utilizzare una lingua o una valuta di uno Stato Membro, menzionare clienti o utenti nell'Unione, offrire spedizioni a indirizzi europei, gestire un dominio specifico per l'UE, acquistare pubblicità mirata a pubblici europei. Qualsiasi di questi rende l'offerta diretta. Un singolo ordine non sollecitato da un cliente belga su un sito in lingua inglese con prezzi in dollari, senza opzione di spedizione nell'UE, non lo fa.
L'offerta non deve essere pagata. Un'app gratuita, una prova gratuita, una newsletter gratuita e uno strumento web gratuito sono tutti servizi in questo senso.
Questo è l'aspetto che la maggior parte delle aziende ignora, perché coinvolge le attività che non vendono nulla in Europa.
Il considerando 24 definisce il monitoraggio come il tracciamento delle persone su internet e poi il loro profiling, in particolare per prendere decisioni o prevedere preferenze e comportamenti. In pratica, ciò include pixel pubblicitari, pubblici di remarketing, analisi cross-site con identificatori utente, registrazione delle sessioni e heatmap, personalizzazione basata su cookie e SDK delle app che riportano l'uso a te.
L'Articolo 27(2)(a) esenta il trattamento che è occasionale, non include dati di categoria speciale o criminali su larga scala e è improbabile che comporti un rischio per i diritti e le libertà. Tutte e tre le condizioni devono sussistere insieme.
| Situazione | Occasionale? | Esente? |
|---|---|---|
| Negozio online con un database clienti | No — continuo | No |
| Prodotto SaaS con utenti UE | No — continuo | No |
| Sito web che esegue analisi sui visitatori UE | No — continuo | No |
| Newsletter con abbonati europei | No — archiviazione continua | No |
| Scansione di un badge per conferenza una tantum, eliminato dopo l'evento | Sì | Possibilmente |
Le linee guida dell'EDPB 3/2018 leggono "occasionale" in modo restrittivo: il trattamento che non viene effettuato regolarmente e avviene al di fuori del normale corso degli affari. Qualsiasi cosa presente in un CRM per design fallisce.
Incompatibile secondo le linee guida dell'EDPB 3/2018. Il DPO deve essere indipendente; il rappresentante agisce secondo le tue istruzioni.
Possibile in teoria, ma un conflitto in pratica: il tuo processore non può rispondere credibilmente a un'autorità riguardo alla tua conformità.
Una casella postale o un ufficio virtuale senza nessuno designato non è una designazione. L'Articolo 27(1) richiede una parte che accetti il ruolo per iscritto.
Il rappresentante deve essere stabilito in uno Stato membro dove si trovano i tuoi soggetti interessati. Dopo la Brexit, una società del Regno Unito non può rappresentarti nell'UE.
No. L'Articolo 27(1) richiede una designazione per iscritto che nomini un'entità specifica stabilita nell'Unione. Un paragrafo che afferma che sei conforme al GDPR non nomina nessuno, quindi non c'è rappresentante e nessun punto di contatto per i soggetti interessati.
Può. L'Articolo 3(2)(b) copre il monitoraggio del comportamento, e le analisi, i pixel pubblicitari, la registrazione delle sessioni e il remarketing rivolti a persone nell'Unione contano tutti. Non vendere nulla non ti esenta se stai profilando visitatori europei.
Chiunque sia stabilito nell'Unione può essere designato, inclusi uno studio legale o un distributore, a condizione che accettino il mandato per iscritto. In pratica, la maggior parte rifiuta: il ruolo comporta un'esposizione diretta alle autorità di controllo e richiede di detenere il tuo registro dell'Articolo 30.
No. Le linee guida dell'EDPB 3/2018 affermano che i due ruoli sono incompatibili, perché il DPO deve agire in modo indipendente mentre il rappresentante agisce secondo le istruzioni del titolare. Un ente non può ricoprire entrambi i ruoli.
Fino a €10 milioni o il 2% del fatturato annuo mondiale, a seconda di quale sia maggiore, ai sensi dell'Articolo 83(4)(a). È un'infrazione autonoma: le autorità hanno multato le aziende per la mancanza di designazione da sole, senza alcuna violazione dei dati sottostante.
No, e questa è la lettura errata più comune. L'adeguatezza regola se i dati possono essere trasferiti nel tuo paese senza ulteriori garanzie. L'Articolo 27 regola se qualcuno all'interno dell'Unione può essere contattato. Giappone, Regno Unito, Canada e Svizzera hanno tutti l'adeguatezza e le loro aziende hanno ancora bisogno di un rappresentante.
Raramente. L'Articolo 27(2)(a) richiede che il trattamento sia occasionale, a basso rischio, privo di dati di categoria speciale e improbabile che comporti un rischio per i diritti e le libertà — tutti e quattro contemporaneamente. Un negozio con un database clienti, una newsletter o analisi fallisce già la prima condizione.
Sì, se ti rivolgi a persone nel Regno Unito. Dal 2021 il Regno Unito GDPR è un regime separato con il proprio regolatore, e un rappresentante stabilito in uno Stato membro non ha legittimazione davanti a esso. Le due designazioni vengono emesse separatamente.
Correlati: quanto costa un rappresentante ai sensi dell'Articolo 27 · persona responsabile GPSR per i venditori Amazon
Abbiamo letto la tua informativa sulla privacy pubblica e ti diciamo in dieci secondi se un rappresentante è già nominato. Se uno è, lo diciamo e chiudi la scheda.
Esegui il controllo gratuito Vedi i prezzi