Twee verplichtingen, één veelvoorkomende verwarring
U hoorde dat u een EU-vertegenwoordiger nodig hebt. Welke van de twee?
Twee Europese regels vragen een onderneming buiten de Unie om iemand binnen de Unie aan te wijzen. In de e-mail van een marktplaats of een klant klinken ze hetzelfde, en ze zijn niet uitwisselbaar. De ene gaat over de persoonsgegevens die u verwerkt. De andere over de goederen die u verzendt. Veel bedrijven hebben beide nodig en kopen er één.
De grens ertussen
De eenvoudigste test is wat de grens oversteekt. Bereikt Europa informatie over mensen — een e-mailadres, een bestelgeschiedenis, een IP-adres — dan zit u in artikel 27. Bereikt Europa een doos, dan zit u in artikel 16. Een webshop die waterkokers naar Duitsland stuurt, doet beide tegelijk: hij verzamelt het adres van de koper en brengt een waterkoker in de handel.
| Artikel 27 AVG | Artikel 16 GPSR | |
|---|---|---|
| Wat wordt beschermd | Persoonsgegevens van mensen in de EU | Veiligheid van consumentenproducten die in de EU worden verkocht |
| Wie moet aanwijzen | Verwerkingsverantwoordelijken en verwerkers buiten de EU die zich op mensen hier richten of hen volgen | Fabrikanten, importeurs en verkopers die non-food consumentenproducten in de EU in de handel brengen |
| Waar de naam staat | In de privacyverklaring, en op verzoek bij toezichthouders | Op het product, de verpakking, het pakket of in de handleiding |
| Wie er aanklopt | Gegevensbeschermingsautoriteiten en individuele personen | Markttoezichtautoriteiten, douane, marktplaatsen |
| Wat voor u wordt bewaard | Het register van verwerkingsactiviteiten | De conformiteitsverklaring en de technische documentatie |
| Typische aanleiding | Een inzageverzoek of een klacht | Een geblokkeerde aanbieding of goederen die vastzitten |
| Hoe het in de praktijk misgaat | Een boete, meestal na een klacht | De aanbieding verdwijnt, voordat iemand u schrijft |
| Onze prijs | Vanaf € 290 per jaar | Vanaf € 190 per jaar |
Welke op u van toepassing is
Vier vragen beslissen het in minder dan een minuut. Beantwoord ze voor uw eigen bedrijf, niet voor dat van uw leverancier.
Alleen ja bij de gegevens
Software, apps, bureaus, marktplaatsen, alles wat als download of als toegang wordt verkocht. U hebt artikel 27 nodig en verder niets — tot u iets in een doos gaat versturen.
Alleen ja bij de goederen
Zeldzaam, maar het bestaat: een fabrikant die verkoopt aan EU-groothandels die elke klant zelf bedienen. U hebt artikel 16 nodig. Zodra u zelf aan consumenten verkoopt, wordt de eerste vraag ook ja.
Wat elk van beide werkelijk doet als er iets gebeurt
Een vertegenwoordiger wordt beoordeeld op de dag dat er een brief komt, niet op de dag dat u tekent. De twee rollen gedragen zich onder druk anders, en dat te weten vertelt u of een aanbieder echt is.
Artikel 27, dag één
Iemand vraagt een kopie van zijn gegevens, of een toezichthouder stuurt een klacht door. De vertegenwoordiger bevestigt, waarschuwt u en houdt het verwerkingsregister beschikbaar. De termijn is één maand, en het is uw antwoord dat telt — de vertegenwoordiger draagt het.
Artikel 16, dag één
Een autoriteit vraagt de conformiteitsverklaring, of een marktplaats schort een aanbieding op. De verantwoordelijke persoon overhandigt de documentatie, meldt risico's aan de autoriteit en werkt mee aan corrigerende maatregelen. De termijn wordt door de autoriteit gesteld, en is kort.
De fout die het meest kost
Er één kopen en aannemen dat die de andere dekt. Het gebeurt op een specifieke manier: een bedrijf wijst een artikel 27-vertegenwoordiger aan voor zijn webshop, publiceert de naam in de privacyverklaring en beschouwt Europa als geregeld. Twee jaar later vraagt een marktplaats om de verantwoordelijke persoon onder de productveiligheidsregels, de privacynaam past niet in dat veld, en binnen een week gaan alle aanbiedingen uit.
Het omgekeerde gebeurt ook. Een fabrikant koopt een verantwoordelijke persoon omdat Amazon dat eiste, en krijgt vervolgens een gegevensverzoek van een Europese klant zonder dat daarvoor iemand is aangewezen.
Vragen die ons vóór de aankoop bereiken
Kan dezelfde vennootschap beide rollen vervullen?
Ja, en meestal is het goedkoper. Wij vervullen beide onder aparte schriftelijke mandaten, omdat de verplichtingen apart zijn: de ene noemt ons bij toezichthouders, de andere op uw verpakking. Ons Multi-pakket dekt artikel 27 en artikel 16 samen.
Dekt een UK-vertegenwoordiger de EU?
Nee. De UK GDPR-vertegenwoordiger antwoordt de ICO voor het Verenigd Koninkrijk, en de EU-vertegenwoordiger de Europese toezichthouders. Wie in beide verkoopt heeft er twee nodig, en geen van beide vervangt de rol voor productveiligheid.
We hebben al een advocaat in Europa. Is dat genoeg?
Alleen als hij het mandaat schriftelijk aanvaardt en zijn naam en adres worden gepubliceerd waar de regel dat eist. Een opdracht is geen aanwijzing. Onder artikel 16 moet de naam op het product zelf staan, waar de meeste kantoren niet mee akkoord gaan.
Is de vertegenwoordiger aansprakelijk voor ons?
Onder artikel 27 is de vertegenwoordiger een contactpunt, en de verplichtingen van de AVG blijven de uwe. Onder artikel 16 heeft de verantwoordelijke persoon eigen plichten — documentatie bewaren, meewerken, risico's melden — maar de veiligheid van het product blijft die van de fabrikant.
Wat bewijst dat de aanwijzing echt is?
Een code die oplost in een openbaar register, voor de ogen van degene die het vraagt. De onze wordt groen zolang het mandaat loopt en rood op het moment dat het vervalt, voor beide rollen. Een PDF bewijst alleen dat er een PDF bestaat.
Ontdek in een minuut welke u nodig hebt
Stuur ons één productaanbieding of één privacyverklaring. Wij zeggen u helder welke verplichting geldt, kosteloos en zonder koopverplichting.
Artikel 16 — productveiligheid Artikel 27 — persoonsgegevens