Websites, apps en SaaS die mensen in de EU bereiken

• Regulation (EU) 2016/679 — GDPR, Article 27
• EDPB Guidelines 3/2018 on the territorial scope
• Directive 2002/58/EC — ePrivacy, for cookies and tracking

Wie moet aanwijzen

Elke verwerkingsverantwoordelijke of verwerker die niet in de Unie is gevestigd en wiens verwerking valt onder Artikel 3(2): het aanbieden van goederen of diensten aan betrokkenen in de Unie, al dan niet tegen betaling, of het monitoren van hun gedrag binnen de Unie. Aanbod wordt beoordeeld op intentie, aangetoond door zaken zoals prijzen in euro's, een EU-taal, EU-leveringsopties, EU-gerichte advertenties of het noemen van lidstaten. Monitoring omvat analytics, advertentiecookies, gedragsprofilering, A/B-testen en device fingerprinting van gebruikers die zich in de Unie bevinden. Verwerkers vallen op zichzelf onder deze regeling: een Amerikaanse hostingmaatschappij die namens een EU-klant verwerkt, heeft een eigen vertegenwoordiger nodig als Artikel 3(2) op haar van toepassing is.

Drempels en vrijstellingen

Er is geen omzet-, personeels- of volumedrempel. De enige uitzondering, in Artikel 27(2), is smal en cumulatief: de verwerking moet incidenteel zijn, mag geen grootschalige verwerking van gegevens van bijzondere categorieën of gegevens over strafbare feiten omvatten, en moet onwaarschijnlijk zijn dat het een risico voor rechten en vrijheden met zich meebrengt. Regelmatige website-analyse van EU-bezoekers is niet incidenteel, dus in de praktijk geldt de uitzondering bijna nooit voor een operationeel bedrijf. Publieke autoriteiten en instanties zijn afzonderlijk vrijgesteld.

Wat op het etiket moet

Geen fysiek label. De verplichting is transparantie: de identiteit en contactgegevens van de vertegenwoordiger moeten aan betrokkenen worden gegeven onder Artikelen 13 en 14, wat in de praktijk betekent dat er een duidelijk geïdentificeerd paragraf in de privacyverklaring moet zijn met de naam van de vertegenwoordiger, postadres en contactkanaal, en een verklaring dat betrokkenen de vertegenwoordiger kunnen benaderen over alle kwesties met betrekking tot verwerking. Het verbergen in een PDF of alleen een generiek e-mailadres noemen is wat autoriteiten bekritiseren.

Marktplaatsvelden

App-winkels vereisen een privacycontact en verschillende controleren nu of er een EU-vertegenwoordiger is aangewezen wanneer de ontwikkelaar buiten de Unie is. Inkoopvragenlijsten voor bedrijven en beveiligingsbeoordelingen vragen routinematig om de aanwijzing, en het ontbreken ervan vertraagt deals. Sommige marktplaatsen zijn begonnen met het verifiëren van het certificaat tegen het openbare register van de aanbieder.

Documentatie die u moet bewaren

De schriftelijke aanwijzing of mandaat, waarin de reikwijdte van de vertegenwoordiging en de gedekte verwerking wordt gedefinieerd. De registraties van verwerkingsactiviteiten onder Artikel 30, die de vertegenwoordiger moet bijhouden en op verzoek aan de toezichthoudende autoriteit moet verstrekken — dit is het document waar autoriteiten als eerste om vragen, en het ontbreken ervan is een afzonderlijke inbreuk. Bewijs van het overdrachtsmechanisme waar gegevens de Unie verlaten, zoals de standaardcontractclausules onder Besluit (EU) 2021/914 met een overdrachtsimpactbeoordeling. De privacyverklaring zoals gepubliceerd, gedateerd.

Normen en tests

Niet van toepassing in de zin van producttesten. Wat in plaats daarvan wordt beoordeeld, is documentatie en aantoonbare verantwoordelijkheid: of het register van verwerking nauwkeurig is, of de juridische bases standhouden, of toestemming voor cookies is verzameld voordat de tracking begon, en of verzoeken van betrokkenen binnen een maand worden beantwoord.

Taalvereisten

Artikel 12 vereist dat informatie in duidelijke en eenvoudige taal wordt verstrekt, en de EDPB verwacht dat de vertegenwoordiger in staat is om te communiceren met betrokkenen en autoriteiten in de taal van de lidstaten waar de betrokkenen zich bevinden. Een bureau dat alleen in het Engels antwoordt, is een zwakte waar het aanbod zich richt op bijvoorbeeld Frankrijk, Duitsland of Polen.

Vanaf wanneer

De aanwijzing moet zijn gedaan voordat de verwerking die Artikel 3(2) activeert, begint. Het aanstellen van een vertegenwoordiger na een klacht herstelt de eerdere periode niet, en toezichthoudende autoriteiten hebben boetes opgelegd specifiek voor de periode waarin er geen vertegenwoordiger bestond. Verzoeken van betrokkenen die door de vertegenwoordiger zijn doorgestuurd, lopen op de klok van Artikel 12(3): één maand vanaf ontvangst door de verwerkingsverantwoordelijke, verlengbaar met twee maanden voor complexe verzoeken als de betrokkene binnen de eerste maand wordt geïnformeerd.

Bewaartermijn

De aanwijzing en de registraties van Artikel 30 zolang de vertegenwoordiging duurt, plus bewijs van de periode die daarna gedekt is, omdat een latere enquête zal vragen wanneer het mandaat begon en eindigde. Registraties van ontvangen en doorgestuurde verzoeken moeten worden bewaard als bewijs dat de vertegenwoordiger zijn werk deed.

Bij niet-naleving

Tot €10 miljoen of 2% van de totale wereldwijde jaarlijkse omzet voor het niet aanwijzen. De EDPB beschouwt het ontbreken van een vertegenwoordiger als een inbreuk op zichzelf, onafhankelijk van enige andere schending, en verschillende autoriteiten hebben op basis daarvan alleen al boetes opgelegd. Naast de boete is de praktische blootstelling dat een klacht over iets anders — cookies, een verzoek van een betrokkene, een inbreuk — de ontbrekende aanwijzing onmiddellijk aan het licht brengt, omdat het eerste waar een autoriteit naar kijkt, is wie ze kan aanspreken.

Wie handhaaft

De toezichthoudende autoriteit van elke lidstaat waar de betrokkenen zich bevinden. Er is geen one-stop-shop voor verwerkingsverantwoordelijken buiten de Unie: elke van de 27 autoriteiten kan optreden, wat betekent dat een Franse klacht naar de CNIL gaat, een Duitse naar de relevante Landesbeauftragte, en beide kunnen parallel verdergaan.

Waar de grens ligt

Het aanstellen van een vertegenwoordiger voldoet aan één artikel; het maakt de rest van de verwerking niet rechtmatig, en het beschermt de verwerkingsverantwoordelijke niet, omdat Artikel 27(5) juridische acties tegen de verwerkingsverantwoordelijke zelf behoudt. Een vertegenwoordiger die in één lidstaat is gevestigd, dekt de hele Unie en de EER-staten IJsland, Noorwegen en Liechtenstein. Artikel 27 GDPR, Artikel 13 DSA, Artikel 16 GPSR en de CRA-vertegenwoordiger zijn vier afzonderlijke aanstellingen: het hebben van één voldoet niet aan de anderen, zelfs niet als dezelfde aanbieder ze allemaal heeft. Het VK vereist zijn eigen vertegenwoordiger onder de UK GDPR, sinds de Brexit, en een EU-aanwijzing dekt dit niet.

Veelgestelde vragen

Wordt de vertegenwoordiger aansprakelijk voor onze verwerking?

De vertegenwoordiger is het contactpunt en kan door autoriteiten en betrokkenen worden benaderd, naast of in plaats van de verwerkingsverantwoordelijke. De verantwoordelijkheid voor de verwerking zelf blijft bij de verwerkingsverantwoordelijke of verwerker onder Artikel 27(5). Waar de vertegenwoordiger direct verantwoordelijk voor is, is het bijhouden van het register van verwerking en het samenwerken met de autoriteit.

We hebben al een DPO — is dat genoeg?

Nee. Het zijn verschillende rollen met verschillende juridische bases. Een DPO adviseert en monitort intern en kan overal zijn; een vertegenwoordiger onder Artikel 27 moet in de Unie zijn gevestigd en bestaat zodat autoriteiten en betrokkenen daar iemand hebben om zich tot te wenden.

We gebruiken alleen Google Analytics voor EU-bezoekers — telt dat?

Ja. Het monitoren van het gedrag van betrokkenen in de Unie brengt je binnen Artikel 3(2), en analytics is het schoolvoorbeeld dat de EDPB geeft. Het brengt ook de vereiste voor toestemming onder de ePrivacy met zich mee, wat een aparte verplichting is van de GDPR.

Kan ons EU-advocatenkantoor of reseller als vertegenwoordiger optreden?

Iedereen die in de Unie is gevestigd kan dat, mits zij een schriftelijk mandaat accepteren en de rol daadwerkelijk kunnen vervullen: verzoeken ontvangen, de registraties van Artikel 30 bijhouden en samenwerken met autoriteiten. Het risico van een ad-hoc regeling is dat niemand de mailbox monitort wanneer een toezichthoudende autoriteit schrijft.