UK GDPR vertegenwoordiger voor bedrijven buiten het VK

• UK GDPR, Article 27
• Data Protection Act 2018
• Privacy and Electronic Communications Regulations 2003

Wie moet aanwijzen

Elke verwerkingsverantwoordelijke of verwerker die niet is gevestigd in het Verenigd Koninkrijk en goederen of diensten aanbiedt aan mensen in het VK of hun gedrag daar volgt. Sinds de Brexit omvat dit bedrijven die zijn gevestigd in de Europese Unie, wat het punt is dat de meeste EU-bedrijven missen: een EU-vestiging dekt het VK niet, en een VK-vestiging dekt de EU niet.

Drempels en vrijstellingen

De vrijstelling weerspiegelt de EU-vrijstelling en is even smal: incidentele verwerking, geen grootschalige gegevens van speciale categorieën of strafbare feiten, en onwaarschijnlijk dat dit leidt tot een risico. Regelmatige analyses van VK-bezoekers kwalificeren niet. Publieke autoriteiten zijn vrijgesteld.

Wat op het etiket moet

De identiteit en contactgegevens van de vertegenwoordiger moeten aan de betrokkenen worden gegeven in de privacyverklaring, op dezelfde manier als onder de EU GDPR, en moeten gemakkelijk toegankelijk zijn voor het Information Commissioner's Office.

Marktplaatsvelden

VK-gerichte marktplaatsen en zakelijke kopers vragen om de VK-vertegenwoordiger in de due diligence. Het is ook het eerste waar het ICO naar kijkt bij het behandelen van een klacht over een bedrijf zonder VK-vestiging.

Documentatie die u moet bewaren

De schriftelijke aanstelling. Het register van verwerkingsactiviteiten met betrekking tot VK-verwerking, dat de vertegenwoordiger moet bijhouden en beschikbaar moet stellen aan het ICO. Overdrachtsdocumentatie, die sinds de Brexit betekent de UK International Data Transfer Agreement of de UK Addendum op de EU-standaardclausules, niet alleen de EU-clausules.

Normen en tests

Niet van toepassing. Wat wordt beoordeeld is documentatie en het vermogen om te antwoorden aan het ICO en de betrokkenen.

Taalvereisten

Engels.

Vanaf wanneer

Voordat de verwerking die de VK-jurisdictie activeert begint. Aanstelling na een klacht verhelpt de eerdere periode niet.

Bewaartermijn

De aanstelling en de VK-verwerkingsrecords voor de duur van de vertegenwoordiging plus bewijs van de gedekte periode.

Bij niet-naleving

Tot £17,5 miljoen of 4% van de wereldwijde omzet onder het VK-regime. Het ICO is minder agressief geweest dan verschillende EU-autoriteiten met betrekking tot de vertegenwoordigerseis specifiek, maar beschouwt de afwezigheid als een verzwarende factor bij het onderzoeken van iets anders.

Wie handhaaft

Het Information Commissioner's Office.

Waar de grens ligt

Twee afzonderlijke aanstellingen zijn nodig om beide gebieden te dekken, en één aanbieder kan beide aanhouden maar moet afzonderlijk worden aangesteld voor elk. Het VK wijkt ook in detail af: de overdrachtsdocumentatie verschilt, de cookie-regels worden gehandhaafd door het ICO onder PECR, en het VK heeft zijn eigen leeftijdsappropriate ontwerpcodes voor diensten die waarschijnlijk door kinderen worden benaderd.

Veelgestelde vragen

Wij zijn een EU-bedrijf — hebben we een VK-vertegenwoordiger nodig?

Als je VK-gebruikers target of hun gedrag volgt en geen VK-vestiging hebt, ja. De Brexit heeft het VK voor dit doel tot een derde land gemaakt, in beide richtingen.

Kan de EU-vertegenwoordiger ook voor het VK optreden?

Dezelfde aanbieder kan dat, maar de aanstelling moet afzonderlijk worden gedaan onder de UK GDPR en de vertegenwoordiger moet zijn gevestigd in het Verenigd Koninkrijk.