REP27 · Hebben we er een nodig · Niet-EU bedrijven
Artikel 3(2) · Artikel 27(1) · Artikel 27(2)
De vraag wordt beantwoord door vier tests, in de volgorde die de verordening vastlegt, en het antwoord hangt bijna nooit af van de sector of de grootte van het bedrijf. Het hangt af van of een GDPR-vertegenwoordiger voor een niet-EU bedrijf is vereist: of je gevestigd bent in de Unie, of Artikel 3(2) jou bereikt, of jouw verwerking echt incidenteel is, en of je een openbare autoriteit bent. Alles wat daarbuiten valt — waar jouw servers zijn, of je een DPO hebt, of een adequaatheidsbesluit van toepassing is — is ruis die is betwist en verloren.
Verenigde Staten Verenigd Koninkrijk India China HongkongCanada AustraliëBrazilië
Hen in een andere volgorde beantwoorden is hoe bedrijven zichzelf overtuigen dat ze vrijgesteld zijn. De verordening vraagt eerst naar vestiging en pas daarna naar wat u doet.
| Vraag | Wat telt | Wat niet telt |
|---|---|---|
| Gesteld in de Unie? | Een kantoor, personeel, effectieve en reële activiteit door middel van stabiele regelingen. | Een cloudregio, een 3PL-magazijn, een wederverkoper, een postbus. |
| Artikel 3(2) bereikt? | EU-valuta, taal, verzending, gerichte advertenties, EU-domeinen. | Alleen maar toegankelijk zijn vanuit de Unie |
| Occasioneel verwerken? | Een eenmalige gebeurtenis zonder bewaarde gegevens | Een klantenbestand, bestelgeschiedenis, een nieuwsbrief |
| Publieke autoriteit? | Publieke lichamen onder Artikel 27(2)(b) | Privébedrijven van elke omvang |
Iedereen van deze is betwist door een bedrijf dat er later voor heeft betaald. Ze zijn het lezen waard als waarschuwingen in plaats van als theorie.
De EU-vertegenwoordiger vereiste is niet tevreden met het kiezen van een leverancier. Het is tevreden met een document met vijf eigenschappen.
Om een EU-vertegenwoordiger aan te stellen, heeft u een mandaat nodig dat door beide partijen is ondertekend. Een leverancier die niet heeft getekend, is niet uw vertegenwoordiger, ongeacht wat uw website zegt.
Artikel 27(3). Binnen de groep van landen waar uw gebruikers zich bevinden, is de keuze aan u.
Artikel 13(1)(a) vereist de identiteit van de vertegenwoordiger in uw privacyverklaring. Een ongepubliceerde aanwijzing beschermt niemand.
De vertegenwoordiger houdt het register van verwerkingsactiviteiten beschikbaar voor autoriteiten, wat het deel is dat de meeste eerste klanten nooit hebben voorbereid.
Een adres dat antwoord geeft. Verzoeken die aankomen in een dode inbox worden behandeld als verzoeken die u niet heeft afgehandeld.
Handhaving met betrekking tot Artikel 27 begint zelden met Artikel 27. Het begint met een klacht over iets anders, en de ontbrekende vertegenwoordiger wordt ontdekt terwijl het dossier wordt geopend.
| Hoe het begint | Wat wordt gecontroleerd | Wat meestal ontbreekt |
|---|---|---|
| Een verzoek om toegang van een betrokkene genegeerd | Wie het verzoek had moeten bereiken | Geen contactpunt binnen de Unie |
| Een klacht over cookies of trackers | De privacyverklaring | Geen vertegenwoordiger genoemd onder Artikel 13(1)(a) |
| Een melding van een datalek | Artikel 30 registraties | Geen gegevens ergens in de Unie opgeslagen |
| Een aanbesteding of auditbeoordeling | De aanduiding zelf | Een ongetekend of niet verifieerbaar document |
Meestal een SaaS- of e-commercebedrijf dat aannam dat een EU-cloudregio voldoende was, en dat een DPO in het organogram de rest dekte.
Post-Brexit, een derde land zoals elk ander. Heeft een EU-vertegenwoordiger nodig, en zijn EU-klanten zijn zich vaak niet bewust van de wijziging van de positie.
Dienstenexporteurs die verwerken namens EU-klanten. Verwerkers, dus Artikel 27 is rechtstreeks op hen van toepassing in plaats van via hun klanten.
Verkopers van consumptiegoederen. Hebben bijna altijd ook Artikel 16 nodig en ontdekken beide tegelijkertijd wanneer een marktplaats hen blokkeert.
Buiten de Unie. Heeft de EU-aanwijzing nodig voor zijn EU-klanten, plus een aparte Zwitserse regeling die geen enkele EU-leverancier kan bieden.
Artikel 27 en Artikel 30 samen definiëren de taak, en het is nauwer en concreter dan de meeste eerste klanten verwachten.
| Invoerrechten | Waar het vandaan komt | In de praktijk |
|---|---|---|
| Optreden als contactpunt | Artikel 27(4) | Autoriteiten en betrokkenen richten zich tot de vertegenwoordiger naast, of in plaats van, u. |
| Houd het register van verwerking bij | Artikel 30(1) en 30(2) | Het register wordt bewaard en op verzoek aan autoriteiten beschikbaar gesteld. |
| Samenwerken met toezichthoudende autoriteiten | Artikel 31 | Verzoeken worden beantwoord, geregistreerd en dezelfde werkdag naar u doorgestuurd. |
| Bereikbaar zijn in de juiste taal | Oefening, geen tekst | Acht talen, zodat een klacht geen tweede klacht wordt. |
Geregistreerde naam, nummer en adres in uw eigen land. Geen apostille, geen notarization, geen vertaling.
Iemand die het bedrijf kan binden. Een directeur of een functionaris; een marketingmanager zal later worden ondervraagd.
Wat u verzamelt, van wie in de Unie, waarom, en wie er verder mee omgaat. Eén pagina is genoeg en het wordt uw Artikel 30-registratie.
Een inbox aan uw kant die daadwerkelijk wordt gelezen, omdat alles wat het bureau ontvangt daarheen wordt doorgestuurd.
Zodat de gepubliceerde identiteit van de vertegenwoordiger kan worden gecontroleerd tegen de aanwijzing.
Bedrijven die een maandlange onboarding verwachten, denken meestal aan een certificering. Dit is een aanwijzing: één formulier, één handtekening, één gepubliceerd paragraf.
Nee. Overweging 22 vraagt om effectieve en reële activiteit via stabiele regelingen. Het huren van infrastructuur is dat niet, en het argument is al eerder besproken en verworpen.
Nee. Een DPO adviseert u op basis van Artikel 37. Een vertegenwoordiger is een contactpunt binnen de Unie op basis van Artikel 27. Verschillende rollen, beide mogelijk vereist.
Alleen een schriftelijke aanwijzing, ondertekend door een entiteit die in de Unie is gevestigd, creëert een vertegenwoordiger. Een commerciële relatie doet dat niet, hoe dichtbij het ook is.
Er is geen drempel. Een klantenlijst plus een bestelgeschiedenis plus een nieuwsbrief is continue verwerking en voldoet onmiddellijk niet aan Artikel 27(2)(a), zelfs niet bij kleine volumes.
Nee. Geschiktheid regelt overdrachten. Het heeft geen effect op Artikel 27, en bedrijven in geschikte landen wijzen onder exact dezelfde voorwaarden aan.
Artikel 83(4)(a) plaatst het in de categorie tot €10 miljoen of 2% van de wereldwijde jaarlijkse omzet, en het ontbreken ervan wordt regelmatig behandeld als een verzwarende factor in andere procedures.
Het kan een natuurlijke of rechtspersoon zijn die in de Unie is gevestigd, maar autoriteiten en zakelijke klanten verwachten een bedrijf met een verifieerbare registratie erachter.
Binnen 24 uur na een ingevuld onboardingformulier. Het certificaat en de verificatiecode worden tegelijkertijd afgegeven, zodat je dezelfde dag bewijs aan een klant kunt sturen.
Nee. Eén aanwijzing dekt de betrokkenen in alle 27. Wat Artikel 27(3) regelt, is waar de vertegenwoordiger zelf is gevestigd.
De ondertekende aanwijzing, de privacyverklaring die de vertegenwoordiger onder Artikel 13(1)(a) toont, en het register van verwerkingsactiviteiten onder Artikel 30. Die drie, in die volgorde.
Als een groep entiteit die in de Unie is gevestigd de verwerking als verwerkingsverantwoordelijke uitvoert, verandert de analyse volledig. Als het slechts bestaat terwijl de niet-EU moeder alles beslist, heeft de moeder nog steeds een vertegenwoordiger nodig.
Niet voor dit. De verplichting wordt geactiveerd door het aanbieden van diensten of het monitoren van gedrag, niet door hoe lang u de gegevens daarna bewaart.
Het is hetzelfde idee in een aparte wet. Het bedienen van beide gebieden betekent twee aanwijzingen, één gevestigd in de Unie en één in het Verenigd Koninkrijk.
Verwant: de korte versie van deze test · een dochteronderneming in plaats van een vertegenwoordiger
Europe Services, SE in Praha, actief sinds 2018, als jouw vertegenwoordiger volgens Artikel 27 in alle 27 lidstaten, met een certificaat met een verificatiecode en een aanvraagdesk in acht talen.
Zie de plannen