REP27 · Heb ik er een nodig
Artikel 3(2) · Artikel 27 GDPR
Vier vragen bepalen dit, en geen van hen gaat over uw grootte, uw omzet of hoeveel Europese klanten u heeft. De test is territoriaal: waar uw bedrijf is gevestigd en of wat u doet mensen binnen de Unie bereikt. Lees het diagram, lees vervolgens waarom de uitzondering onderaan bijna nooit van toepassing is.
Vestiging betekent een echte en effectieve activiteit via stabiele regelingen — niet waar uw bedrijf op papier is geregistreerd en niet waar uw servers zich bevinden.
Een bedrijf dat is opgericht in Delaware met een verkoopkantoor in Dublin is gevestigd in de Unie en heeft geen vertegenwoordiger nodig. Een bedrijf dat is opgericht in Ierland waarvan de gehele operatie vanuit São Paulo draait, kan nog steeds onder de regelgeving vallen. Overweging 22 is expliciet dat de juridische vorm niet doorslaggevend is: een enkele agent met voldoende stabiliteit kan gelijk staan aan een vestiging, terwijl een naambord dat niet kan.
Als u geen filiaal, dochteronderneming, kantoor of vast personeel in een lidstaat heeft, beschouw uzelf dan als buiten de Unie en ga naar vraag twee.
Niet "heeft u EU-klanten" — "is uw aanbod op hen gericht". Intentie is wat telt, en dit wordt beoordeeld op bewijs.
Overweging 23 somt de signalen op: het gebruik van een taal of een valuta van een lidstaat, het noemen van klanten of gebruikers in de Unie, het aanbieden van verzending naar Europese adressen, het draaien van een EU-specifiek domein, het kopen van advertenties gericht op Europese doelgroepen. Een van deze maakt het aanbod gericht. Een enkele ongevraagde bestelling van een Belgische klant op een Engelstalige site geprijsd in dollars, zonder EU-verzendoptie, doet dat niet.
Het aanbod hoeft niet betaald te zijn. Een gratis app, een gratis proefperiode, een gratis nieuwsbrief en een gratis webtool zijn allemaal diensten in deze zin.
Dit is het onderdeel dat de meeste bedrijven missen, omdat het bedrijven vangt die helemaal niets in Europa verkopen.
Overweging 24 definieert monitoring als het volgen van mensen op internet en hen vervolgens profileren, met name om beslissingen te nemen of voorkeuren en gedrag te voorspellen. In de praktijk omvat dit advertentiepixels, remarketingdoelgroepen, cross-site analytics met gebruikersidentificaties, sessierecording en heatmaps, cookie-gebaseerde personalisatie, en app SDK's die gebruik aan u rapporteren.
Artikel 27(2)(a) vrijstelt verwerking die incidenteel is, geen grootschalige speciale categorie of criminele gegevens omvat, en waarschijnlijk geen risico voor rechten en vrijheden met zich meebrengt. Alle drie de voorwaarden moeten samen gelden.
| Situatie | Incidenteel? | Vrijgesteld? |
|---|---|---|
| Online winkel met een klantenbestand | Nee — continu | Nee |
| SaaS-product met EU-gebruikers | Nee — continu | Nee |
| Website die analytics uitvoert op EU-bezoekers | Nee — continu | Nee |
| Nieuwsbrief met Europese abonnees | Nee — doorlopende opslag | Nee |
| Eenmalige conferentiebadge-scan, verwijderd na het evenement | Ja | Mogelijk |
EDPB-richtlijnen 3/2018 lezen "incidenteel" nauw: verwerking die niet regelmatig plaatsvindt en buiten de gewone gang van zaken gebeurt. Alles wat in een CRM staat, faalt bij voorbaat.
Incompatibel volgens EDPB-richtlijnen 3/2018. De DPO moet onafhankelijk zijn; de vertegenwoordiger handelt op uw instructies.
Theoretisch mogelijk, maar in de praktijk een conflict: uw verwerker kan niet geloofwaardig een autoriteit antwoorden over uw eigen naleving.
Een postbus of virtueel kantoor zonder iemand die is gemandateerd, is geen aanwijzing. Artikel 27(1) vereist een partij die de rol schriftelijk accepteert.
De vertegenwoordiger moet zijn gevestigd in een lidstaat waar uw betrokkenen zich bevinden. Post-Brexit kan een Brits bedrijf u niet vertegenwoordigen in de EU.
Nee. Artikel 27(1) vereist een aanwijzing in schriftelijke vorm die een specifieke entiteit in de Unie benoemt. Een paragraaf die zegt dat u voldoet aan de GDPR, benoemt niemand, dus er is geen vertegenwoordiger en geen contactpunt voor betrokkenen.
Het kan. Artikel 3(2)(b) dekt het monitoren van gedrag, en analytics, advertentiepixels, sessierecording en remarketing gericht op mensen in de Unie tellen allemaal mee. Niets verkopen ontslaat u niet als u Europese bezoekers profileert.
Iedereen die in de Unie is gevestigd, kan worden aangewezen, inclusief een advocatenkantoor of een distributeur, mits zij het mandaat schriftelijk accepteren. In de praktijk weigeren de meesten: de rol brengt directe blootstelling aan toezichthoudende autoriteiten met zich mee en vereist het bijhouden van uw Artikel 30-registratie.
Nee. EDPB-richtlijnen 3/2018 stellen dat de twee rollen incompatibel zijn, omdat de DPO onafhankelijk moet handelen terwijl de vertegenwoordiger op de instructies van de verwerkingsverantwoordelijke handelt. Eén instantie kan beide rollen niet vervullen.
Tot €10 miljoen of 2% van de wereldwijde jaarlijkse omzet, afhankelijk van wat hoger is, volgens Artikel 83(4)(a). Het is een op zichzelf staande inbreuk: autoriteiten hebben bedrijven boetes opgelegd voor het ontbreken van de aanwijzing alleen, zonder enige onderliggende datalek.
Nee, en dit is de meest voorkomende misinterpretatie. Adequaatheid regelt of gegevens naar uw land kunnen worden overgedragen zonder extra waarborgen. Artikel 27 regelt of iemand binnen de Unie kan worden benaderd. Japan, het Verenigd Koninkrijk, Canada en Zwitserland hebben allemaal adequaatheid en hun bedrijven hebben nog steeds een vertegenwoordiger nodig.
Zelden. Artikel 27(2)(a) vereist dat de verwerking incidenteel, laag risico, vrij van bijzondere categoriegegevens en onwaarschijnlijk is dat het een risico voor rechten en vrijheden met zich meebrengt — alle vier tegelijk. Een winkel met een klantenbestand, een nieuwsbrief of analytics faalt al op de eerste voorwaarde.
Ja, als u zich richt op mensen in het VK. Sinds 2021 is de UK GDPR een apart regime met zijn eigen toezichthouder, en een vertegenwoordiger die is gevestigd in een lidstaat heeft geen rechtspositie voor deze toezichthouder. De twee aanwijzingen worden afzonderlijk afgegeven.
Gerelateerd: wat een Artikel 27 vertegenwoordiger kost · GPSR verantwoordelijke persoon voor Amazon-verkopers
We lezen uw openbare privacyverklaring en vertellen u binnen tien seconden of er al een vertegenwoordiger is benoemd. Als dat zo is, zeggen we dat en sluit u het tabblad.
Voer de gratis controle uit Bekijk prijzen