REP27 · Czy go potrzebuję
Artykuł 3(2) · Artykuł 27 RODO
Cztery pytania decydują o tym, a żadne z nich nie dotyczy twojego rozmiaru, obrotów ani liczby klientów w Europie. Test jest terytorialny: gdzie twoja firma jest zarejestrowana i czy to, co robisz, dociera do ludzi w Unii. Przeczytaj diagram, a następnie dowiedz się, dlaczego zwolnienie na dole prawie nigdy nie ma zastosowania.
Zarejestrowanie oznacza rzeczywistą i efektywną działalność poprzez stabilne ustalenia — nie tam, gdzie twoja firma jest zarejestrowana na papierze, ani gdzie znajdują się twoje serwery.
Firma zarejestrowana w Delaware z biurem sprzedaży w Dublinie jest zarejestrowana w Unii i nie potrzebuje przedstawiciela. Firma zarejestrowana w Irlandii, której cała działalność odbywa się z São Paulo, może być nadal objęta tym obowiązkiem. Rozważenie 22 wyraźnie stwierdza, że forma prawna nie jest decydująca: jeden agent o wystarczającej stabilności może stanowić establishment, podczas gdy tablica z nazwą nie może.
Jeśli nie masz oddziału, spółki zależnej, biura ani stałego personelu w państwie członkowskim, traktuj siebie jako poza i przejdź do pytania drugiego.
Nie "czy masz klientów z UE" — "czy twoja oferta jest skierowana do nich". Liczy się intencja, a ocenia się ją na podstawie dowodów.
Rozważenie 23 wymienia sygnały: używanie języka lub waluty państwa członkowskiego, wspominanie o klientach lub użytkownikach w Unii, oferowanie wysyłki do europejskich adresów, prowadzenie domeny specyficznej dla UE, kupowanie reklam skierowanych do europejskich odbiorców. Każdy z tych sygnałów sprawia, że oferta jest skierowana. Jedno niezamówione zamówienie od belgijskiego klienta na stronie w języku angielskim wycenione w dolarach, bez opcji wysyłki do UE, nie spełnia tego kryterium.
Oferta nie musi być płatna. Darmowa aplikacja, darmowy okres próbny, darmowy newsletter i darmowe narzędzie internetowe to wszystko usługi w tym sensie.
To jest aspekt, który większość firm pomija, ponieważ dotyczy przedsiębiorstw, które w ogóle nic nie sprzedają w Europie.
Rozważenie 24 definiuje monitorowanie jako śledzenie ludzi w internecie, a następnie profilowanie ich, szczególnie w celu podejmowania decyzji lub przewidywania preferencji i zachowań. W praktyce obejmuje to piksele reklamowe, grupy remarketingowe, analitykę międzystronową z identyfikatorami użytkowników, nagrywanie sesji i mapy cieplne, personalizację opartą na plikach cookie oraz SDK aplikacji, które raportują wykorzystanie z powrotem do ciebie.
Artykuł 27(2)(a) zwalnia przetwarzanie, które jest okazjonalne, nie obejmuje danych wrażliwych na dużą skalę ani danych kryminalnych i jest mało prawdopodobne, aby skutkowało ryzykiem dla praw i wolności. Wszystkie trzy warunki muszą być spełnione jednocześnie.
| Sytuacja | Okazjonalne? | Zwolnione? |
|---|---|---|
| Sklep internetowy z bazą klientów | Nie — ciągłe | Nie |
| Produkt SaaS z użytkownikami w UE | Nie — ciągłe | Nie |
| Strona internetowa prowadząca analizy odwiedzających z UE | Nie — ciągłe | Nie |
| Newsletter z subskrybentami w Europie | Nie — bieżące przechowywanie | Nie |
| Jednorazowe zeskanowanie identyfikatora konferencyjnego, usunięte po wydarzeniu | Tak | Możliwe |
Wytyczne EDPB 3/2018 interpretują "okazjonalne" w wąski sposób: przetwarzanie, które nie jest prowadzone regularnie i odbywa się poza zwykłym przebiegiem działalności. Cokolwiek znajdującego się w CRM z założenia nie spełnia tego wymogu.
Niezgodne z wytycznymi EDPB 3/2018. Inspektor ochrony danych musi być niezależny; przedstawiciel działa na twoje polecenia.
Teoretycznie możliwe, ale w praktyce konflikt: twój procesor nie może wiarygodnie odpowiedzieć organowi na temat twojej zgodności.
Skrzynka pocztowa lub biuro wirtualne bez wyznaczonej osoby nie jest oznaczeniem. Artykuł 27(1) wymaga, aby strona przyjęła rolę na piśmie.
Przedstawiciel musi być ustanowiony w państwie członkowskim, w którym znajdują się twoi podmioty danych. Po Brexicie, brytyjska firma nie może cię reprezentować w UE.
Nie. Artykuł 27(1) wymaga oznaczenia na piśmie wskazującego konkretny podmiot ustanowiony w Unii. Akapit mówiący, że przestrzegasz GDPR, nie wskazuje nikogo, więc nie ma przedstawiciela ani punktu kontaktowego dla podmiotów danych.
Może. Artykuł 3(2)(b) obejmuje monitorowanie zachowań, a analityka, piksele reklamowe, nagrywanie sesji i remarketing skierowane do osób w Unii są liczone. Nie sprzedawanie niczego nie zwalnia cię, jeśli profilujesz europejskich odwiedzających.
Każdy ustanowiony w Unii może być wyznaczony, w tym kancelaria prawna lub dystrybutor, pod warunkiem, że przyjmą mandat na piśmie. W praktyce większość odmawia: rola ta wiąże się z bezpośrednią odpowiedzialnością przed organami nadzorczymi i wymaga posiadania twojego rejestru z artykułu 30.
Nie. Wytyczne EDPB 3/2018 stwierdzają, że te dwie role są niezgodne, ponieważ inspektor ochrony danych musi działać niezależnie, podczas gdy przedstawiciel działa na polecenia administratora. Jedna jednostka nie może pełnić obu ról.
Do 10 milionów euro lub 2% rocznego obrotu na całym świecie, w zależności od tego, co jest wyższe, zgodnie z artykułem 83(4)(a). To jest samodzielne naruszenie: organy nałożyły kary na firmy za brak wyznaczenia, bez żadnego naruszenia danych.
Nie, i to jest najczęstsze błędne odczytanie. Adekwatność reguluje, czy dane mogą być przekazywane do twojego kraju bez dodatkowych zabezpieczeń. Artykuł 27 reguluje, czy ktoś w Unii może być kontaktowany. Japonia, Wielka Brytania, Kanada i Szwajcaria mają adekwatność, a ich firmy nadal potrzebują przedstawiciela.
Rzadko. Artykuł 27(2)(a) wymaga, aby przetwarzanie było okazjonalne, niskiego ryzyka, wolne od danych szczególnej kategorii i mało prawdopodobne, aby prowadziło do ryzyka dla praw i wolności — wszystkie cztery jednocześnie. Sklep z bazą klientów, newsletterem lub analityką nie spełnia już pierwszego warunku.
Tak, jeśli kierujesz się do osób w Wielkiej Brytanii. Od 2021 roku UK GDPR jest oddzielnym reżimem z własnym regulatorem, a przedstawiciel ustanowiony w państwie członkowskim nie ma przed nim statusu. Obie oznaczenia są wydawane oddzielnie.
Powiązane: ile kosztuje przedstawiciel z artykułu 27 · osoba odpowiedzialna GPSR dla sprzedawców Amazon
Przeczytaliśmy twoją publiczną politykę prywatności i powiemy ci w dziesięć sekund, czy przedstawiciel jest już wymieniony. Jeśli tak, mówimy o tym i zamykasz zakładkę.
Uruchom darmowe sprawdzenie Zobacz ceny