REP27 · Czy potrzebujemy jednego · Firmy spoza UE
Artykuł 3(2) · Artykuł 27(1) · Artykuł 27(2)
Pytanie jest rozwiązywane przez cztery testy, w kolejności, w jakiej ustawa je przedstawia, a odpowiedź prawie nigdy nie zależy od branży ani wielkości firmy. Zależy od tego, czy Przedstawiciel GDPR dla firmy spoza UE jest wymagane: czy jesteś ustanowiony w Unii, czy artykuł 3(2) cię dotyczy, czy twoje przetwarzanie jest rzeczywiście okazjonalne i czy jesteś organem publicznym. Wszystko inne — gdzie znajdują się twoje serwery, czy masz DPO, czy stosuje się decyzja o odpowiedniości — to hałas, który był przedmiotem dyskusji i został przegrany.
Stany Zjednoczone Wielka Brytania Indie Chiny Hongkong Kanada Australia Brazylia
Odpowiadanie na nie w innej kolejności to sposób, w jaki firmy przekonują same siebie, że są zwolnione. Ustawa pyta najpierw o obecność, a dopiero potem o to, co robisz.
| Pytanie | Co się liczy | Czego nie dotyczy |
|---|---|---|
| Ustanowione w Unii? | Biuro, personel, skuteczna i rzeczywista działalność poprzez stabilne ustalenia. | Region chmurowy, magazyn 3PL, reseller, skrzynka pocztowa. |
| Czy osiągnięto artykuł 3(2)? | Waluta UE, język, wysyłka, reklamy ukierunkowane, domeny UE. | Będąc jedynie dostępnym z Unii |
| Czy przetwarzanie okazjonalne? | Jednorazowe zdarzenie bez zachowanych dokumentów | Baza klientów, historia zamówień, newsletter |
| Władza publiczna? | Organy publiczne na podstawie artykułu 27(2)(b) | Prywatne firmy dowolnej wielkości |
Każda z tych kwestii była przedmiotem dyskusji przez firmę, która później za to zapłaciła. Warto je przeczytać jako ostrzeżenia, a nie jako teorię.
The Wymóg przedstawiciela UE nie jest zaspokojone przez wybór dostawcy. Jest zaspokojone przez dokument z pięcioma właściwościami.
Aby wyznaczyć przedstawiciela UE, potrzebujesz mandatu podpisanego przez obie strony. Dostawca, który nie podpisał, nie jest twoim przedstawicielem, niezależnie od tego, co mówi twoja strona internetowa.
Artykuł 27(3). W obrębie grupy krajów, w których znajdują się Twoi użytkownicy, wybór należy do Ciebie.
Artykuł 13(1)(a) wymaga podania tożsamości przedstawiciela w Twoim powiadomieniu o prywatności. Nieopublikowana nazwa nie chroni nikogo.
Przedstawiciel przechowuje rejestr czynności przetwarzania dostępny dla organów, co jest częścią, której większość klientów po raz pierwszy nigdy nie przygotowała.
Adres, który odpowiada. Prośby przychodzące do martwej skrzynki są traktowane jako prośby, których nie udało się obsłużyć.
Egzekwowanie związane z artykułem 27 rzadko zaczyna się od artykułu 27. Zaczyna się od skargi na coś innego, a brakujący przedstawiciel zostaje odkryty podczas otwierania sprawy.
| Jak to się zaczyna | Co jest sprawdzane | Czego zazwyczaj brakuje |
|---|---|---|
| Prośba o dostęp do danych podmiotu zignorowana | Kto powinien otrzymać prośbę | Brak punktu kontaktowego w Unii |
| Skarga dotycząca plików cookie lub trackerów | Zawiadomienie o prywatności | Brak przedstawiciela wymienionego w artykule 13(1)(a) |
| Powiadomienie o naruszeniu danych | Rekordy artykułu 30 | Brak dokumentów przechowywanych w Unii |
| Przegląd zamówień lub audytu | Sama nazwa | Dokument niesigned lub nieweryfikowalny |
Zazwyczaj firma SaaS lub e-commerce, która założyła, że region chmurowy w UE wystarczy, a DPO w strukturze organizacyjnej pokryje resztę.
Po Brexicie, kraj trzeci jak każdy inny. Potrzebuje przedstawiciela UE, a jego klienci z UE często nie są świadomi, że sytuacja się zmieniła.
Eksporterzy usług przetwarzający w imieniu klientów z UE. Przetwórcy, więc artykuł 27 dotyczy ich bezpośrednio, a nie poprzez ich klientów.
Sprzedawcy towarów konsumpcyjnych. Prawie zawsze potrzebują również Artykułu 16 i odkrywają oba jednocześnie, gdy rynek ich blokuje.
Poza Unią. Potrzebuje wyznaczenia UE dla swoich klientów z UE, plus osobne porozumienie ze Szwajcarią, którego żaden dostawca z UE nie może dostarczyć.
Artykuł 27 i Artykuł 30 razem definiują zadanie, które jest węższe i bardziej konkretne, niż większość klientów pierwszorazowych się spodziewa.
| Obowiązek | Skąd to pochodzi | W praktyce |
|---|---|---|
| Działać jako punkt kontaktowy | Artykuł 27(4) | Władze i osoby, których dane dotyczą, zwracają się do przedstawiciela oprócz lub zamiast do Ciebie. |
| Utrzymywać rejestr przetwarzania | Artykuł 30(1) i 30(2) | Rejestr jest przechowywany i udostępniany władzom na żądanie. |
| Współpracować z organami nadzorczymi | Artykuł 31 | Prośby są odpowiadane, rejestrowane i przekazywane do Ciebie w tym samym dniu roboczym. |
| Być dostępnym w odpowiednim języku | Prawo, nie tekst | Osiem języków, aby skarga nie stała się drugą skargą. |
Zarejestrowana nazwa, numer i adres w Twoim kraju. Brak apostille, brak notarializacji, brak tłumaczenia.
Ktoś, kto może związać firmę. Dyrektor lub urzędnik; menedżer marketingu będzie później przesłuchiwany.
Czego zbierasz, od kogo w Unii, dlaczego i kto jeszcze się tym zajmuje. Jedna strona wystarczy i staje się Twoim rejestrem zgodnie z Artykułem 30.
Skrzynka odbiorcza po Twojej stronie, która jest rzeczywiście czytana, ponieważ wszystko, co biuro otrzymuje, jest tam przekazywane.
Zatem opublikowana tożsamość przedstawiciela może być sprawdzona w odniesieniu do nazwy.
Firmy oczekujące miesięcznego onboardingu zazwyczaj myślą o certyfikacji. To jest wyznaczenie: jeden formularz, jeden podpis, jeden opublikowany akapit.
Nie. Rozważania 22 wymagają skutecznej i rzeczywistej działalności poprzez stabilne ustalenia. Wynajem infrastruktury nie jest tym, a argument został przedstawiony i odrzucony.
Nie. DPO doradza Ci na podstawie artykułu 37. Przedstawiciel jest punktem kontaktowym w Unii na podstawie artykułu 27. Różne role, obie mogą być wymagane.
Tylko pisemne wyznaczenie, podpisane przez podmiot ustanowiony w Unii, tworzy przedstawiciela. Relacja handlowa tego nie czyni, niezależnie od tego, jak blisko jest.
Nie ma progu. Lista klientów plus historia zamówień plus newsletter to ciągłe przetwarzanie i natychmiast nie spełnia artykułu 27(2)(a), nawet przy małych wolumenach.
Nie. Odpowiedniość reguluje transfery. Nie ma wpływu na artykuł 27, a firmy w krajach odpowiednich wyznaczają na dokładnie tych samych warunkach.
Artykuł 83(4)(a) umieszcza to w kategorii do 10 milionów euro lub 2% rocznego obrotu na całym świecie, a jego brak jest regularnie traktowany jako okoliczność obciążająca w innych postępowaniach.
Może to być osoba fizyczna lub prawna ustanowiona w Unii, ale organy i klienci biznesowi oczekują firmy z weryfikowalną rejestracją.
W ciągu 24 godzin od wypełnienia formularza onboardingowego. Certyfikat i kod weryfikacyjny są wydawane jednocześnie, więc możesz wysłać dowód klientowi tego samego dnia.
Nie. Jedno wyznaczenie obejmuje podmioty danych we wszystkich 27. To, co reguluje artykuł 27(3), to miejsce, w którym sam przedstawiciel jest ustanowiony.
Podpisane wyznaczenie, powiadomienie o prywatności pokazujące przedstawiciela na podstawie artykułu 13(1)(a) oraz rejestr czynności przetwarzania na podstawie artykułu 30. Te trzy, w tej kolejności.
Jeśli podmiot grupowy ustanowiony w Unii przeprowadza przetwarzanie jako administrator, analiza zmienia się całkowicie. Jeśli jedynie istnieje, podczas gdy rodzic spoza UE decyduje o wszystkim, rodzic nadal potrzebuje przedstawiciela.
Nie w tym przypadku. Obowiązek jest wywoływany przez oferowanie usług lub monitorowanie zachowań, a nie przez to, jak długo przechowujesz dane później.
To ta sama idea w osobnej ustawie. Obsługiwanie obu terytoriów oznacza dwa wyznaczenia, jedno ustanowione w Unii i jedno w Zjednoczonym Królestwie.
Pokrewne: krótka wersja tego testu · Spółka zależna zamiast przedstawiciela
Europe Services, SE w Pradze, działająca od 2018 roku, jako twój przedstawiciel zgodnie z artykułem 27 we wszystkich 27 państwach członkowskich, z certyfikatem zawierającym kod weryfikacyjny i biurem obsługi w ośmiu językach.
Zobacz plany