Duas obrigações, uma confusão frequente
Disseram-lhe que precisa de um representante na UE. Qual deles?
Duas regras europeias pedem a uma empresa fora da União que nomeie alguém lá dentro. No email de um marketplace ou de um cliente parecem iguais, e não são intercambiáveis. Uma trata dos dados pessoais que trata. A outra das mercadorias que envia. Muitas empresas precisam das duas e compram apenas uma.
A linha que as separa
O teste mais simples é o que atravessa a fronteira. Se o que chega à Europa é informação sobre pessoas — um endereço de email, um histórico de encomendas, um IP — está no terreno do artigo 27.º. Se o que chega é uma caixa, está no do artigo 16.º. Uma loja que envia jarros elétricos para a Alemanha faz as duas coisas ao mesmo tempo: recolhe a morada do comprador e coloca um jarro no mercado.
| Artigo 27.º RGPD | Artigo 16.º GPSR | |
|---|---|---|
| O que protege | Os dados pessoais das pessoas na UE | A segurança dos produtos de consumo vendidos na UE |
| Quem tem de designar | Responsáveis e subcontratantes fora da UE que se dirigem a pessoas aqui ou as controlam | Fabricantes, importadores e vendedores que colocam bens de consumo não alimentares no mercado da UE |
| Onde aparece o nome | Na política de privacidade e, a pedido, perante as autoridades | No produto, na embalagem, na encomenda ou nas instruções |
| Quem vem perguntar | As autoridades de proteção de dados e as pessoas | As autoridades de fiscalização do mercado, alfândegas, marketplaces |
| O que é guardado por si | O registo das atividades de tratamento | A declaração de conformidade e a documentação técnica |
| Motivo típico | Um pedido de acesso ou uma reclamação | Um anúncio bloqueado ou mercadoria retida na fronteira |
| Como falha na prática | Uma coima, normalmente após uma reclamação | O anúncio desaparece, antes de alguém lhe escrever |
| O nosso preço | Desde 290 € por ano | Desde 190 € por ano |
Qual se aplica a si
Quatro perguntas resolvem isto em menos de um minuto. Responda sobre a sua própria empresa, não sobre a do seu fornecedor.
Respondeu sim apenas nos dados
Software, apps, agências, marketplaces, tudo o que se vende como descarga ou acesso. Precisa do artigo 27.º e de mais nada — até começar a enviar algo dentro de uma caixa.
Respondeu sim apenas nas mercadorias
Raro, mas real: um fabricante que vende a grossistas da UE que tratam diretamente de cada cliente. Precisa do artigo 16.º. No momento em que vender a consumidores, também a primeira pergunta passa a sim.
O que cada um faz de facto quando acontece alguma coisa
Um representante é julgado no dia em que chega uma carta, não no dia em que assina. Os dois papéis comportam-se de forma diferente sob pressão, e sabê-lo é o que lhe diz se um fornecedor é a sério.
Artigo 27.º, primeiro dia
Uma pessoa pede cópia dos seus dados, ou uma autoridade encaminha uma reclamação. O representante acusa a receção, avisa-o e mantém disponível o registo de tratamentos. O prazo é de um mês, e o que conta é a sua resposta — o representante leva-a.
Artigo 16.º, primeiro dia
Uma autoridade pede a declaração de conformidade, ou um marketplace suspende um anúncio. A pessoa responsável entrega a documentação, informa a autoridade de qualquer risco e coopera nas medidas corretivas. O prazo é fixado pela autoridade, e é curto.
O erro que mais caro custa
Comprar um e presumir que cobre o outro. Acontece de uma forma concreta: uma empresa designa um representante do artigo 27.º para a sua loja, publica o nome na política de privacidade e dá a Europa por resolvida. Dois anos depois um marketplace pede a pessoa responsável ao abrigo das regras de segurança dos produtos, o nome da privacidade não serve para aquele campo, e numa semana todos os anúncios se apagam.
O contrário também acontece. Um fabricante compra uma pessoa responsável porque a Amazon exigiu, e depois recebe um pedido de dados de um cliente europeu sem ninguém designado para ele.
Perguntas que nos chegam antes da compra
A mesma sociedade pode desempenhar os dois papéis?
Sim, e normalmente fica mais barato. Assumimos ambos com mandatos escritos separados, porque as obrigações são separadas: um indica-nos perante as autoridades de controlo, o outro indica-nos na sua embalagem. O nosso plano Multi cobre o artigo 27.º e o artigo 16.º em conjunto.
Um representante no Reino Unido cobre a UE?
Não. O representante do UK GDPR responde perante a ICO pelo Reino Unido, e o da UE perante as autoridades europeias. Quem vende em ambos precisa de dois, e nenhum substitui o papel de segurança do produto.
Já temos um advogado na Europa. Chega?
Só se aceitar o mandato por escrito e o seu nome e morada forem publicados onde a norma exige. Uma avença não é uma designação. No artigo 16.º o nome tem de estar no próprio produto, algo que quase nenhuma sociedade de advogados aceita.
O representante responde por nós?
No artigo 27.º o representante é um ponto de contacto, e as obrigações do RGPD continuam a ser suas. No artigo 16.º a pessoa responsável tem deveres próprios — guardar documentação, cooperar, comunicar riscos — mas a segurança do produto continua a ser do fabricante.
O que prova que a designação é real?
Um código que resolve num registo público à frente de quem pergunta. O nosso fica verde enquanto o mandato está ativo e vermelho no momento em que caduca, para ambos os papéis. Um PDF prova apenas que existe um PDF.
Descubra num minuto qual precisa
Envie-nos um anúncio de produto ou uma política de privacidade. Dir-lhe-emos com clareza qual obrigação se aplica, sem custos e sem compromisso de compra.
Artigo 16.º — segurança dos produtos Artigo 27.º — dados pessoais