Sites, aplicativos e SaaS alcançando pessoas na UE

• Regulation (EU) 2016/679 — GDPR, Article 27
• EDPB Guidelines 3/2018 on the territorial scope
• Directive 2002/58/EC — ePrivacy, for cookies and tracking

Quem tem de designar

Qualquer controlador ou processador não estabelecido na União cuja atividade de processamento se enquadre no Artigo 3(2): oferta de bens ou serviços a titulares de dados na União, independentemente de pagamento ser exigido ou não, ou monitoramento de seu comportamento dentro da União. A oferta é avaliada com base na intenção, demonstrada por fatores como preços em euros, um idioma da UE, opções de entrega na UE, publicidade direcionada à UE ou nomeação de estados membros. O monitoramento abrange análises, cookies publicitários, perfis comportamentais, testes A/B e impressão digital de dispositivos de usuários localizados na União. Processadores são abrangidos por direito próprio: uma empresa de hospedagem dos EUA que processa em nome de um cliente da UE precisa de seu próprio representante se o Artigo 3(2) se aplicar a ela.

Limiares e isenções

Não há limite de faturamento, número de funcionários ou volume. A única isenção, no Artigo 27(2), é estreita e cumulativa: o processamento deve ser ocasional, não deve incluir processamento em grande escala de dados de categorias especiais ou de dados de infrações penais, e deve ser improvável que resulte em risco aos direitos e liberdades. Análises regulares de sites sobre visitantes da UE não são ocasionais, portanto, na prática, a isenção quase nunca se aplica a um negócio em operação. Autoridades e órgãos públicos estão isentos separadamente.

O que deve constar do rótulo

Não é um rótulo físico. A obrigação é transparência: a identidade e os detalhes de contato do representante devem ser fornecidos aos titulares de dados sob os Artigos 13 e 14, o que na prática significa um parágrafo claramente identificado no aviso de privacidade com o nome do representante, endereço postal e canal de contato, e uma declaração de que os titulares de dados podem se dirigir ao representante sobre todas as questões relacionadas ao processamento. Enterrá-lo em um PDF ou nomear apenas um e-mail genérico é o que as autoridades criticam.

Campos nos marketplaces

As lojas de aplicativos exigem um contato de privacidade e várias agora verificam se um representante da UE é nomeado quando o desenvolvedor está fora da União. Questionários de aquisição empresarial e revisões de segurança costumam solicitar a designação, e sua ausência atrasa negócios. Alguns mercados começaram a verificar o certificado contra o registro público do provedor.

Documentação a conservar

A designação ou mandato por escrito, definindo o escopo da representação e o processamento coberto. Os registros de atividades de processamento sob o Artigo 30, que o representante deve manter e disponibilizar à autoridade supervisora mediante solicitação — este é o documento que as autoridades pedem primeiro, e sua ausência é uma infração separada. Evidência do mecanismo de transferência onde os dados deixam a União, como as cláusulas contratuais padrão sob a Decisão (UE) 2021/914 com uma avaliação de impacto de transferência. O aviso de privacidade conforme publicado, datado.

Normas e ensaios

Não aplicável no sentido de teste de produto. O que é avaliado em vez disso é a documentação e a responsabilidade demonstrável: se o registro de processamento é preciso, se as bases legais são válidas, se o consentimento para cookies foi coletado antes do início do rastreamento, e se os pedidos dos titulares de dados são respondidos dentro de um mês.

Requisitos linguísticos

O Artigo 12 exige que as informações sejam fornecidas em linguagem clara e simples, e o EDPB espera que o representante possa se comunicar com os titulares de dados e autoridades na língua dos estados membros onde os titulares de dados estão. Um atendimento que responda apenas em inglês é uma fraqueza onde a oferta visa, por exemplo, a França, Alemanha ou Polônia.

A partir de quando

A designação deve estar em vigor antes que o processamento que aciona o Artigo 3(2) comece. Nomear um representante após uma reclamação não corrige o período anterior, e as autoridades supervisores impuseram multas especificamente pelo período em que nenhum representante existia. Os pedidos dos titulares de dados encaminhados pelo representante correm no relógio do Artigo 12(3): um mês a partir do recebimento pelo controlador, prorrogável por dois meses para pedidos complexos se o titular de dados for informado dentro do primeiro mês.

Prazo de conservação

A designação e os registros do Artigo 30 enquanto a representação durar, além de evidências do período coberto posteriormente, porque uma investigação posterior perguntará quando o mandato começou e terminou. Registros de pedidos recebidos e encaminhados devem ser mantidos como prova de que o representante cumpriu sua função.

Em caso de incumprimento

Até €10 milhões ou 2% do faturamento total anual mundial por falha em designar. O EDPB trata a ausência de um representante como uma infração por si só, independente de qualquer outra violação, e várias autoridades multaram com base apenas nisso. Além da multa, a exposição prática é que uma reclamação sobre qualquer outra coisa — cookies, um pedido de titular de dados, uma violação — revela a designação ausente imediatamente, porque a primeira coisa que uma autoridade procura é quem pode ser abordado.

Quem fiscaliza

A autoridade supervisora de qualquer estado membro onde os titulares de dados estão localizados. Não há uma única parada para controladores fora da União: qualquer uma das 27 autoridades pode agir, o que significa que uma reclamação francesa vai para a CNIL, uma reclamação alemã para o Landesbeauftragte relevante, e ambas podem prosseguir em paralelo.

Onde está a fronteira

Nomear um representante satisfaz um artigo; não torna o restante do processamento legal, e não protege o controlador, porque o Artigo 27(5) preserva ações legais contra o próprio controlador. Um representante estabelecido em um estado membro cobre toda a União e os estados do EEE da Islândia, Noruega e Liechtenstein. O Artigo 27 do RGPD, o Artigo 13 do DSA, o Artigo 16 do GPSR e o representante do CRA são quatro nomeações separadas: ter uma não satisfaz as outras, mesmo onde o mesmo provedor as possui todas. O Reino Unido exige seu próprio representante sob o RGPD do Reino Unido, desde o Brexit, e uma designação da UE não o cobre.

Perguntas frequentes

O representante se torna responsável pelo nosso processamento?

O representante é o ponto de contato e pode ser abordado por autoridades e titulares de dados além do controlador. A responsabilidade pelo processamento em si permanece com o controlador ou processador sob o Artigo 27(5). O que o representante é diretamente responsável é por manter o registro de processamento e cooperar com a autoridade.

Já temos um DPO — isso é suficiente?

Não. Eles são papéis diferentes com bases legais diferentes. Um DPO aconselha e monitora internamente e pode estar localizado em qualquer lugar; um representante do Artigo 27 deve estar estabelecido na União e existe para que autoridades e titulares de dados tenham alguém a quem se dirigir lá.

Usamos apenas o Google Analytics em visitantes da UE — isso conta?

Sim. Monitorar o comportamento de titulares de dados na União o coloca dentro do Artigo 3(2), e análises são o exemplo clássico que o EDPB fornece. Isso também traz a exigência de consentimento do ePrivacy, que é uma obrigação separada da do RGPD.

Nosso escritório de advocacia ou revendedor da UE pode atuar como representante?

Qualquer um estabelecido na União pode, desde que aceite um mandato por escrito e possa realmente desempenhar a função: receber pedidos, manter os registros do Artigo 30 e cooperar com as autoridades. O risco com um arranjo ad hoc é que ninguém está monitorando a caixa de entrada quando uma autoridade supervisora escreve.