Representante do UK GDPR para empresas fora do Reino Unido

• UK GDPR, Article 27
• Data Protection Act 2018
• Privacy and Electronic Communications Regulations 2003

Quem tem de designar

Qualquer controlador ou processador não estabelecido no Reino Unido que ofereça bens ou serviços a pessoas no Reino Unido ou monitore seu comportamento lá. Desde o Brexit, isso inclui empresas estabelecidas na União Europeia, que é o ponto que a maioria das empresas da UE não percebe: um estabelecimento na UE não cobre o Reino Unido, e um estabelecimento no Reino Unido não cobre a UE.

Limiares e isenções

A isenção espelha a da UE e é igualmente restrita: processamento ocasional, sem dados de categoria especial ou de ofensa criminal em grande escala, e improvável de resultar em risco. Análises regulares sobre visitantes do Reino Unido não se qualificam. Autoridades públicas estão isentas.

O que deve constar do rótulo

A identidade e os detalhes de contato do representante devem ser fornecidos aos titulares de dados no aviso de privacidade, da mesma forma que sob o GDPR da UE, e devem ser prontamente acessíveis ao Escritório do Comissário de Informação.

Campos nos marketplaces

Mercados voltados para o Reino Unido e compradores empresariais solicitam o representante do Reino Unido na devida diligência. Também é a primeira coisa que o ICO procura ao lidar com uma reclamação sobre uma empresa sem estabelecimento no Reino Unido.

Documentação a conservar

A designação por escrito. O registro das atividades de processamento relacionadas ao processamento no Reino Unido, que o representante deve manter e disponibilizar ao ICO. Documentação de transferência, que desde o Brexit significa o Acordo de Transferência Internacional de Dados do Reino Unido ou o Adendo do Reino Unido às cláusulas padrão da UE, não apenas as cláusulas da UE.

Normas e ensaios

Não aplicável. O que é avaliado é a documentação e a capacidade de responder ao ICO e aos titulares de dados.

Requisitos linguísticos

Inglês.

A partir de quando

Antes que o processamento que aciona a jurisdição do Reino Unido comece. Nomear após uma reclamação não corrige o período anterior.

Prazo de conservação

A designação e os registros de processamento do Reino Unido durante a duração da representação, além de evidências do período coberto.

Em caso de incumprimento

Até £17,5 milhões ou 4% do faturamento global sob o regime do Reino Unido. O ICO tem sido menos agressivo do que várias autoridades da UE em relação ao requisito de representante especificamente, mas trata a ausência como um fator agravante ao investigar qualquer outra coisa.

Quem fiscaliza

O Escritório do Comissário de Informação.

Onde está a fronteira

Duas nomeações separadas são necessárias para cobrir ambos os territórios, e um provedor pode ter ambos, mas deve ser designado separadamente para cada um. O Reino Unido também diverge em detalhes: a documentação de transferência difere, as regras de cookies são aplicadas pelo ICO sob o PECR, e o Reino Unido tem seu próprio código de design apropriado para a idade para serviços que provavelmente serão acessados por crianças.

Perguntas frequentes

Somos uma empresa da UE — precisamos de um representante no Reino Unido?

Se você direciona usuários do Reino Unido ou monitora seu comportamento e não tem estabelecimento no Reino Unido, sim. O Brexit tornou o Reino Unido um terceiro país para esse propósito, em ambas as direções.

O representante da UE pode também atuar pelo Reino Unido?

O mesmo provedor pode, mas a designação deve ser feita separadamente sob o UK GDPR e o representante deve estar estabelecido no Reino Unido.