REP27 · Execução
Artigo 83(4)(a) · Execução
O Artigo 27 é incomum entre as obrigações do GDPR: pode ser verificado de fora, num navegador, em cerca de dez segundos. Não há necessidade de auditar os seus sistemas ou ler os seus contratos — ou o seu aviso de privacidade nomeia uma entidade estabelecida na União, ou não o faz. Essa visibilidade é a razão pela qual a falta de designação aparece com tanta frequência na execução, e por que é tratada como uma violação por si só.
Esta é a razão prática pela qual a redação no seu site importa tanto quanto o mandato por trás dela. Uma designação que existe mas não é publicada é invisível exatamente para as pessoas para quem foi criada.
O Artigo 83(2) lista os fatores. Quatro deles são diretamente afetados pela rapidez com que você age.
| Fator | O que significa aqui |
|---|---|
| Natureza e gravidade | Se os titulares de dados tiveram alguma forma de chegar até você |
| Duração | Quanto tempo o processamento decorreu sem designação em vigor |
| Intencional ou negligente | Se a obrigação era conhecida e não foi abordada |
| Passos atenuantes | Nomear prontamente uma vez identificado conta aqui |
| Cooperação | Responder através de um ponto de contacto funcional em vez de silêncio |
| Infrações anteriores | Se a mesma lacuna foi levantada antes |
Na nossa experiência, o regulador raramente é a primeira consequência. Um comprador europeu pergunta pelo nome do representante num questionário de segurança, o campo volta em branco, e o arquivo vai para o jurídico. O negócio não morre — escorrega, e o escorregão é medido em trimestres.
Esse é o argumento que persuade as equipas financeiras: não o teto teórico sob o Artigo 83, mas o contrato que parou de se mover devido a uma linha faltante num aviso de privacidade.
As autoridades de supervisão têm recursos limitados e um grande mandato. O que podem agir de forma barata, agem com mais frequência — e o Artigo 27 é a coisa mais barata na regulamentação para verificar.
Estabelecer se as medidas de segurança de uma empresa são apropriadas ao abrigo do Artigo 32 requer uma investigação, expertise técnica e meses. Estabelecer se um aviso de privacidade nomeia um representante estabelecido na União leva um navegador e um minuto, em qualquer língua, sem notificar ninguém. Uma autoridade pode examinar cem sites fora da UE que servem o seu mercado numa tarde.
Essa assimetria molda a execução de uma forma que vale a pena entender. A falta de designação raramente é a razão pela qual uma investigação começa, mas é muito frequentemente a primeira coisa registada uma vez que uma começou, porque já está estabelecida antes da primeira carta ser enviada. Também colore tudo o que se segue: uma empresa que nunca forneceu um ponto de contacto é mais difícil de caracterizar como diligente em relação aos outros fatores do Artigo 83(2).
O inverso também é verdade. Uma designação publicada claramente, verificável de forma independente e em vigor desde o início, é a evidência mais barata de boa fé disponível em toda a regulamentação.
Sim. O Artigo 83(4)(a) lista o Artigo 27 entre as disposições cuja violação atrai o nível mais baixo de multas, e as Diretrizes do EDPB 3/2018 afirmam que a ausência de uma designação é uma violação por si só. Não precisa de acompanhar uma violação de dados ou qualquer outra falha.
Até €10 milhões, ou 2% do volume de negócios anual mundial do ano financeiro anterior, o que for mais alto. O volume de negócios é avaliado a nível de grupo, não para a entidade que assinou o contrato.
Sim. Várias autoridades de supervisão emitiram penalidades onde a falta de representante estava entre as infrações encontradas, e é uma constatação padrão em investigações de websites fora da UE. Também é uma das coisas mais fáceis para uma autoridade estabelecer: o aviso de privacidade é público.
Normalmente uma reclamação de um titular de dados que não conseguiu encontrar ninguém para contatar, ou uma varredura por uma autoridade a ler avisos de privacidade no seu próprio mercado. Ambos começam a partir do que o seu site diz publicamente.
Isso interrompe a infração em curso, o que é importante: as autoridades ponderam a duração da infração e as medidas tomadas. Não apaga o período durante o qual não existiu designação.
Para a maioria das empresas, o custo comercial chega primeiro. Compradores europeus pedem o representante durante a integração do fornecedor, e uma resposta em falta atrasa contratos muito antes de qualquer autoridade escrever.
O teto é proporcional, uma vez que 2% de um pequeno volume de negócios é um número pequeno, mas a alternativa de €10 milhões aplica-se onde for mais alto. As autoridades também consideram a cooperação e a duração, razão pela qual a nomeação rápida é mais importante do que o tamanho.
Designação assinada dentro de 24 horas, com a redação que o seu aviso precisa e um certificado que qualquer um pode verificar.
Nomeie-nos Verifique o seu aviso primeiro