REP27 · Preciso de um
Artigo 3(2) · Artigo 27 do RGPD
Quatro perguntas decidem isso, e nenhuma delas diz respeito ao seu tamanho, ao seu volume de negócios ou a quantos clientes europeus você tem. O teste é territorial: onde a sua empresa está estabelecida e se o que você faz chega a pessoas dentro da União. Leia o diagrama e depois leia por que a isenção no final quase nunca se aplica.
Estabelecimento significa uma atividade real e efetiva através de arranjos estáveis — não onde a sua empresa está registrada em papel, e não onde os seus servidores estão.
Uma empresa incorporada em Delaware com um escritório de vendas em Dublin está estabelecida na União e não precisa de representante. Uma empresa incorporada na Irlanda cuja operação inteira funciona a partir de São Paulo pode ainda ser abrangida. O considerando 22 é explícito que a forma jurídica não é decisiva: um único agente com estabilidade suficiente pode equivaler a um estabelecimento, enquanto uma placa de metal não pode.
Se você não tem filial, subsidiária, escritório ou pessoal permanente em um Estado Membro, considere-se fora e passe para a pergunta dois.
Não "tem clientes na UE" — "a sua oferta é direcionada a eles". A intenção é o que conta, e é avaliada com base em evidências.
O considerando 23 lista os sinais: usar uma língua ou uma moeda de um Estado Membro, mencionar clientes ou utilizadores na União, oferecer envio para endereços europeus, operar um domínio específico da UE, comprar publicidade direcionada a públicos europeus. Qualquer um desses torna a oferta direcionada. Um único pedido não solicitado de um cliente belga num site em inglês com preços em dólares, sem opção de envio para a UE, não conta.
A oferta não precisa ser paga. Um aplicativo gratuito, um teste gratuito, um boletim informativo gratuito e uma ferramenta web gratuita são todos serviços neste sentido.
Este é o aspecto que a maioria das empresas ignora, porque abrange negócios que não vendem nada na Europa.
O considerando 24 define monitoramento como rastrear pessoas na internet e depois perfilá-las, particularmente para tomar decisões ou prever preferências e comportamentos. Na prática, isso inclui pixels de publicidade, públicos de remarketing, análises entre sites com identificadores de utilizador, gravação de sessões e mapas de calor, personalização baseada em cookies e SDKs de aplicativos que reportam o uso de volta para você.
O Artigo 27(2)(a) isenta o processamento que é ocasional, não inclui dados de categoria especial ou criminal em grande escala, e é improvável que resulte em risco para direitos e liberdades. Todas as três condições devem ser atendidas em conjunto.
| Situação | Ocasional? | Isento? |
|---|---|---|
| Loja online com uma base de dados de clientes | Não — contínuo | Não |
| Produto SaaS com utilizadores da UE | Não — contínuo | Não |
| Website que executa análises sobre visitantes da UE | Não — contínuo | Não |
| Boletim informativo com assinantes europeus | Não — armazenamento contínuo | Não |
| Leitura de crachá de conferência única, excluído após o evento | Sim | Possivelmente |
As Diretrizes do EDPB 3/2018 leem "ocasional" de forma restrita: o tratamento que não é realizado regularmente e acontece fora do curso normal dos negócios. Qualquer coisa que esteja num CRM por design falha nisso.
Incompatível de acordo com as Diretrizes do EDPB 3/2018. O DPO deve ser independente; o representante atua sob as suas instruções.
Possível em teoria, mas um conflito na prática: o seu processador não pode responder de forma credível a uma autoridade sobre a sua própria conformidade.
Uma caixa de correio ou escritório virtual sem ninguém mandatado não é uma designação. O Artigo 27(1) requer uma parte que aceite o papel por escrito.
O representante deve estar estabelecido num Estado-Membro onde os seus titulares de dados se encontram. Após o Brexit, uma empresa do Reino Unido não pode representá-lo na UE.
Não. O Artigo 27(1) requer uma designação por escrito nomeando uma entidade específica estabelecida na União. Um parágrafo dizendo que você cumpre com o GDPR não nomeia ninguém, portanto não há representante nem ponto de contacto para titulares de dados.
Pode. O Artigo 3(2)(b) cobre a monitorização de comportamentos, e análises, pixels de publicidade, gravação de sessões e remarketing direcionados a pessoas na União contam. Não vender nada não o isenta se você estiver a perfilar visitantes europeus.
Qualquer pessoa estabelecida na União pode ser designada, incluindo um escritório de advocacia ou um distribuidor, desde que aceitem o mandato por escrito. Na prática, a maioria recusa: o papel acarreta exposição direta a autoridades de supervisão e requer a manutenção do seu registo do Artigo 30.
Não. As Diretrizes do EDPB 3/2018 afirmam que os dois papéis são incompatíveis, porque o DPO deve agir de forma independente enquanto o representante atua sob as instruções do controlador. Um organismo não pode exercer ambos.
Até €10 milhões ou 2% do volume de negócios anual mundial, o que for mais alto, de acordo com o Artigo 83(4)(a). É uma infração independente: as autoridades multaram empresas apenas pela falta de designação, sem qualquer violação de dados subjacente.
Não, e esta é a interpretação errada mais comum. A adequação rege se os dados podem ser transferidos para o seu país sem salvaguardas adicionais. O Artigo 27 rege se alguém dentro da União pode ser contactado. O Japão, o Reino Unido, o Canadá e a Suíça têm todos adequação e as suas empresas ainda precisam de um representante.
Raramente. O Artigo 27(2)(a) requer que o processamento seja ocasional, de baixo risco, livre de dados de categoria especial e improvável de resultar em risco para direitos e liberdades — todos os quatro ao mesmo tempo. Uma loja com uma base de dados de clientes, um boletim informativo ou análises falha já a primeira condição.
Sim, se você direcionar pessoas no Reino Unido. Desde 2021, o UK GDPR é um regime separado com o seu próprio regulador, e um representante estabelecido num Estado-Membro não tem legitimidade perante ele. As duas designações são emitidas separadamente.
Relacionado: quanto custa um representante do Artigo 27 · pessoa responsável pelo GPSR para vendedores da Amazon
Lemos o seu aviso de privacidade público e dizemos-lhe em dez segundos se um representante já está nomeado. Se estiver, dizemos e você fecha a aba.
Faça a verificação gratuita Veja preços