Acordo do EEE · Artigo 27 do RGPD · trinta países
A maioria dos fornecedores vende a União. O RGPD foi incorporado ao Acordo do EEE em julho de 2018, o que significa que a Islândia, a Noruega e o Liechtenstein o aplicam como sua própria lei e sua designação do Artigo 27 alcança os titulares de dados lá sem um segundo contrato. Essa é a boa notícia, e vale a pena ter isso por escrito. A parte que custa dinheiro às pessoas é o erro oposto: assumir que a mesma designação se estende ao Reino Unido, Suíça ou Turquia. Não se estende, e nenhuma redação pode fazer isso.
UE 27 Islândia Noruega Liechtenstein Datatilsynet Persónuvernd Uma designação
A palavra "Europa" está causando muito dano em documentos de conformidade. Existem três grupos distintos, eles seguem estatutos diferentes, e uma designação escrita para um não vale nada nos outros.
A Islândia, a Noruega e o Liechtenstein não são Estados Membros. Eles participam do mercado interno através do Acordo do EEE, e os atos da União relevantes para esse mercado são incorporados a ele por decisão do Comitê Conjunto do EEE. O RGPD foi incorporado em 6 de julho de 2018 e entrou em vigor para os três estados em 20 de julho de 2018.
O regulamento se aplica lá como lei nacional em vez de diretamente, mas as obrigações são idênticas. O Artigo 27 é o mesmo em Reykjavik como em Roma.
Datatilsynet na Noruega, Persónuvernd na Islândia e a Datenschutzstelle no Liechtenstein supervisionam seus territórios e podem escrever para seu representante.
O mecanismo de consistência funciona de maneira diferente para os estados do EEE, e um controlador fora da União não tem autoridade líder em nenhum caso.
O Artigo 27(3) pede estabelecimento em um Estado Membro onde seus titulares de dados estão. Nada exige um representante separado em Oslo.
O pedido é registrado e encaminhado a você no mesmo dia útil, em norueguês se foi assim que chegou. Nada sobre o procedimento muda porque o remetente está fora da União.
O representante os mantém e os torna disponíveis. Esta é a parte que clientes de primeira viagem nunca prepararam, e é a parte que as autoridades pedem primeiro.
Se o aviso nomear apenas "a União Europeia", eles concluem razoavelmente que o ponto de contato não é para eles. Nomear o EEE remove a dúvida e a reclamação que se segue.
Eles pedem a designação e uma maneira de verificá-la. Um certificado com um código de verificação resolve isso sem troca de e-mails.
Esta é a seção que vale a pena imprimir. Cada linha abaixo é uma nomeação separada com um fornecedor separado, e nenhuma designação do Artigo 27 alcança qualquer um deles.
| Território | Lei que se aplica | O que exige de uma empresa estrangeira |
|---|---|---|
| Reino Unido | GDPR do Reino Unido | Um representante estabelecido no Reino Unido. O nosso é REP27 LTD, número da empresa 17385889 |
| Suíça | Lei Federal Revisada sobre Proteção de Dados | Um representante suíço para certos controladores; nenhum provedor da UE pode agir |
| Turquia | KVKK | Cadastro VERBIS e um representante local, não relacionado ao Artigo 27 |
| Sérvia, Albânia, Macedônia do Norte | Leis nacionais modeladas no RGPD | Representação local onde a lei nacional exige isso |
| Andorra, Mônaco, San Marino | Lei nacional, adequação em alguns casos | Preocupações de adequação transferem, não representação |
O Artigo 13(1)(a) exige que a identidade e os detalhes de contato do representante sejam fornecidos aos titulares de dados. A redação abaixo é o que fornecemos, e a razão por sua forma é que um leitor em Bergen não deve ter que interpretá-la.
Um parágrafo nomeando Europe Services, SE, o endereço de Praga, o e-mail de solicitação e as palavras "Área Econômica Europeia", traduzido para os idiomas que você publica.
Porque é mais restrito do que sua cobertura, e um titular de dados norueguês que o lê tem motivos para dizer que não foi informado quem contatar.
No próprio aviso de privacidade, não nos termos de venda e não apenas em um banner de cookies. As autoridades olham para o aviso.
Nomear um representante que você não nomeou por escrito. Um arranjo não assinado publicado como fato é pior do que o silêncio.
A teoria está estabelecida; o que os clientes perguntam é o que acontece no dia. A sequência abaixo é a que seguimos, e é idêntica se a autoridade estiver em um estado do EEE ou em um Estado Membro.
| Passo | O que chega | O que o representante faz |
|---|---|---|
| 1 | Uma carta ou e-mail para o endereço publicado em seu aviso de privacidade | Registrado no dia em que chega, com uma referência que a autoridade pode citar |
| 2 | Uma solicitação para o registro das atividades de processamento | O registro do Artigo 30 que mantemos é produzido dentro do prazo |
| 3 | Perguntas sobre um sujeito de dados específico | Encaminhado para você no mesmo dia útil; a resposta substancial permanece sua |
| 4 | Um prazo, geralmente curto | Aceito imediatamente, o que impede uma escalada apenas no procedimento |
| 5 | Acompanhamento ou fechamento | Arquivado com a designação, para que uma auditoria posterior veja um rastro completo |
O modo de falha que vemos em empresas que nomearam um fornecedor barato é o silêncio no primeiro passo. Um endereço que ninguém lê produz uma constatação de não cooperação, que é mais pesada do que a reclamação original e mais fácil de provar.
Se a designação diz "União Europeia" apenas, peça para que seja reemitida. Não custa nada corrigir agora e é complicado explicar depois.
Um PDF prova que um PDF existe. Um certificado com um código verificável em uma página pública é o que a aquisição empresarial e as autoridades aceitam.
Um titular de dados pode escrever em sua própria língua. Uma mesa que responde apenas em inglês transforma um pedido rotineiro em uma reclamação sobre acessibilidade.
Pergunte o preço de renovação antes da primeira fatura. O nosso é mais baixo do que o preço de entrada; vários provedores se movem na outra direção.
Sim. O regulamento foi incorporado ao Acordo do EEE em julho de 2018 e se aplica nos três estados como lei nacional. O texto do Artigo 27 é o mesmo que na União.
Sim, para os titulares de dados nesses trinta. O que importa sob o Artigo 27(3) é que o representante esteja estabelecido em um Estado Membro onde seus titulares de dados estão; nada exige um escritório em Oslo também.
Pode. Cada autoridade do EEE supervisiona seu próprio território e pode se dirigir ao representante como ponto de contato, além de ou em vez de você.
Não. Ele deixou a União em 2020 e o Acordo do EEE com ela. Os titulares de dados do Reino Unido estão cobertos pelo RGPD do Reino Unido, que exige um representante separado estabelecido no Reino Unido.
Não. A Suíça não está no EEE. A Lei Federal Revisada sobre Proteção de Dados se aplica lá e pede um representante suíço em casos definidos; nenhum fornecedor estabelecido na UE pode desempenhar esse papel.
Fora de ambos. A lei turca exige registro no VERBIS e, para controladores estrangeiros, um representante local. A união aduaneira entre a Turquia e a União não afeta a proteção de dados de forma alguma.
EEE, quando sua cobertura é em toda a EEE. Nomear apenas a União subestima isso e dá a um titular de dados norueguês ou islandês uma razão para dizer que não foi informado a quem se dirigir.
Não. O Artigo 27 pede uma designação. Os provedores que vendem representação por país dentro do EEE estão vendendo algo que o regulamento não pede.
Qualquer que o titular de dados escolher. Na prática, vemos norueguês, islandês, inglês e alemão para esses três estados; o escritório responde em oito idiomas.
Não. A segurança do produto é um regulamento separado com sua própria pessoa responsável sob o Artigo 16. Uma empresa que envia bens físicos geralmente precisa de ambos.
O Artigo 3(2) não tem limite. Se você oferece bens ou serviços para eles ou monitora seu comportamento, a obrigação existe independentemente de quantos eles sejam.
Apenas se esse distribuidor estiver estabelecido na União ou no EEE e tiver assinado uma designação aceitando o papel. Um relacionamento comercial não é uma nomeação.
O oposto. Uma designação feita antes de 2021 cobre a União e o EEE, e deixou de cobrir o Reino Unido quando ele saiu. A maioria das empresas descobre isso durante uma auditoria.
Dentro de 24 horas de um formulário preenchido: designação assinada, certificado com um código de verificação e o parágrafo do aviso de privacidade pronto para publicação.
Não. É a mesma designação pelo mesmo preço, a partir de €290 por ano. A cobertura vem do Acordo EEE, não de um complemento.
As decisões de incorporação são publicadas e entram em vigor em uma data declarada. Se um ato futuro mudar a posição, a designação é alterada e reemitida em vez de substituída.
Relacionado: qual Estado Membro designar em · cobrindo o Reino Unido também
Europe Services, SE em Praga como seu representante do Artigo 27 para toda a Área Econômica Europeia, nomeado dentro de 24 horas, com um certificado verificável e um balcão de solicitações em oito idiomas.
Veja os planos