REP27 · Precisamos de um · Empresas não da UE
Artigo 3(2) · Artigo 27(1) · Artigo 27(2)
A pergunta é respondida por quatro testes, na ordem em que o regulamento os estabelece, e a resposta quase nunca depende da indústria ou do tamanho da empresa. Depende de se um Representante do GDPR para uma empresa não da UE é necessário em tudo: se você está estabelecido na União, se o Artigo 3(2) o alcança, se seu processamento é genuinamente ocasional e se você é uma autoridade pública. Tudo o mais — onde seus servidores estão, se você tem um DPO, se uma decisão de adequação se aplica — é ruído que foi argumentado e perdido.
Estados Unidos Reino Unido Índia China Hong Kong Canadá Austrália Brasil
Responder a eles fora de ordem é como as empresas se convencem de que estão isentas. O regulamento pergunta sobre o estabelecimento primeiro, e só depois sobre o que você faz.
| Pergunta | O que conta | O que não |
|---|---|---|
| Estabelecido na União? | Uma escritório, equipe, atividade efetiva e real através de arranjos estáveis. | Uma região de nuvem, um armazém 3PL, um revendedor, uma caixa de correio. |
| Artigo 3(2) alcançado? | Moeda da UE, idioma, envio, anúncios direcionados, domínios da UE. | Sendo meramente acessível a partir da União |
| Processamento ocasional? | Um evento único sem registros retidos | Uma base de dados de clientes, histórico de pedidos, um boletim informativo |
| Autoridade pública? | Órgãos públicos sob o Artigo 27(2)(b) | Empresas privadas de qualquer tamanho |
Cada um desses foi argumentado por uma empresa que depois pagou por isso. Eles valem a pena ser lidos como advertências em vez de como teoria.
O Requisito de representante da UEnão é satisfeito apenas escolhendo um fornecedor. É satisfeito por um documento com cinco propriedades.
Para nomear um representante da UE, você precisa de um mandato assinado por ambas as partes. Um fornecedor que não tenha assinado não é seu representante, independentemente do que seu site diz.
Artigo 27(3). Dentro do grupo de países onde seus usuários estão, a escolha é sua.
O Artigo 13(1)(a) exige a identidade do representante no seu aviso de privacidade. Uma designação não publicada não protege ninguém.
O representante mantém o registro das atividades de processamento disponível para as autoridades, que é a parte que a maioria dos clientes de primeira viagem nunca preparou.
Um endereço que responde. Solicitações que chegam a uma caixa de entrada morta são tratadas como solicitações que você não conseguiu lidar.
A aplicação envolvendo o Artigo 27 raramente começa com o Artigo 27. Começa com uma reclamação sobre outra coisa, e o representante ausente é descoberto enquanto o arquivo está sendo aberto.
| Como começa | O que é verificado | O que geralmente está faltando |
|---|---|---|
| Um pedido de acesso de titular de dados ignorado | Para quem o pedido deveria ter chegado | Nenhum ponto de contato dentro da União |
| Uma reclamação sobre cookies ou rastreadores | O aviso de privacidade | Nenhum representante nomeado sob o Artigo 13(1)(a) |
| Uma notificação de violação de dados | Registros do artigo 30 | Nenhum registro mantido em qualquer lugar da União |
| Uma revisão de aquisição ou auditoria | A designação em si | Um documento não assinado ou não verificável |
Geralmente uma empresa de SaaS ou e-commerce que assumiu que uma região de nuvem da UE era suficiente, e que um DPO no organograma cobria o resto.
Pós-Brexit, um terceiro país como qualquer outro. Precisa de um representante da UE, e seus clientes da UE muitas vezes não estão cientes de que a posição mudou.
Exportadores de serviços processando em nome de clientes da UE. Processadores, então o Artigo 27 se aplica a eles diretamente em vez de através de seus clientes.
Vendedores de bens de consumo. Quase sempre precisam do Artigo 16 também, e descobrem ambos ao mesmo tempo quando um marketplace os bloqueia.
Fora da União. Precisa da designação da UE para seus clientes da UE, além de um arranjo separado com a Suíça que nenhum fornecedor da UE pode fornecer.
O Artigo 27 e o Artigo 30 juntos definem o trabalho, e é mais restrito e concreto do que a maioria dos clientes de primeira viagem espera.
| Dever | De onde vem | Na prática |
|---|---|---|
| Atuar como ponto de contato | Artigo 27(4) | Autoridades e titulares de dados se dirigem ao representante além de, ou em vez de, você. |
| Manter o registro de processamento | Artigo 30(1) e 30(2) | O registro é mantido e disponibilizado às autoridades mediante solicitação. |
| Cooperar com as autoridades de supervisão | Artigo 31 | Solicitações são respondidas, registradas e encaminhadas para você no mesmo dia útil. |
| Ser acessível no idioma correto | Prática, não texto | Oito idiomas, para que uma reclamação não se torne uma segunda reclamação. |
Nome registrado, número e endereço no seu próprio país. Sem apostila, sem notariação, sem tradução.
Alguém capaz de vincular a empresa. Um diretor ou um funcionário; um gerente de marketing será questionado mais tarde.
O que você coleta, de quem na União, por quê, e quem mais toca nisso. Uma página é suficiente e se torna seu registro do Artigo 30.
Uma caixa de entrada do seu lado que é realmente lida, porque tudo que a mesa recebe é encaminhado para lá.
Assim, a identidade publicada do representante pode ser verificada em relação à designação.
Empresas que esperam um processo de integração de um mês geralmente estão pensando em uma certificação. Esta é uma designação: um formulário, uma contrassinalização, um parágrafo publicado.
Não. O considerando 22 pede atividade efetiva e real através de arranjos estáveis. Alugar infraestrutura não é isso, e o argumento foi apresentado e rejeitado.
Não. Um DPO aconselha você sob o Artigo 37. Um representante é um ponto de contato dentro da União sob o Artigo 27. Funções diferentes, ambas possivelmente necessárias.
Apenas uma designação por escrito, assinada por uma entidade estabelecida na União, cria um representante. Uma relação comercial não cria, por mais próxima que seja.
Não há um limite. Uma lista de clientes mais um histórico de pedidos mais um boletim informativo é processamento contínuo e falha no Artigo 27(2)(a) imediatamente, mesmo em volumes pequenos.
Não. A adequação rege transferências. Não tem efeito sobre o Artigo 27, e empresas em países adequados designam exatamente nos mesmos termos.
O Artigo 83(4)(a) coloca isso na faixa de até €10 milhões ou 2% do faturamento anual mundial, e sua ausência é regularmente tratada como um fator agravante em outros processos.
Pode ser uma pessoa natural ou jurídica estabelecida na União, mas autoridades e clientes empresariais esperam uma empresa com um registro verificável por trás.
Dentro de 24 horas após um formulário de integração completo. O certificado e o código de verificação são emitidos ao mesmo tempo, para que você possa enviar a prova a um cliente no mesmo dia.
Não. Uma designação cobre titulares de dados em todos os 27. O que o Artigo 27(3) rege é onde o próprio representante está estabelecido.
A designação assinada, o aviso de privacidade mostrando o representante sob o Artigo 13(1)(a), e o registro das atividades de processamento sob o Artigo 30. Esses três, nessa ordem.
Se uma entidade do grupo estabelecida na União realiza o processamento como controlador, a análise muda completamente. Se ela apenas existe enquanto a matriz não-UE decide tudo, a matriz ainda precisa de um representante.
Não para isso. A obrigação é acionada pela oferta de serviços ou monitoramento de comportamento, não por quanto tempo você mantém os dados depois.
É a mesma ideia em um estatuto separado. Atender ambos os territórios significa duas designações, uma estabelecida na União e uma no Reino Unido.
Relacionado: a versão curta deste teste · uma subsidiária em vez de um representante
Europe Services, SE em Praga, ativa desde 2018, como seu representante do Artigo 27 em todos os 27 Estados Membros, com um certificado contendo um código de verificação e um balcão de solicitações em oito idiomas.
Veja os planos