Artigo 27.º do UK GDPR
Representante UK para empresas estabelecidas fora do Reino Unido
O Brexit não eliminou a obrigação, duplicou-a. Uma empresa fora do Reino Unido que oferece bens ou serviços a pessoas aqui, ou monitoriza o seu comportamento, tem de designar um representante estabelecido na Grã-Bretanha. A designação europeia não cobre isso, e nunca cobriu.
Quem tem de designar um representante UK
O teste tem a mesma forma do europeu, aplicado a outro território. Está abrangido se as três condições se verificarem.
01
Sem estabelecimento no Reino Unido
Sem sucursal, sem filial, sem escritório. Um revendedor ou distribuidor britânico que seja uma sociedade separada não o torna estabelecido aqui.
02
Dirige-se a pessoas no Reino Unido
Preços em libras, envios para a Grã-Bretanha, um domínio .co.uk, publicidade em inglês dirigida a este mercado, ou simplesmente encomendas de clientes britânicos.
03
Trata os seus dados pessoais
Nomes, moradas, emails, histórico de encomendas, cookies que os traçam. Quase tudo o que uma loja online ou uma app faz.
As isenções são estreitas: tratamento ocasional de baixo risco, sem categorias especiais de dados em larga escala, e autoridades públicas. Quase nenhuma empresa que venda online se enquadra.
O que faz de facto um representante UK
O papel espelha o artigo 27.º do RGPD europeu, com a Information Commissioner's Office no lugar das autoridades europeias.
| Dever | Na prática |
|---|---|
| Ponto de contacto | Indicado na sua política de privacidade para que as pessoas no Reino Unido e a ICO possam escrever a alguém aqui |
| Interpelado no seu lugar | Pode ser contactado além da sua empresa, ou em vez dela, sobre qualquer questão relativa ao tratamento |
| Registo das atividades de tratamento | Mantido por sua conta e apresentado à ICO quando pedido |
| Cooperação | Encaminha os pedidos, guarda o processo e mantém-se no assunto até este ficar encerrado |
| Estabelecido no Reino Unido | REP27 LTD, sociedade n.º 17385889, Mildenhall, Suffolk — verificável na Companies House |
O que não é: um encarregado de proteção de dados, uma sociedade de advogados, nem um escudo face às suas próprias obrigações. A responsabilidade ao abrigo do UK GDPR continua a ser sua.
Reino Unido e União juntos, ou em separado
A maioria de quem pergunta por um precisa dos dois, porque vende nos dois mercados. São emitidos dois mandatos, com preço de pacote e renovação na mesma data.
Quanto paga
Só o Reino Unido custa o mesmo que só a União: desde 290 € por ano. Os dois territórios juntos desde 390 € — o segundo mercado custa 100 € por ano, não o dobro.
O que recebe
Para ambos: duas designações assinadas, dois certificados, dois códigos de verificação e duas linhas para a sua política de privacidade. Um pagamento, um formulário, uma renovação.
O que colocar na sua política de privacidade
O texto tem de nomear a entidade e dar uma morada para a qual se possa escrever. Se cobrir os dois territórios, são duas linhas, não uma: uma só linha com uma só entidade estaria errada perante a outra autoridade.
EU representative under Article 27 GDPR: Europe Services, SE, Na Cecelicce 425/4, Smichov,
150 00 Praha 5, Czech Republic. Data subjects may contact the representative at
info@gdprrepresentative.com regarding the processing of their personal data.
UK representative under Article 27 of the UK GDPR: REP27 LTD (company number 17385889),
Unit 82a James Carter Road, Mildenhall, Suffolk IP28 7DE, United Kingdom. Data subjects in the
United Kingdom may contact the representative at info@gdprrepresentative.com.
Enviamos-lhe ambas as linhas na língua da sua política assim que as designações forem emitidas.
Perguntas que as empresas fazem antes de designar
Um representante UE cobre o Reino Unido?
Não. Desde o fim do período de transição o UK GDPR é um regime próprio com o seu próprio regulador. Um representante estabelecido num Estado-Membro não tem posição perante a ICO.
Somos uma empresa dos EUA que vende na UE e no Reino Unido. Do que precisamos?
De ambos. Uma designação que nomeie uma entidade na União e outra que nomeie uma no Reino Unido. Emitimo-las em conjunto por 390 € por ano em vez de 290 € cada.
O representante UK é obrigatório ou recomendado?
Obrigatório ao abrigo do artigo 27.º do UK GDPR quando está fora do Reino Unido e se dirige a pessoas aqui ou monitoriza o seu comportamento, salvo uma das isenções estreitas.
O que pode a ICO fazer se não o tivermos designado?
A falta de designação é uma infração por si só e pode implicar uma coima, independentemente de qualquer outra violação. Na prática surge durante um pedido ou uma reclamação, quando não há ninguém a quem escrever.
O nosso distribuidor britânico pode atuar como representante?
Só se aceitar o mandato por escrito e os seus dados forem publicados na sua política. A maioria recusa, porque o representante pode ser interpelado no seu lugar.
Com que rapidez é feita a designação e como se prova?
Emitida no mesmo dia útil em que o formulário e o pagamento estão completos. A prova é um código com prefixo UK27 que resolve no nosso registo público: verde enquanto o mandato está ativo, vermelho quando caduca.
Precisamos também de um encarregado de proteção de dados no Reino Unido?
Raramente. A obrigação de EPD depende da sua atividade, não de onde está, e a maioria das empresas que precisa de representante não tem qualquer obrigação de EPD.
O que acontece se cancelarmos?
A designação corre até à data de caducidade e depois aparece como caducada no registo. Atualiza a sua política; nós não guardamos o seu nome depois dessa data.
Designe hoje um representante UK
Desde 290 € por ano para o Reino Unido, ou 390 € para o Reino Unido e a União juntos. Emitida no mesmo dia útil, com um código que qualquer pessoa pode verificar.
Ver os planos Que obrigação se aplica a mim?
Conforme o país onde a sua empresa está estabelecida
A obrigação lê-se da mesma forma em toda a parte, mas o que faz tropeçar muda conforme a origem: a base para as transferências, o regulador que já conhece e a forma como os clientes britânicos chegam até si.