- Regulation (EU) 2016/679 — GDPR, Article 27
- EDPB Guidelines 3/2018 on the territorial scope
- Directive 2002/58/EC — ePrivacy, for cookies and tracking
谁必须指定
任何未在联盟内设立的控制者或处理者，其处理符合第3(2)条：向联盟内的数据主体提供商品或服务，无论是否需要付款，或监控其在联盟内的行为。提供的判断基于意图，通过如以欧元定价、使用欧盟语言、提供欧盟交付选项、针对欧盟的广告或命名成员国等方式表现出来。监控包括分析、广告Cookies、行为分析、A/B测试和对位于联盟内用户的设备指纹识别。处理者也在其自身权利下被涵盖：一家为欧盟客户处理的美国托管公司如果适用第3(2)条，需要其自己的代表。
门槛与豁免
没有营业额、员工人数或交易量的门槛。唯一的豁免在第27(2)条中是狭窄且累积的：处理必须是偶然的，不得包括大规模处理特殊类别或犯罪数据，并且不太可能导致对权利和自由的风险。对欧盟访问者的常规网站分析不是偶然的，因此在实践中，豁免几乎从不适用于运营中的企业。公共当局和机构是单独豁免的。
标签上必须载明的内容
不是一个物理标签。义务是透明性：代表的身份和联系信息必须根据第13条和第14条提供给数据主体，这在实践中意味着隐私通知中有一个明确标识的段落，包含代表的姓名、邮寄地址和联系渠道，以及声明数据主体可以就与处理相关的所有问题联系代表。将其埋在PDF中或仅命名一个通用电子邮件是当局批评的对象。
平台字段
应用商店要求提供隐私联系人，许多现在检查开发者在联盟外时是否指定了欧盟代表。企业采购问卷和安全审查常规要求提供指定，缺失会延迟交易。一些市场已经开始验证证书与提供者的公共注册信息。
必须保存的文件
书面指定或授权，定义代表的范围和涵盖的处理。根据第30条的处理活动记录，代表必须维护并在请求时向监督当局提供——这是当局首先要求的文件，其缺失是一个单独的违规行为。数据离开联盟时的转移机制的证据，例如根据决定（EU）2021/914的标准合同条款及转移影响评估。已发布的隐私通知，带日期。
标准与检测
在产品测试意义上不适用。评估的是文档和可证明的问责制：处理记录是否准确，法律依据是否成立，是否在跟踪开始之前收集了Cookies的同意，以及数据主体请求是否在一个月内得到回应。
语言要求
第12条要求以清晰和简单的语言提供信息，EDPB期望代表能够用数据主体所在成员国的语言与数据主体和当局沟通。仅用英语回答的服务台在针对例如法国、德国或波兰的提供时是一个弱点。
何时开始适用
指定必须在触发第3(2)条的处理开始之前到位。在投诉后任命代表并不能弥补早期的时间段，监督当局已专门对没有代表的期间处以罚款。由代表转发的数据主体请求在第12(3)条的时限内运行：从控制者收到之日起一个月，对于复杂请求可延长两个月，如果在第一个月内告知数据主体。
文件保存期限
在代表存在期间保留指定和第30条记录，以及之后覆盖的证据，因为后续调查将询问授权何时开始和结束。应保留收到和转发请求的记录，以证明代表履行了其职责。
不合规的后果
未指定的最高罚款为€1000万或全球年营业额的2%。EDPB将缺少代表视为独立的违规行为，独立于任何其他违规行为，多个当局已仅基于此处以罚款。除了罚款，实际风险在于关于其他任何事情的投诉——Cookies、数据主体请求、违规——会立即暴露缺失的指定，因为当局首先查找的是可以联系的对象。
由谁执法
数据主体所在任何成员国的监督当局。对于未在联盟内的控制者，没有一站式服务：27个当局中的任何一个都可以采取行动，这意味着法国的投诉送往CNIL，德国的投诉送往相关的Landesbeauftragte，且两者可以并行进行。
界限在哪里
任命代表满足一项条款；它并不使其余的处理合法，也不保护控制者，因为第27(5)条保留对控制者本身的法律行动。在一个成员国设立的代表覆盖整个联盟及冰岛、挪威和列支敦士登的欧洲经济区国家。GDPR第27条、DSA第13条、GPSR第16条和CRA代表是四个独立的任命：持有一个并不满足其他，即使同一提供者持有所有。自脱欧以来，英国根据UK GDPR要求其自己的代表，欧盟的指定不涵盖它。
常见问题
- 代表会对我们的处理负责吗？
- 代表是联系点，可以由当局和数据主体联系，除了控制者之外。处理本身的责任仍然由控制者或处理者根据第27(5)条承担。代表直接负责的是维护处理记录和与当局合作。
- 我们已经有DPO——这足够吗？
- 不够。它们是不同的角色，具有不同的法律基础。DPO在内部提供建议和监控，可以位于任何地方；第27条代表必须在联盟内设立，存在的目的是让当局和数据主体在此有可以联系的人。
- 我们只在欧盟访问者上使用Google Analytics——这算吗？
- 算。监控联盟内数据主体的行为使您符合第3(2)条，而分析是EDPB给出的教科书示例。这也带来了电子隐私同意要求，这是与GDPR要求不同的义务。
- 我们的欧盟律师事务所或经销商可以作为代表吗？
- 任何在联盟内设立的人都可以，只要他们接受书面授权并能够实际履行该角色：接收请求、持有第30条记录并与当局合作。临时安排的风险在于，当监督当局写信时，没有人监控邮箱。