Aveți nevoie de un reprezentant UE GDPR? Articolul 27 Explicat

Dacă firma dumneavoastră are sediul în afara Uniunii Europene, dar vinde produse sau servicii către clienți din UE, GDPR-ul se poate aplica în continuare afacerii dumneavoastră.

O cerință pe care companiile internaționale o trec uneori cu vederea este Articolul 27 din Regulamentul general privind protecția datelor (RGPD). În anumite circumstanțe, o societate fără un sediu în UE trebuie să numească în mod oficial un reprezentant în cadrul Uniunii Europene.

Acest lucru poate afecta magazinele online, companiile de software, furnizorii de servicii, mărcile internaționale și alte afaceri care vizează clienții europeni.

În acest ghid, explicăm când o Reprezentantul GDPR al UE care ar putea fi cerințele, ce face reprezentantul și cum pot întreprinderile din afara UE să respecte această cerință.

Ce este un reprezentant GDPR al UE?

Un Reprezentant GDPR al UE este o persoană sau o organizație stabilită în Uniunea Europeană, desemnată oficial de anumiți operatori sau persoane împuternicite de operatori aflați în afara UE.

Reprezentantul oferă un punct de contact accesibil în cadrul UE pentru aspecte legate de prelucrarea datelor cu caracter personal de către companie.

Articolul 27 prevede că reprezentantul trebuie desemnat în scris. Reprezentantul trebuie să fie stabilit într-un stat membru al UE în care se află persoanele relevante ale căror date cu caracter personal sunt prelucrate.

Reprezentantul poate fi apoi contactat de autoritățile de supraveghere ale UE și de persoanele vizate cu privire la aspecte legate de activitățile de prelucrare ale companiei.

De ce se poate aplica GDPR unei companii din afara UE?

O concepție greșită des întâlnită este aceea că GDPR se aplică doar companiilor înregistrate în Uniunea Europeană.

Nu este întotdeauna cazul.

În temeiul articolului 3 alineatul (2) din RGPD, Regulamentul se poate aplica, de asemenea, anumitor activități de prelucrare ale operatorilor și ale persoanelor împuternicite de operatori care nu sunt stabiliți în UE, în cazul în care aceste activități se referă la:

• oferirea de bunuri persoanelor fizice din UE;
• oferirea de servicii persoanelor fizice din UE; sau
• monitorizarea comportamentului persoanelor acolo unde acest comportament are loc în UE.

Această sferă de aplicare teritorială este deosebit de relevantă pentru comerțul electronic internațional.

Exemplu: Un magazin online din SUA vinde în Germania

Să luăm în considerare o companie înființată în Statele Unite, fără un birou în UE.

Compania operează un magazin online care deservește în mod special clienți germani, acceptă comenzi din Germania, livrează produse în Germania și prelucrează informații despre clienți, cum ar fi nume, adrese, adrese de e-mail și informații despre comenzi.

Faptul că firma în sine se află în Statele Unite nu plasează automat aceste activități de prelucrare în afara GDPR-ului.

Dacă se aplică articolul 3 alineatul (2), întreprinderea ar trebui să evalueze dacă articolul 27 îi impune să numească un reprezentant în cadrul Uniunii Europene.

Cine are nevoie de un reprezentant conform articolului 27 din GDPR?

Articolul 27 impune, în general, unui operator sau unei persoane împuternicite de operator care se încadrează la articolul 3 alineatul (2) din RGPD să desemneze un reprezentant în Uniunea Europeană, cu excepția cazului în care se aplică o excepție.

Aceasta înseamnă că cerința poate afecta potențial afacerile cu sediul în țări precum:

• Statele Unite;
• Regatul Unit;
• Elveţia;
• Canada;
• Australia;
• Japonia;
• China;
• Singapore; și
• alte țări din afara UE.

Activitățile și operațiunile de prelucrare ale companiei, nu doar țara sa de înregistrare, trebuie evaluate.

Este obligată fiecare companie din afara UE să numească un reprezentant?

Nu.

Articolul 27 conține o excepție în cazul în care prelucrarea este ocazional, nu include prelucrarea la scară largă a categoriilor speciale de date cu caracter personal sau a datelor cu caracter personal referitoare la condamnări penale și infracțiuni și este puțin probabil să genereze un risc pentru drepturile și libertățile persoanelor, ținând cont de natura, contextul, domeniul de aplicare și scopurile prelucrării.

Autoritățile și organismele publice sunt, de asemenea, abordate separat în temeiul articolului 27.

Prin urmare, scutirea nu ar trebui tratată ca o scutire generală pentru întreprinderile mici. O întreprindere ar trebui să își ia în considerare activitățile de prelucrare efective înainte de a concluziona că nu este necesar un reprezentant.

Unde trebuie să fie situat reprezentantul UE?

În temeiul articolului 27 alineatul (3), reprezentantul trebuie să fie stabilit într-unul dintre statele membre ale UE în care se află persoanele vizate relevante.

De exemplu, dacă o companie de comerț electronic din afara UE vinde în mod activ către consumatori din Germania și prelucrează datele acestora cu caracter personal în legătură cu aceste vânzări, un reprezentant stabilit în Germania poate oferi un punct de contact adecvat în UE.

Comitetul european pentru protecția datelor (CEPD) recomandă, de asemenea, ca bună practică, amplasarea reprezentantului în statul membru în care se află o proporție semnificativă a persoanelor vizate.

Ce face un reprezentant GDPR al UE?

Reprezentantul este mai mult decât o adresă care poate fi pur și simplu adăugată la o politică de confidențialitate.

Rolul creează un punct de contact la nivelul UE între societatea din afara UE, persoanele fizice din UE și autoritățile competente pentru protecția datelor.

1. Acționează ca punct de contact al UE

Reprezentantul oferă o persoană de contact identificabilă în cadrul Uniunii Europene pentru aspecte legate de GDPR legate de activitățile de prelucrare ale companiei reprezentate.

2. Facilitează comunicarea cu persoanele vizate

Persoanele vizate din UE trebuie să poată contacta reprezentantul cu privire la aspecte relevante legate de prelucrare și la exercitarea drepturilor lor în temeiul RGPD.

Reprezentantul poate primi comunicări relevante și le poate coordona cu compania reprezentată.

3. Comunică cu autoritățile de supraveghere

Reprezentantul trebuie, de asemenea, să fie la dispoziția autorităților de supraveghere competente ale UE în ceea ce privește activitățile de prelucrare care fac obiectul numirii.

Acest lucru oferă autorităților europene un punct de contact accesibil, chiar dacă operatorul sau persoana împuternicită de operator se află în afara UE.

4. Suportă înregistrările de procesare conform Articolului 30

Articolul 30 din RGPD impune operatorilor și, după caz, reprezentanților acestora să țină evidența activităților de prelucrare.

În funcție de organizație și de rolul acesteia, aceste înregistrări pot include informații privind:

• operatorul și reprezentantul;
• scopurile prelucrării;
• categorii de persoane vizate;
• categorii de date cu caracter personal;
• categorii de destinatari;
• transferuri internaționale;
• perioadele de păstrare, acolo unde este posibil; și
• o descriere generală a măsurilor tehnice și organizatorice de securitate relevante, acolo unde este posibil.

Aceste înregistrări trebuie să fie puse la dispoziția autorității de supraveghere competente, atunci când este necesar.

Este un reprezentant GDPR al UE același lucru cu un responsabil cu protecția datelor?

Nu. Un reprezentant în temeiul articolului 27 și un responsabil cu protecția datelor (RPD) sunt funcții separate în cadrul GDPR.

Un reprezentant UE acționează în baza unui mandat din partea unui operator sau a unei persoane împuternicite de operator din afara UE și servește ca reprezentant al acestuia în cadrul Uniunii Europene pentru aspectele relevante legate de GDPR.

Un responsabil cu protecția datelor (RPD) are un rol separat în temeiul articolelor 37-39 din RGPD și trebuie să îndeplinească acest rol cu ​​independența necesară.

CEPD a indicat în mod specific că rolul unui reprezentant al UE nu este, în general, compatibil cu îndeplinirea simultană a funcției de responsabil cu protecția datelor (DPO) extern pentru aceeași organizație.

Numirea unui reprezentant transferă responsabilitatea GDPR?

Nu.

Numirea unui Reprezentant UE nu transferă obligațiile RGPD ale operatorului sau ale împuternicitului de către operator către reprezentantul respectiv.

Întreprinderea din afara UE rămâne responsabilă pentru respectarea cerințelor GDPR aplicabile activităților sale de prelucrare.

De exemplu, este posibil ca afacerea să fie nevoită în continuare să abordeze:

• temeiurile juridice pentru prelucrare;
• informații privind confidențialitatea;
• drepturile persoanelor vizate;
• relațiile cu procesorul;
• transferuri internaționale de date;
• păstrarea datelor;
• măsuri de securitate;
• obligații privind încălcarea datelor; și
• alte cerințe GDPR aplicabile.

Prin urmare, reprezentantul UE face parte din structura mai amplă de conformitate cu GDPR a organizației.

Ce informații ar trebui să apară în Notificarea dumneavoastră de confidențialitate?

În cazul în care a fost numit un reprezentant al UE, organizația trebuie să se asigure că reprezentantul este identificat în mod corespunzător în informațiile GDPR furnizate persoanelor vizate.

În mod normal, aceasta înseamnă furnizarea identității și a datelor de contact ale reprezentantului, astfel încât persoanele să aibă un punct de contact european accesibil.

Detaliile trebuie păstrate la zi atât timp cât numirea este în vigoare.

Serviciul de reprezentare EaseCert UE GDPR

EaseCert oferă acum o Serviciul de reprezentare al UE în temeiul articolului 27 din RGPD pentru întreprinderile eligibile stabilite în afara Uniunii Europene.

EaseCert GmbH, stabilit în Germania, poate fi numit oficial reprezentantul dumneavoastră la UE și poate oferi punctul de contact european necesar pentru funcția de reprezentare.

Serviciul include:

• Reprezentanță UE pentru GDPR: numirea EaseCert GmbH ca Reprezentant al dumneavoastră în UE în temeiul articolului 27 din GDPR;
• Punct de contact UE: punct de comunicare pentru persoanele vizate din UE și autoritățile competente pentru protecția datelor; și
• Înregistrări conform articolului 30: configurarea și întreținerea Registrului activităților de prelucrare pe baza informațiilor furnizate de organizația dumneavoastră.

O taxă unică în loc de un alt abonament anual

Companiile internaționale se confruntă deja cu numeroase costuri recurente atunci când intră pe piața europeană.

Prin urmare, EaseCert oferă serviciul său standard de reprezentare GDPR UE utilizând un simplu model de taxă unică.

Nu există un abonament anual pentru reprezentanți pentru serviciul standard.

Cum funcționează procesul de programare EaseCert

Pasul 1: Plasați comanda

Comandați serviciul de Reprezentanță GDPR UE și furnizați informațiile companiei dumneavoastră.

Pasul 2: Furnizați informațiile dvs. de procesare

Colectăm informațiile necesare pentru a înțelege activitățile dumneavoastră în UE și operațiunile de prelucrare care fac obiectul numirii.

Pasul 3: Revizuirea și mandatul reprezentantului

EaseCert analizează informațiile furnizate și pregătește documentația necesară pentru relația de reprezentare.

Pasul 4: Numire oficială

Mandatul scris desemnează oficial EaseCert GmbH drept Reprezentantul dumneavoastră în UE în temeiul articolului 27 din GDPR.

Pasul 5: Actualizați-vă informațiile de confidențialitate

Vă oferim detaliile relevante ale reprezentantului EaseCert, astfel încât să puteți include reprezentantul UE în documentația dumneavoastră privind confidențialitatea.

Pasul 6: Păstrați-vă informațiile

Organizația dumneavoastră trebuie să informeze EaseCert cu privire la modificările semnificative ale activităților de prelucrare acoperite de numire, astfel încât înregistrările relevante ale reprezentantului să rămână actualizate.

Conformitatea produselor UE și protecția datelor sub același acoperiș

Pentru companiile internaționale de comerț electronic, GDPR este adesea doar o parte a intrării pe piața europeană.

În funcție de produsele și țările implicate, întreprinderile se pot confrunta, de asemenea, cu cerințe privind siguranța produselor, persoanele responsabile din UE, reprezentanții autorizați, etichetarea produselor, documentația tehnică, răspunderea extinsă a producătorului (EPR) și alte obligații de acces pe piață.

EaseCert sprijină companiile internaționale cu servicii practice de conformitate cu UE oferite de entitatea sa germană, permițând companiilor să coordoneze mai multe cerințe europene de conformitate prin intermediul unui singur furnizor.

Pregătiți-vă înainte de a începe să vindeți clienților din UE

Dacă afacerea dumneavoastră este stabilită în afara Uniunii Europene și intenționează să vizeze clienți din UE, verificați dacă articolul 27 se aplică înainte de lansare.

În cazul în care este necesară prezența unui reprezentant UE, stabilirea timpurie a numirii înseamnă că detaliile corespunzătoare ale reprezentantului pot fi incluse în documentația dumneavoastră privind confidențialitatea încă de la început.

EaseCert GmbH oferă reprezentare GDPR UE din Germania pentru companiile eligibile din afara UE, contra unei taxe unice.

Referințe oficiale

• Regulamentul (UE) 2016/679 (Regulamentul general privind protecția datelor) – EUR-Lex
• Comitetul European pentru Protecția Datelor – Orientările 3/2018 privind domeniul de aplicare teritorial al RGPD

Acest articol oferă informații generale privind cerința de reprezentant UE în temeiul GDPR. Aplicarea Articolului 27 depinde de circumstanțele fiecărei organizații și de activitățile sale de prelucrare. Serviciul EaseCert în temeiul Articolului 27 este un serviciu de reprezentare UE și nu constituie consultanță juridică sau servicii de responsabil cu protecția datelor (DPO).