Bạn có cần đại diện GDPR của EU không? Điều 27 Giải thích

Nếu công ty của bạn có trụ sở bên ngoài Liên minh Châu Âu nhưng bán sản phẩm hoặc dịch vụ cho khách hàng trong EU, GDPR vẫn có thể áp dụng cho doanh nghiệp của bạn.

Một yêu cầu mà các doanh nghiệp quốc tế đôi khi bỏ qua là Điều 27 của Quy định chung về bảo vệ dữ liệu (GDPR). Trong một số trường hợp nhất định, một công ty không có cơ sở tại EU phải chính thức chỉ định một đại diện trong Liên minh châu Âu.

Điều này có thể ảnh hưởng đến các cửa hàng trực tuyến, công ty phần mềm, nhà cung cấp dịch vụ, thương hiệu quốc tế và các doanh nghiệp khác nhắm đến khách hàng châu Âu.

Trong hướng dẫn này, chúng tôi giải thích khi nào thì một Đại diện GDPR của EU Các yêu cầu có thể được đặt ra, vai trò của người đại diện và cách các doanh nghiệp ngoài EU có thể đáp ứng yêu cầu này.

Đại diện GDPR của EU là gì?

Đại diện GDPR của EU là cá nhân hoặc tổ chức được thành lập trong Liên minh Châu Âu và được chỉ định chính thức bởi một số bên kiểm soát hoặc xử lý dữ liệu đặt tại bên ngoài EU.

Người đại diện cung cấp đầu mối liên lạc dễ tiếp cận trong EU đối với các vấn đề liên quan đến việc xử lý dữ liệu cá nhân của công ty.

Điều 27 yêu cầu người đại diện phải được chỉ định. bằng văn bản. Văn phòng đại diện phải được thành lập tại một quốc gia thành viên EU nơi các cá nhân có liên quan, जिनका dữ liệu cá nhân được xử lý, đang cư trú.

Sau đó, người đại diện có thể được các cơ quan giám sát của EU và các chủ thể dữ liệu liên hệ để giải quyết các vấn đề liên quan đến hoạt động xử lý dữ liệu của công ty.

Tại sao GDPR có thể áp dụng cho một công ty bên ngoài EU?

Một quan niệm sai lầm phổ biến là GDPR chỉ áp dụng cho các công ty được thành lập trong Liên minh Châu Âu.

Điều đó không phải lúc nào cũng đúng.

Theo Điều 3(2) GDPR, Quy định cũng có thể áp dụng cho một số hoạt động xử lý của các bên kiểm soát và xử lý dữ liệu không được thành lập tại EU nếu các hoạt động đó liên quan đến:

• Cung cấp hàng hóa cho các cá nhân trong Liên minh châu Âu;
• Cung cấp dịch vụ cho các cá nhân tại EU; hoặc
• Giám sát hành vi của các cá nhân khi hành vi đó diễn ra trong phạm vi Liên minh châu Âu.

Phạm vi lãnh thổ này đặc biệt quan trọng đối với thương mại điện tử quốc tế.

Ví dụ: Một cửa hàng trực tuyến của Mỹ bán hàng sang Đức

Hãy xem xét một công ty được thành lập tại Hoa Kỳ nhưng không có văn phòng tại EU.

Công ty này vận hành một cửa hàng trực tuyến chuyên phục vụ khách hàng Đức, nhận đơn đặt hàng từ Đức, vận chuyển sản phẩm đến Đức và xử lý thông tin khách hàng như tên, địa chỉ, địa chỉ email và thông tin đơn đặt hàng.

Việc công ty đặt trụ sở tại Hoa Kỳ không tự động loại trừ các hoạt động xử lý dữ liệu đó khỏi phạm vi điều chỉnh của GDPR.

Nếu Điều 3(2) áp dụng thì doanh nghiệp nên đánh giá xem Điều 27 có yêu cầu doanh nghiệp phải chỉ định một đại diện trong Liên minh Châu Âu hay không.

Ai cần người đại diện theo Điều 27 GDPR?

Điều 27 nói chung yêu cầu người kiểm soát hoặc người xử lý thuộc phạm vi Điều 3(2) GDPR phải chỉ định một đại diện tại Liên minh Châu Âu trừ khi có trường hợp ngoại lệ.

Điều này có nghĩa là yêu cầu này có khả năng ảnh hưởng đến các doanh nghiệp có trụ sở tại các quốc gia như:

• Hoa Kỳ;
• Vương quốc Anh;
• Thụy Sĩ;
• Canada;
• Úc;
• Nhật Bản;
• Trung Quốc;
• Singapore; và
• các quốc gia khác ngoài EU.

Cần phải đánh giá các hoạt động và quy trình sản xuất của công ty, chứ không chỉ đơn thuần là quốc gia thành lập công ty.

Liệu mọi công ty không thuộc EU đều bắt buộc phải chỉ định người đại diện?

KHÔNG.

Điều 27 có quy định miễn trừ trong trường hợp việc xử lý là thỉnh thoảng, Việc này không bao gồm việc xử lý quy mô lớn các loại dữ liệu cá nhân đặc biệt hoặc dữ liệu cá nhân liên quan đến các bản án và hành vi phạm tội, và không có khả năng gây ra rủi ro cho các quyền và tự do của cá nhân, có tính đến bản chất, bối cảnh, phạm vi và mục đích của việc xử lý.

Các cơ quan và tổ chức công quyền cũng được đề cập riêng trong Điều 27.

Do đó, việc miễn trừ này không nên được coi là một sự miễn trừ chung cho các doanh nghiệp nhỏ. Một doanh nghiệp nên xem xét các hoạt động xử lý thực tế của mình trước khi kết luận rằng không cần người đại diện.

Văn phòng đại diện của EU phải đặt ở đâu?

Theo Điều 27(3), người đại diện phải được thành lập tại một trong các quốc gia thành viên EU nơi các chủ thể dữ liệu liên quan cư trú.

Ví dụ, nếu một công ty thương mại điện tử không thuộc EU chủ động bán hàng cho người tiêu dùng ở Đức và xử lý dữ liệu cá nhân của họ liên quan đến các giao dịch bán hàng đó, thì một đại diện được thành lập tại Đức có thể đóng vai trò là điểm liên lạc phù hợp tại EU.

Ủy ban Bảo vệ Dữ liệu Châu Âu (EDPB) cũng khuyến nghị, như một thông lệ tốt, nên đặt văn phòng đại diện tại quốc gia thành viên nơi có một tỷ lệ đáng kể các đối tượng dữ liệu bị ảnh hưởng sinh sống.

Người đại diện GDPR của EU làm những gì?

Người đại diện không chỉ đơn thuần là một địa chỉ có thể được thêm vào chính sách bảo mật.

Vai trò này tạo ra một đầu mối liên lạc giữa công ty không thuộc EU, các cá nhân trong EU và các cơ quan bảo vệ dữ liệu có thẩm quyền.

1. Đóng vai trò là điểm liên lạc của EU

Người đại diện cung cấp thông tin liên hệ cụ thể trong Liên minh Châu Âu về các vấn đề liên quan đến GDPR đối với hoạt động xử lý dữ liệu của công ty được đại diện.

2. Tạo điều kiện thuận lợi cho việc giao tiếp với chủ thể dữ liệu

Các chủ thể dữ liệu thuộc EU phải có khả năng liên hệ với người đại diện về các vấn đề xử lý dữ liệu có liên quan và việc thực hiện các quyền của họ theo GDPR.

Người đại diện có thể nhận các thông tin liên quan và phối hợp chúng với công ty được đại diện.

3. Liên lạc với các cơ quan giám sát

Người đại diện cũng phải sẵn sàng hợp tác với các cơ quan giám sát có thẩm quyền của EU liên quan đến các hoạt động xử lý dữ liệu thuộc phạm vi bổ nhiệm.

Điều này giúp các nhà chức trách châu Âu có một đầu mối liên lạc dễ tiếp cận ngay cả khi bên kiểm soát hoặc xử lý dữ liệu có thể nằm ngoài EU.

4. Hỗ trợ Điều 30 Xử lý hồ sơ

Điều 30 GDPR yêu cầu các bên kiểm soát dữ liệu và, nếu có, đại diện của họ phải lưu giữ hồ sơ về các hoạt động xử lý dữ liệu.

Tùy thuộc vào tổ chức và vai trò của nó, các hồ sơ này có thể bao gồm thông tin liên quan đến:

• người kiểm soát và người đại diện;
• mục đích xử lý;
• các loại đối tượng dữ liệu;
• các loại dữ liệu cá nhân;
• các loại đối tượng nhận;
• Chuyển khoản quốc tế;
• thời hạn lưu giữ nếu có thể; và
• Mô tả tổng quát các biện pháp an ninh kỹ thuật và tổ chức có liên quan, nếu có thể.

Các hồ sơ này phải được cung cấp cho cơ quan giám sát có thẩm quyền khi cần thiết.

Liệu đại diện tuân thủ GDPR của EU có giống với cán bộ bảo vệ dữ liệu hay không?

KHÔNG. Người đại diện theo Điều 27 và Cán bộ bảo vệ dữ liệu (DPO) là hai chức năng riêng biệt theo GDPR.

Đại diện EU hoạt động theo ủy quyền từ một bên kiểm soát hoặc xử lý dữ liệu không thuộc EU và đóng vai trò là đại diện của bên đó trong Liên minh Châu Âu đối với các vấn đề liên quan đến GDPR.

Theo Điều 37 đến 39 của GDPR, Cán bộ bảo vệ dữ liệu (DPO) có vai trò riêng biệt và phải thực hiện vai trò đó với sự độc lập cần thiết.

EDPB đã chỉ rõ rằng vai trò của một Đại diện EU nói chung không tương thích với việc đồng thời đảm nhiệm vai trò Cán bộ bảo vệ dữ liệu bên ngoài (DPO) cho cùng một tổ chức.

Việc chỉ định người đại diện có chuyển giao trách nhiệm theo GDPR không?

KHÔNG.

Việc chỉ định một Đại diện EU không chuyển giao các nghĩa vụ tuân thủ GDPR của bên kiểm soát hoặc bên xử lý dữ liệu cho người đại diện đó.

Các doanh nghiệp không thuộc EU vẫn có trách nhiệm tuân thủ các yêu cầu của GDPR áp dụng cho các hoạt động xử lý dữ liệu của mình.

Ví dụ, doanh nghiệp vẫn có thể cần phải giải quyết các vấn đề sau:

• căn cứ pháp lý để xử lý dữ liệu;
• thông tin riêng tư;
• quyền của chủ thể dữ liệu;
• Mối quan hệ giữa các bộ xử lý;
• Chuyển dữ liệu quốc tế;
• Lưu trữ dữ liệu;
• các biện pháp an ninh;
• nghĩa vụ xử lý vi phạm dữ liệu; và
• Các yêu cầu GDPR khác có thể áp dụng.

Do đó, Đại diện EU là một phần trong cấu trúc tuân thủ GDPR rộng lớn hơn của tổ chức.

Những thông tin nào nên xuất hiện trong thông báo về quyền riêng tư của bạn?

Trường hợp đã chỉ định Đại diện EU, tổ chức cần đảm bảo rằng đại diện đó được xác định rõ ràng trong thông tin GDPR cung cấp cho chủ thể dữ liệu.

Điều này thường có nghĩa là cung cấp thông tin nhận dạng và chi tiết liên hệ của người đại diện để các cá nhân có thể dễ dàng liên hệ với người phụ trách tại châu Âu.

Các chi tiết này cần được cập nhật thường xuyên trong suốt thời gian bổ nhiệm còn hiệu lực.

Dịch vụ đại diện GDPR của EaseCert EU

EaseCert hiện cung cấp một Dịch vụ đại diện theo GDPR của EU theo Điều 27 GDPR dành cho các doanh nghiệp đủ điều kiện được thành lập bên ngoài Liên minh Châu Âu.

EaseCert GmbH, Được thành lập tại Đức, có thể được chính thức bổ nhiệm làm Đại diện EU của bạn và cung cấp điểm liên lạc châu Âu cần thiết cho chức năng đại diện.

Dịch vụ bao gồm:

• Đại diện của EU về GDPR: Việc bổ nhiệm EaseCert GmbH làm Đại diện EU của bạn theo Điều 27 GDPR;
• Điểm liên lạc của EU: Điểm liên lạc cho các chủ thể dữ liệu của EU và các cơ quan bảo vệ dữ liệu có thẩm quyền; và
• Điều 30 Hồ sơ: Thiết lập và bảo trì Hồ sơ Hoạt động Chế biến của bạn dựa trên thông tin do tổ chức của bạn cung cấp.

Chỉ cần trả phí một lần thay vì phải đăng ký thuê bao hàng năm.

Các doanh nghiệp quốc tế hiện đã phải đối mặt với nhiều chi phí định kỳ khi thâm nhập thị trường châu Âu.

Do đó, EaseCert cung cấp dịch vụ Đại diện GDPR tiêu chuẩn của EU bằng một phương pháp đơn giản. mô hình phí một lần.

Dịch vụ tiêu chuẩn không yêu cầu phí đăng ký đại diện hàng năm.

Quy trình đặt lịch hẹn EaseCert hoạt động như thế nào?

Bước 1: Đặt hàng

Đặt dịch vụ Đại diện GDPR của EU và cung cấp thông tin công ty của bạn.

Bước 2: Cung cấp thông tin xử lý của bạn

Chúng tôi thu thập thông tin cần thiết để hiểu rõ các hoạt động của bạn tại EU và các hoạt động xử lý dữ liệu được đề cập trong thỏa thuận này.

Bước 3: Xem xét và Ủy quyền đại diện

EaseCert xem xét thông tin được cung cấp và chuẩn bị các tài liệu cần thiết cho mối quan hệ đại diện.

Bước 4: Bổ nhiệm chính thức

Văn bản ủy quyền này chính thức chỉ định EaseCert GmbH là Đại diện của bạn tại EU theo Điều 27 GDPR.

Bước 5: Cập nhật thông tin quyền riêng tư của bạn

Chúng tôi cung cấp thông tin chi tiết về đại diện EaseCert có liên quan để bạn có thể đưa Đại diện EU của mình vào tài liệu về quyền riêng tư.

Bước 6: Bảo quản thông tin của bạn

Tổ chức của bạn phải thông báo cho EaseCert về những thay đổi quan trọng đối với các hoạt động xử lý dữ liệu thuộc phạm vi bổ nhiệm để hồ sơ của người đại diện liên quan luôn được cập nhật.

Tuân thủ quy định sản phẩm EU và bảo vệ dữ liệu được thực hiện tại cùng một nơi.

Đối với các doanh nghiệp thương mại điện tử quốc tế, GDPR thường chỉ là một phần trong quá trình thâm nhập thị trường châu Âu.

Tùy thuộc vào sản phẩm và quốc gia liên quan, các doanh nghiệp cũng có thể gặp phải các yêu cầu liên quan đến an toàn sản phẩm, Người chịu trách nhiệm của EU, đại diện được ủy quyền, ghi nhãn sản phẩm, tài liệu kỹ thuật, Trách nhiệm mở rộng của nhà sản xuất (EPR) và các nghĩa vụ tiếp cận thị trường khác.

EaseCert hỗ trợ các doanh nghiệp quốc tế với các dịch vụ tuân thủ quy định EU thiết thực từ chi nhánh tại Đức, cho phép các công ty phối hợp nhiều yêu cầu tuân thủ của châu Âu thông qua một nhà cung cấp duy nhất.

Hãy chuẩn bị kỹ trước khi bắt đầu bán hàng cho khách hàng EU.

Nếu doanh nghiệp của bạn được thành lập bên ngoài Liên minh Châu Âu và dự định nhắm mục tiêu đến khách hàng trong EU, hãy xác định xem Điều 27 có áp dụng hay không trước khi ra mắt sản phẩm.

Trong trường hợp cần có Đại diện EU, việc chỉ định người này sớm sẽ giúp các thông tin chi tiết về người đại diện phù hợp được đưa vào tài liệu về quyền riêng tư của bạn ngay từ đầu.

EaseCert GmbH cung cấp dịch vụ đại diện tuân thủ GDPR của EU từ Đức cho các doanh nghiệp ngoài EU đủ điều kiện với mức phí một lần.

Tài liệu tham khảo chính thức

• Quy định (EU) 2016/679 (Quy định chung về bảo vệ dữ liệu) – EUR-Lex
• Ủy ban Bảo vệ Dữ liệu Châu Âu – Hướng dẫn 3/2018 về phạm vi lãnh thổ áp dụng của GDPR

Bài viết này cung cấp thông tin chung về yêu cầu Đại diện theo GDPR của EU. Việc Điều 27 có áp dụng hay không phụ thuộc vào hoàn cảnh của từng tổ chức và các hoạt động xử lý dữ liệu của tổ chức đó. Dịch vụ Điều 27 của EaseCert là dịch vụ đại diện EU và không cấu thành tư vấn pháp lý hoặc dịch vụ của Cán bộ bảo vệ dữ liệu (DPO).