تُلزم Article 27 من GDPR المتحكمين والمعالجين من خارج الاتحاد الأوروبي الذين يعرضون سلعًا أو خدمات على أشخاص في الاتحاد الأوروبي، أو الذين يراقبون سلوك أشخاص في الاتحاد الأوروبي، بأن يعيّنوا ممثلًا كتابيًا مقيمًا في إحدى الدول الأعضاء في الاتحاد الأوروبي حيث يوجد أصحاب البيانات هؤلاء. ويُعد الممثل نقطة الاتصال الوحيدة لسلطات الإشراف ولأصحاب البيانات.

هناك إعفاءان ضيّقان: (1) المعالجة العَرَضية منخفضة المخاطر التي تستثني بيانات الفئات الخاصة وبيانات الإدانات الجنائية، و(2) السلطات والهيئات العامة. ويُعد سوء فهم هذه الإعفاءات أكثر الأخطاء كلفةً التي ترتكبها الشركات من خارج الاتحاد الأوروبي.

يُعد التخلّف عن تعيين ممثل مخالفة من الفئة الرابعة بموجب Article 83(4) — وتصل الغرامات إلى 10 ملايين يورو أو 2% من حجم الأعمال السنوي العالمي، أيهما أعلى. وقد طبّقت عدة سلطات إشراف (CNIL، وسلطة حماية البيانات في هامبورغ، وهيئة AEPD الإسبانية) هذا الالتزام فعليًا منذ عام 2021.

تنص Article 27(1) من GDPR على ما يلي:

"حيثما تنطبق Article 3(2)، يجب على المتحكم أو المعالج أن يعيّن كتابيًا ممثلًا في الاتحاد."

تُنشئ هذه الجملة القصيرة التزامًا تشغيليًا كبيرًا. فبند Article 3(2) — وهو بند النطاق خارج الإقليمي — ينطبق كلما تعلّقت المعالجة بـ: (أ) عرض سلع أو خدمات على أصحاب البيانات في الاتحاد الأوروبي، أو (ب) مراقبة سلوك أصحاب البيانات في الاتحاد الأوروبي.

ولذلك فإن الممثل هو ارتباط هيكلي بالمعالجة من خارج الاتحاد الأوروبي: صندوق بريد داخل الاتحاد، ونقطة اتصال، ومرتكز للمساءلة. فهو يقع بين عملياتك خارج الاتحاد الأوروبي وسلطات الإشراف الوطنية السبع والعشرين في الاتحاد الأوروبي.

تحتاج إلى ممثل إذا انطبقت عليك جميع هذه الشروط الأربعة:

1. أنت غير مقيم في الاتحاد الأوروبي (لا يوجد كيان أو فرع أو شركة تابعة تمارس نشاطًا فعليًا من خلال ترتيبات مستقرة في أي دولة عضو في الاتحاد الأوروبي).
2. أنت تعالج بيانات شخصية لأشخاص طبيعيين قابلين للتحديد.
3. أنت إما: تعرض سلعًا أو خدمات على أشخاص في الاتحاد الأوروبي (مدفوعة أو مجانية)، أو تراقب سلوكهم (التتبّع، التنميط، الإعلان السلوكي، البصمة الرقمية).
4. أنت غير مُعفى بموجب Article 27(2).

هناك توضيحان مهمان من الناحية العملية:

• الاستهداف، وليس مجرد إمكانية الوصول. توضّح الديباجة 23 وحكم محكمة العدل الأوروبية في قضيتي Pammer/Hotel Alpenhof أن مجرد إمكانية وصول مستخدمي الاتحاد الأوروبي إلى موقعك الإلكتروني لا يكفي. فما يُفعّل Article 3(2)(a) هو الاستهداف — قبول اليورو، واستخدام لغات الاتحاد الأوروبي، والشحن إلى الاتحاد الأوروبي، والدعم في الاتحاد الأوروبي، والإعلان المدفوع في الاتحاد الأوروبي، والإحالات من الاتحاد الأوروبي.
• المراقبة أوسع مما تظن. تشمل الديباجة 24 التنميط لأغراض الإعلان السلوكي، والتنبؤ بالتفضيلات، والبصمة السلوكية، ومعظم عمليات نشر التحليلات التي تميّز المستخدمين الفرديين — حتى على جانب الخادم.

تنص Article 27(2) على إعفاءين ضيّقين:

3.1 معالجة عَرَضية، منخفضة المخاطر، لا تتضمن بيانات Article 9/10

تُعفى المعالجة التي تكون (أ) عَرَضية، و(ب) لا تتضمن، على نطاق واسع، بيانات الفئات الخاصة بموجب Article 9 أو بيانات الإدانات الجنائية بموجب Article 10، و(ج) من غير المرجح أن تؤدي إلى خطر على حقوق وحريات الأشخاص الطبيعيين، مع مراعاة طبيعتها وسياقها ونطاقها وأغراضها.

يجب استيفاء الشروط الثلاثة جميعها. وتتشدّد إرشادات EDPB رقم 3/2018 بشأن مصطلح "عَرَضية" — فهي تعني مرة واحدة أو متقطعة، وليست أبدًا عمليات تجارية منتظمة. ونادرًا ما يندرج التتبّع المستمر، أو التحليلات المتكررة، أو أي تدفق بيانات مستمر ضمن هذا الإعفاء.

3.2 السلطات والهيئات العامة

السلطات العامة والهيئات العامة غير ملزمة بتعيين ممثل. ونادرًا ما يكون هذا الإعفاء ساريًا على الشركات التجارية، لكنه وثيق الصلة بالوكالات الحكومية الأجنبية والبنوك المركزية والمنظمات الدولية.

تحدّد Article 27(4) دور الممثل:

"يجب أن يكون الممثل مفوّضًا من المتحكم أو المعالج ليُخاطَب، بالإضافة إلى المتحكم أو المعالج أو بدلًا منهما، ولا سيّما من جانب سلطات الإشراف وأصحاب البيانات، في جميع المسائل المتعلقة بالمعالجة، بغرض ضمان الامتثال لهذه اللائحة."

• نقطة اتصال وحيدة لسلطات الإشراف وأصحاب البيانات في شؤون GDPR.
• التعاون مع سلطات الإشراف في أداء مهامها (Art. 31).
• الاحتفاظ بسجلات المعالجة بالاشتراك مع المتحكم / المعالج حيثما يُطلب ذلك (Art. 30(4)).
• تلقّي الشكاوى والطلبات وطلبات وصول أصحاب البيانات وتوجيهها بالشكل المناسب إلى المتحكم للرد الموضوعي.
• لا يقدّم استشارة قانونية بالطريقة التي يقدّمها بها المحامي، لكنه يضمن بقاء قنوات اتصالات GDPR فعّالة.

والأهم من ذلك أن الممثل ليس بديلًا عن DPO. فيمكن أن يتولّى الدورين طرفان مختلفان، كما أن التزام تعيين DPO (Art. 37) تُفعّله معايير مختلفة.

تتطلب Article 27(3) أن يكون مقر الممثل في إحدى الدول الأعضاء حيث يوجد أصحاب البيانات الذين تُعالَج بياناتهم الشخصية. ومن الناحية العملية، لديك مرونة: إذا كان مستخدموك في الاتحاد الأوروبي موزّعين على عدة دول أعضاء، فيمكنك اختيار الدولة التي تتوافق سلطة الإشراف فيها على نحو أفضل مع نموذج تشغيلك.

الخيارات الشائعة: أيرلندا (ناطقة بالإنجليزية، ودودة تجاه التقنية)، وألمانيا (عدد أكبر من سلطات الإشراف يلزم التنسيق معها لكنها متشددة)، وهولندا (هيئة تنظيمية متمكنة من الإنجليزية)، وفرنسا (تتمتع CNIL بسمعة قوية في الإنفاذ)، وإسبانيا (هيئة AEPD ذات الإنفاذ النشط).

الآلية:

1. التعيين كتابيًا. تفويض مكتوب يحدّد نطاق صلاحية الممثل وعلاقة المتحكم / المعالج.
2. تحديد كيان قانوني حقيقي. يجب أن يكون الممثل كيانًا فعليًا (شخصًا طبيعيًا أو اعتباريًا) — وليس خدمة إعادة توجيه صندوق بريد أو عنوانًا افتراضيًا.
3. المطابقة مع أصحاب البيانات. اختر دولة عضوًا في الاتحاد الأوروبي يوجد فيها أصحاب بياناتك.
4. تخصيص الميزانية. تتراوح رسوم التعاقد المعتادة بين 3,000 و15,000 يورو سنويًا للمعالجين على نطاق الشركات الصغيرة والمتوسطة؛ ويدفع المعالجون الأكبر أو الأعلى مخاطرةً مبالغ أكبر.
5. نشر التعيين — انظر §7.
6. التحديث سنويًا مع توسّع معالجتك أو تغطيتك.

يجب إبلاغ أصحاب البيانات بهوية الممثل وبيانات الاتصال به (Articles 13(1)(a) و14(1)(a)). وعمليًا، يعني هذا تضمين اسم الممثل وعنوانه البريدي وبريده الإلكتروني للتواصل في:

• سياسة الخصوصية المنشورة لديك.
• العقود الموجّهة للعملاء واتفاقيات DPA.
• إشعارات الجمع المباشر عند نقطة جمع البيانات.
• سجلات المعالجة (Article 30) — المتاحة لسلطات الإشراف عند الطلب.

يُعد التخلّف عن نشر الممثل بحد ذاته مخالفة لالتزامات الشفافية (Article 12)، وتخضع لغرامات الفئة الأدنى بموجب Article 83(4).

نص Article 27(5) لا لبس فيه: تعيين الممثل لا يؤثر على الإجراءات القانونية التي يمكن اتخاذها ضد المتحكم أو المعالج نفسه. فالممثل لا يتحمّل المسؤولية عن المخالفات الأساسية للمتحكم.

ومع ذلك، قد يخضع الممثل لإجراءات إنفاذ تتعلق بالتزاماته الخاصة — أي إتاحة السجلات، والتعاون مع سلطات الإشراف، وإمكانية الوصول إليه. والممثل الذي يتخلّف عن أداء وظيفته المفوّضة يخاطر بالتعليق من جانب المتحكم المعيِّن وبالإضرار بسمعته في سوق خدمات الممثلين.

يُعد التخلّف عن تعيين ممثل مخالفة لـ Article 27 نفسها — وهي مخالفة من الفئة الرابعة بموجب Article 83(4) من GDPR. والحد الأقصى للغرامة المطبّقة هو:

• 10 ملايين يورو، أو
• 2% من إجمالي حجم الأعمال السنوي العالمي للسنة المالية السابقة، أيهما أعلى.

ظل الإنفاذ ثابتًا منذ عام 2021. ومن القضايا البارزة إجراءات CNIL ضد شركات تقنية الإعلان الأمريكية، وتحقيق هامبورغ بشأن مزوّدي التحليلات الأجانب، ونتائج AEPD ضد شبكات الإعلان الدولية. وحتى عندما لا يكون غياب الممثل الأساس الوحيد للغرامة، فإنه غالبًا ما يشير إلى فجوة امتثال أوسع تُفاقم العقوبات.

• اعتبار الإعفاء قاعدة افتراضية. تفترض كثير من الشركات خارج الاتحاد الأوروبي أن معالجتها "عَرَضية" أو "منخفضة المخاطر". وعمليًا، لا تكاد تنطبق هذه الصفة على أي شركة لديها حركة مرور مستمرة من الاتحاد الأوروبي.
• تسمية مكتب محاماة بصفته ممثلًا. أمر ممكن، لكنه مكلف — إذ تتقاضى مكاتب المحاماة أضعاف رسوم خدمات الممثلين المتخصصة وقد لا تكون مهيأة للتواصل عالي الحجم مع أصحاب البيانات.
• تسمية خدمة صندوق بريد. ليست كيانًا قانونيًا قابلًا للتفويض بموجب Article 27. وقد رفضت سلطات الإشراف مثل هذه التعيينات.
• نسيان النشر. أكثر فجوات الامتثال شيوعًا. إذ يُعيَّن الممثل لكنه لا يظهر أبدًا في سياسة الخصوصية أو في إشعارات العملاء.
• الخلط بين الممثل وDPO. هذان دوران مختلفان. وقد تحتاج إلى كليهما. ولا يمكن للممثل أن يؤدي دور DPO ما لم يستوفِ الكيان أيضًا متطلبات استقلالية DPO.
• التخلّف عن التجديد أو التحديث. عندما يتغيّر نطاق التعاقد (مزيد من الولايات القضائية، خطوط منتجات جديدة)، يجب تعديل التفويض.

تعكس Article 27 من UK GDPR التزام الاتحاد الأوروبي لكنها تنطبق على المتحكمين والمعالجين من خارج المملكة المتحدة الذين يستهدفون أفرادًا في المملكة المتحدة. ومنذ 1 يناير 2021، أصبح الممثل في الاتحاد الأوروبي والممثل في المملكة المتحدة دورين منفصلين — فأنت بحاجة إلى كليهما إذا كنت تستهدف الجهتين معًا.

نصيحة تشغيلية: تعيّن كثير من الشركات مزوّد خدمة ممثل يقدّم التمثيل في الاتحاد الأوروبي والمملكة المتحدة معًا من خلال كيانات قانونية متوافقة، ما يتفادى ازدواجية العمليات في الإبلاغ عن الخروقات، والتواصل مع ICO/EDPB، واستفسارات أصحاب البيانات.