Si su organización está situada fuera de la UE/EEE pero trata datos personales de personas que se encuentran en la Unión Europea, es posible que deba designar un representante en la UE conforme al artículo 27 del GDPR.
Responda a cinco preguntas para obtener una evaluación orientativa sobre si es probable que el requisito de representante del artículo 27 se aplique a su organización.
Tiempo estimado: 1 minuto
¿Qué hace un representante en la UE?
Un representante en la UE actúa como punto de contacto en la Unión para determinadas comunicaciones relacionadas con el GDPR.
Conforme al artículo 27, el representante se designa por escrito y pueden dirigirse a él:
- Los interesados
- Las autoridades de control
- Otras partes pertinentes
El representante actúa por cuenta del responsable o del encargado del tratamiento dentro del alcance del mandato escrito.
La designación de un representante no transfiere a este la responsabilidad que el GDPR atribuye al responsable o al encargado del tratamiento.
Representante en la UE frente a DPO
Un representante en la UE no es lo mismo que un delegado de protección de datos (DPO).
| Representante en la UE | Delegado de protección de datos |
|---|---|
| Pertinente sobre todo para determinadas organizaciones no establecidas en la UE | Obligatorio solo en las circunstancias previstas por el GDPR |
| Actúa en virtud de un mandato escrito | Debe desempeñar las funciones de DPO con la independencia adecuada |
| Sirve de punto de contacto para determinados asuntos del GDPR | Asesora, supervisa y apoya el cumplimiento del GDPR |
| Puede interactuar con los interesados y las autoridades de control | Tiene responsabilidades legales específicas de DPO |
| No sustituye la responsabilidad del responsable o del encargado del tratamiento | No sustituye la responsabilidad del responsable o del encargado del tratamiento |
El EDPB ha indicado expresamente que la función de representante no es compatible con la de DPO externo, debido a los distintos mandatos y requisitos de independencia.
¿Dónde debe estar establecido un representante en la UE?
El artículo 27 exige que el representante esté establecido en uno de los Estados miembros de la UE en los que se encuentren los interesados pertinentes en relación con la oferta de bienes o servicios o cuyo comportamiento sea objeto de seguimiento.
Una organización que opera en varios países de la UE no necesita necesariamente un representante distinto en cada Estado miembro.
Las directrices del EDPB indican que un mismo representante puede actuar respecto de varias actividades de tratamiento comprendidas en el artículo 3, apartado 2, siempre que se cumplan los requisitos aplicables.
¿Necesito un representante en la UE si solo tengo unos pocos clientes en la UE?
No necesariamente.
El número de clientes en la UE es solo un factor. El análisis depende de si se aplica el artículo 3, apartado 2, y de si es aplicable la excepción del artículo 27, apartado 2.
Un número reducido de clientes no crea ni elimina automáticamente la obligación.
¿Un representante en la UE hace que mi empresa cumpla el GDPR?
No.
Un representante en la UE es un elemento de la gobernanza del GDPR cuando se aplica el artículo 27.
Su organización sigue siendo responsable de sus obligaciones conforme al GDPR, entre ellas:
- Licitud del tratamiento
- Transparencia
- Derechos de los interesados
- Seguridad
- Gestión de brechas de datos
- Transferencias internacionales
- Gestión de encargados del tratamiento
- Responsabilidad proactiva
Por tanto, el requisito de representante debe tratarse como parte de un programa más amplio de cumplimiento del GDPR.
¿Qué ocurre si no designo un representante obligatorio?
El incumplimiento de un requisito aplicable del artículo 27 puede generar una exposición en materia de cumplimiento normativo.
Un representante en la UE no elimina las obligaciones subyacentes del GDPR, pero, cuando se aplica el artículo 27, las organizaciones deben documentar la designación y asegurarse de que el representante cuente con un mandato escrito adecuado.
Solicite una evaluación de su requisito de representante en la UE
¿No está seguro de si el artículo 27 se aplica a su organización?
RegulatoryBridge puede ayudarle a:
- Evaluar el ámbito de aplicación territorial del GDPR
- Determinar la aplicabilidad del artículo 27
- Revisar las excepciones del artículo 27, apartado 2
- Designar un representante en la UE
- Preparar la documentación de la representación
- Actualizar los avisos de privacidad
- Establecer procesos de comunicación con los interesados
- Dar soporte a las comunicaciones regulatorias
- Hacer seguimiento de los requisitos del GDPR de forma continua
Conozca su obligación. Designe con confianza.