Rappresentante UE GDPR

La tua azienda ha sede fuori dall’Unione Europea ma vende o offre servizi a persone che si trovano nell’UE? L’art. 27 del GDPR può obbligarti a nominare un rappresentante nell’Unione. L’Avv. Ivan Vinciguerra verifica l’obbligo e può assumere l’incarico dall’Italia.

Chi deve nominare un rappresentante UE

L’obbligo riguarda i titolari e i responsabili del trattamento non stabiliti nell’Unione a cui si applica il GDPR ai sensi dell’art. 3, paragrafo 2, cioè quando:

• offrono beni o servizi a persone che si trovano nell’Unione, anche gratuitamente;
• monitorano il comportamento di persone che si trovano nell’Unione, ad esempio con profilazione online.

Quando l’obbligo non si applica

L’art. 27, paragrafo 2, esclude le autorità e gli organismi pubblici e i trattamenti occasionali che non riguardano su larga scala categorie particolari di dati o dati relativi a condanne penali e che presentano un rischio improbabile per i diritti delle persone. La valutazione va fatta caso per caso e conviene documentarla.

Cosa fa il rappresentante

• È designato per iscritto e opera su mandato del titolare o del responsabile.
• È il punto di contatto per le autorità di controllo e per gli interessati.
• Conserva una copia del registro delle attività di trattamento (art. 30 GDPR).
• Deve essere stabilito in uno degli Stati membri in cui si trovano gli interessati.

La nomina non sposta sul rappresentante le responsabilità del titolare o del responsabile, contro i quali restano possibili le azioni legali (art. 27, paragrafo 5).

Come funziona l’incarico

1. Verifica dell’obbligo. Analizziamo attività, mercati e dati trattati.
2. Mandato scritto. Definiamo compiti, flussi di comunicazione e durata.
3. Aggiornamento dei documenti. Il rappresentante va indicato nelle informative privacy (artt. 13 e 14 GDPR).
4. Gestione continuativa. Riceviamo le richieste di interessati e autorità e le inoltriamo secondo le procedure concordate.

Rappresentante UE e DPO non sono la stessa cosa

Il rappresentante agisce su mandato dell’azienda, mentre il DPO (art. 37 GDPR) svolge un ruolo indipendente di sorveglianza. Secondo le Linee guida 3/2018 dell’EDPB i due ruoli non sono considerati compatibili se svolti dalla stessa persona.

Domande frequenti

Cosa si rischia senza rappresentante?

La violazione dell’art. 27 rientra tra quelle per cui l’art. 83, paragrafo 4, GDPR prevede sanzioni fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo, se superiore.

Un sito accessibile dall’Europa basta a far scattare l’obbligo?

Non di per sé. Contano elementi come la lingua, la valuta, le consegne nell’UE o il monitoraggio degli utenti, che indicano l’intenzione di rivolgersi a persone nell’Unione.

EU GDPR Representative (Article 27)

Is your company based outside the European Union and does it offer goods or services to, or monitor the behaviour of, individuals in the EU? Article 27 GDPR may require you to appoint a representative in the Union. Avv. Ivan Vinciguerra, a lawyer admitted to the Milan Bar, can assess whether the obligation applies and act as your representative in Italy. Contact us at valorconsulting.info@gmail.com.

I contenuti di questa pagina hanno finalità informative e non costituiscono parere legale.