Латиноамериканским компаниям может потребоваться назначить представителя ЕС по вопросам GDPR, если в рамках определенных видов обработки данных они предлагают товары или услуги физическим лицам в Европейском союзе или отслеживают поведение этих лиц там, и при этом не имеют представительства в ЕС. Статья 3 и Статья 27 В соответствии со статьей 27 GDPR, это может применяться к организациям, не входящим в ЕС, за исключением случаев применения узкого исключения. Компания DilicheckRep предоставляет услуги представительства в соответствии со статьей 27 GDPR для компаний, не входящих в ЕС и работающих на территории Европейского союза, через компанию Dilicheck, SL, зарегистрированную в Испании и имеющую статус организации, учрежденной в ЕС.
Если ваша компания в Перу, Мексике, Колумбии, Аргентине, Чили, Бразилии или другом латиноамериканском рынке расширяет свою деятельность в Европе, ключевой вопрос заключается не в том, могут ли жители ЕС просматривать ваш веб-сайт. Вопрос в том, целенаправленно ли ваша компания взаимодействует с лицами в ЕС или отслеживает их поведение там таким образом, что соответствующая обработка данных подпадает под территориальную сферу действия GDPR.
Когда латиноамериканской компании нужен представитель по вопросам GDPR в ЕС
Латиноамериканской компании может потребоваться Представитель ЕС по вопросам GDPR для компаний из Латинской Америки когда выполняются все следующие условия:
- Компания не зарегистрирован в ЕС.
- Соответствующая обработка относится к Статья 3(2) GDPR.
- Компания не освобождены согласно статье 27(2).
Это всегда зависит от конкретных обстоятельств. Наличие нескольких клиентов из ЕС не приводит автоматически к применению статьи 27. Базовая аналитика не автоматически приравнивается к мониторингу. Статус B2B не означает, что компания автоматически выходит за рамки действия GDPR.
С текстом правовой информации можно ознакомиться в GDPR. EUR-Lex, то Руководящие принципы EDPB 3/2018 о территориальной сфере действия, а также рекомендации Европейской комиссии по территориальный охват и представители.
Статья 3(2): Когда GDPR может распространяться на компании за пределами Европы
В соответствии со статьей 3(2) GDPR может применяться к организации, не входящей в ЕС, если обработка данных связана с:
- Предложение товаров или услуг отдельным лицам в ЕС, или
- Мониторинг поведения отдельных лиц в ЕС, где такое поведение имеет место в ЕС.
Проверка основана не только на данных о головном офисе, серверах или компании-учредителе. Она основана на связи между обработкой данных и физическими лицами в ЕС.
Предложение товаров или услуг людям в ЕС
Достаточно того, что веб-сайт доступен из Европы. Необходимо предоставить доказательства того, что компания планирует предлагать товары или услуги людям в одном или нескольких государствах-членах ЕС.
Возможные индикаторы включают:
- Относительно клиентов или пользователей в странах ЕС
- Предлагаем доставку или оказание услуг по доставке в страны-члены ЕС.
- Использование цен в евро для транзакций в ЕС
- Проведение кампаний, ориентированных на аудиторию ЕС.
- Предоставление возможности создания учетных записей для пользователей из стран ЕС.
- Использование местных рыночных ориентиров, связанных с ЕС.
В зависимости от обстоятельств, под действие статьи 3(2)(a) может подпадать мексиканский бренд электронной коммерции, осуществляющий доставку во Францию, Германию и Нидерланды, или бразильская SaaS-платформа, заключающая договоры с пользователями в Италии и Испании.
Мониторинг поведения в ЕС
Мониторинг имеет более узкую направленность, чем считают многие компании. Вопрос в том, отслеживает ли компания отдельных лиц в ЕС и использует ли эти данные для анализа или прогнозирования поведения, предпочтений или решений.
Примерами могут служить:
- Поведенческое профилирование для рекламы
- Отслеживание пользователей в разных сессиях или сервисах.
- Измерение вовлеченности для сегментации или монетизации.
- Анализ на основе геолокации
- Ретаргетинговые кампании на основе наблюдаемого поведения
- Оценка или прогнозирование рисков на основе индивидуальной активности
Приложение из Колумбии, которое составляет профили пользователей из ЕС для таргетирования рекламы, может вызвать иную проблему, предусмотренную статьей 3(2), чем обычный веб-сайт, использующий базовую агрегированную аналитику без стратегии, ориентированной на ЕС.
Статья 27: Кто такой представитель по статье 27 GDPR?
Ан Представитель ЕС для компаний, не входящих в ЕС Это лицо или организация, учрежденная в ЕС и письменно уполномоченная действовать от имени контролера или обработчика данных в отношении определенных обязательств по GDPR.
В соответствии со статьей 27 представитель выступает в качестве контактного лица для:
- Надзорные органы
- Субъекты данных в ЕС
- Коммуникации, связанные с указанными видами обработки данных.
Представитель делает нет стать контроллером, заменить юрисконсульта или снять с компании собственные обязательства по GDPR.
Что на практике делает представитель для компаний Латинской Америки
A Представитель статьи 27 GDPR обычно помогает в следующем:
- Получение уведомлений от регулирующих органов
- Приём и маршрутизация сообщений, передаваемых субъектами данных.
- Поддержание доступного контактного пункта ЕС.
- Хранение или содействие доступу к записям, которые могут потребоваться для предоставления в соответствии со статьей 30.
- Поддержка практических коммуникационных потоков, связанных с выполнением мандата.
Может ли один представитель по вопросам GDPR охватить весь Европейский Союз для компаний Латинской Америки?
Во многих случаях — да. Статья 27, как правило, позволяет контроллеру или обработчику данных, не являющемуся резидентом ЕС, назначить одного надлежащим образом зарегистрированного представителя в ЕС для осуществления соответствующих операций по обработке данных, а не отдельного представителя в каждом государстве-члене.
Согласно статье 27(3), представитель должен быть зарегистрирован в одном из государств-членов, где находятся субъекты данных, на которых распространяются данные.
На практике одного письменного назначения в соответствии со статьей 27 часто достаточно для обеспечения связи, связанной с обработкой данных, подпадающих под действие данной статьи, на нескольких рынках ЕС, таких как Германия, Франция, Италия, Нидерланды, Испания и другие, при условии, что представитель надлежащим образом назначен и мандат оформлен правильно.
Для латиноамериканских компаний это имеет значение. GDPR, как правило, не требует наличия отдельного представителя для каждой страны ЕС. Реальный вопрос заключается в том, имеет ли представитель надлежащую регистрацию в соответствующем государстве-члене и способен ли он выполнять коммуникационную функцию, требуемую статьей 27.
Компания DilicheckRep предоставляет услуги представительства в соответствии со статьей 27 GDPR для компаний, не входящих в ЕС и работающих на территории Европейского союза, через компанию Dilicheck, SL, зарегистрированную в Испании и имеющую статус юридического лица, учрежденного в ЕС.
Исключения, предусмотренные статьей 27: Когда представитель может не потребоваться
Статья 27 применяется не во всех случаях. Основное исключение для частных компаний касается случаев обработки данных:
- Иногда
- В больших масштабах не включает специальные категории данных. в соответствии со статьей 9 или данные о судимости в соответствии со статьей 10
- Вряд ли это приведет к риску. к правам и свободам физических лиц
Исключение составляют также государственные органы и учреждения.
Эти исключения носят узкий характер и должны быть тщательно задокументированы.
Обычно ли латиноамериканским компаниям нужен представитель в ЕС?
Иногда да, иногда нет. Ответ зависит от процесса обработки информации.
Компании в Латинской Америке с большей вероятностью потребуется... Представитель GDPR в Латинской Америке Решение вероятно в тех случаях, когда компания явно постоянно обслуживает пользователей из ЕС или активно отслеживает их поведение в ЕС. Менее вероятно, если контакты с ЕС носят случайный, редкий характер и не являются частью целенаправленной коммерческой стратегии.
Практические примеры из разных стран для компаний Латинской Америки
Эти примеры носят исключительно иллюстративный характер.
Перу
Перуанская SaaS-компания локализует страницы для Германии, Франции и Испании, регистрирует пользователей в ЕС и предоставляет регулярную поддержку. Это может указывать на предоставление услуг физическим лицам в ЕС. Если деятельность носит непрерывный характер и не применяется исключение, статья 27 может потребовать наличия представителя в ЕС.
Мексика
Мексиканская компания электронной коммерции отображает цены в евро, осуществляет доставку в несколько стран-членов ЕС и поддерживает покупателей из ЕС во Франции, Италии, Нидерландах и Испании. Это может способствовать территориальной применимости GDPR в соответствии со статьей 3(2)(a), что означает, что компании следует оценить, требуется ли назначение в соответствии со статьей 27.
Колумбия
Колумбийское мобильное приложение позволяет пользователям из ЕС регистрироваться и использует инструменты сегментации на основе поведения, ретаргетинга или монетизации. Если эти инструменты представляют собой мониторинг поведения в ЕС, компании может потребоваться представитель в ЕС.
Аргентина
Аргентинская консалтинговая компания имеет глобальный веб-сайт на английском языке, но не занимается маркетингом в ЕС и получает лишь редкие незапрошенные запросы от контактов из ЕС. Уже только по этим фактам вероятность применения GDPR может быть низкой. Ситуация может измениться, если компания начнет проводить целевые кампании или предоставлять услуги, ориентированные на ЕС.
Чили
Чилийский поставщик программного обеспечения заключает контракты с компаниями в Германии, Испании и Италии и обрабатывает учетные записи пользователей, запросы в службу поддержки и данные об использовании, связанные с физическими лицами в ЕС. Даже в контексте B2B могут быть задействованы персональные данные.
Бразилия
Бразильская компания, работающая в сфере рекламных технологий или электронной коммерции и проводящая целевые кампании в ЕС, профилирование пользователей или предоставляющая повторные услуги пользователям из ЕС, может столкнуться с более строгим анализом в соответствии со статьей 3(2), чем компания с пассивным трафиком веб-сайта из Европы.
Нужен ли B2B-компании из Латинской Америки представитель по вопросам соблюдения GDPR в ЕС?
Возможно. Компания, работающая в сегменте B2B, по-прежнему может обрабатывать персональные данные, такие как:
- Именованные учетные записи пользователей
- Корпоративные электронные адреса, привязанные к конкретным лицам.
- заявки в службу поддержки
- записи о входе в систему
- Аналитика использования, связанная с пользователями.
- Записи о продажах или управлении счетами
Ключевой вопрос не в том, B2B это или B2C. Вопрос в том, подпадает ли соответствующая обработка данных под действие GDPR и применяется ли статья 27.
Представитель ЕС по GDPR против сотрудника по защите данных
Представитель ЕС и сотрудник по защите данных — это разные должности.
| Роль | Основная цель | Где было основано | Ключевая функция |
|---|---|---|---|
| Представитель ЕС по GDPR | Внешний контактный пункт в соответствии со статьей 27 | В ЕС | Принимает и перенаправляет сообщения от уполномоченных органов и субъектов данных. |
| ДПО | Независимая надзорная роль в соответствии со статьями 37-39 | Внутренний или внешний, в зависимости от структуры. | Консультирует по вопросам соблюдения нормативных требований и контролирует соблюдение принципов защиты данных. |
Представитель не заменяет сотрудника по защите данных, и наличие сотрудника по защите данных не означает автоматического соответствия требованиям статьи 27.
Как назначить представителя ЕС по вопросам GDPR
Если применяется статья 27, организация должна назначить своего представителя. в письменной форме.
Практический процесс обычно включает в себя:
- Подтверждение действий по обработке, которые инициируют выполнение требования.
- Определение того, какое государство-член ЕС наиболее актуально для субъектов данных, на которых распространяются данные.
- Выбор представителя в ЕС
- Подписание письменного мандата, определяющего объем представительства.
- Обновление уведомлений о конфиденциальности в соответствии со статьями 13 и 14 с указанием личности и контактных данных представителя.
- Согласование внутренних процессов для информирования регулирующих органов и субъектов персональных данных.
- Ведение учета, относящегося к рассматриваемой обработке данных.
Для организаций, которым необходима формальная структура, Услуги DilicheckRep по статье 27 Опишите структурированную модель назначения на должности для организаций, не входящих в ЕС, на основе принципов ЕС.
Какую информацию должно содержать письменное соглашение о встрече?
В обоснованном мандате по статье 27 должно быть четко указано:
- Имя и данные контролера или обработчика данных, не являющегося гражданином ЕС.
- Имя и личные данные назначенного представителя
- Виды деятельности по обработке данных, охватываемые мандатом.
- Процедуры коммуникации для регулирующих органов и субъектов данных
- Контакты для внутренней эскалации и обязанности по реагированию
- Требования к доступу к записям и обработке документов.
- Дата начала, продолжительность и условия прекращения
Почему стоит выбрать DilicheckRep в качестве вашего представителя по вопросам соблюдения GDPR в ЕС?
DilicheckRep предоставляет Представительство латиноамериканских компаний в соответствии с GDPR ЕС через компанию Dilicheck, SL, зарегистрированную в Испании и созданную в рамках ЕС.
В зависимости от масштаба взаимодействия организации могут получить следующие преимущества:
- Официальное письменное назначение в соответствии со статьей 27.
- Контактный пункт в ЕС для надзорных органов и субъектов данных.
- Структурированная маршрутизация входящих сообщений, касающихся конфиденциальности.
- Практическая поддержка по интеграции представителя в процессы формирования уведомлений о конфиденциальности и управления персоналом.
- Система, разработанная для международных организаций, работающих без представительства в ЕС.
- Модель представительства, подходящая для организаций, взаимодействующих с отдельными лицами в нескольких государствах-членах ЕС.
Нужен представитель по вопросам GDPR в ЕС? DilicheckRep помогает международным компаниям создать представительство в соответствии со статьей 27 GDPR на территории Европейского союза.
Компании, оценивающие поставщиков услуг, могут проводить проверку. Услуги представителя DilicheckRep по статье 27 GDPR ЕС понять, как структурирована модель представления.
Чего представитель ЕС делать не должен.
Во избежание путаницы представитель ЕС не делает автоматически следующее:
- Обеспечьте соответствие компании требованиям GDPR.
- Замена внутренних механизмов управления конфиденциальностью
- Устранить необходимость в законных основаниях
- Отменить обязательства по обеспечению прозрачности, предусмотренные статьями 13 и 14.
- Замените контракты процессорами или контроллерами.
- Самостоятельно решает проблемы, связанные с международными переводами.
- Выполнение функций защиты в судебных процессах.
Представительство важно там, где это необходимо, но оно не заменяет более широкую программу соблюдения нормативных требований.
Часто задаваемые вопросы
Нужен ли компании из Латинской Америки представитель по вопросам GDPR в ЕС, если у нее нет офиса в Европе?
Возможно. Если ваша компания в Мексике, Бразилии, Колумбии, Аргентине, Чили, Перу или другой стране Латинской Америки не зарегистрирована в ЕС, статья 27 может применяться, если соответствующая обработка подпадает под статью 3(2). Ключевой вопрос заключается в том, намеренно ли вы обслуживаете физических лиц в ЕС или отслеживаете их поведение там, а не просто в том, доступен ли ваш веб-сайт из Европы.
Если у моей компании, работающей в Латинской Америке, есть клиенты в ЕС, мне автоматически нужен представитель в ЕС?
Нет. Некоторые клиенты из ЕС не подпадают под действие статьи 27 автоматически. Например, аргентинская консалтинговая компания, которая время от времени получает входящие запросы из Европы, находится в ином положении, чем мексиканский бренд электронной коммерции, активно осуществляющий доставку во Францию, Испанию или Германию. Анализ зависит от целенаправленного выбора клиентов из ЕС, характера обработки запросов и наличия исключения из правил.
Если мой SaaS-бизнес находится в Бразилии, Чили или Перу, может ли по-прежнему применяться статья 27?
Да. Компания, предоставляющая программное обеспечение как услугу (SaaS), может подпадать под действие GDPR, если она регистрирует пользователей в ЕС, поддерживает учетные записи для лиц, находящихся в ЕС, или отслеживает поведение пользователей в ЕС. Это может применяться даже в том случае, если у компании нет филиала в ЕС и она осуществляет продажи удаленно из Латинской Америки.
Означает ли использование Google Analytics или аналогичных инструментов, что компания из Латинской Америки автоматически отслеживает поведение пользователей в ЕС?
Не автоматически. Одной лишь базовой агрегированной аналитики может быть недостаточно. Анализ становится более эффективным, если компания использует файлы cookie, инструменты отслеживания, профилирование, ретаргетинг, анализ сессий или аналогичные методы для наблюдения и влияния на поведение отдельных лиц в ЕС.
Может ли B2B-компании в Латинской Америке по-прежнему нуждаться в представителе по вопросам GDPR ЕС?
Да. Компания, работающая в сегменте B2B в Колумбии, Чили, Бразилии или другом регионе Латинской Америки, может обрабатывать персональные данные пользователей, сотрудников, контактных лиц по вопросам закупок, лиц, обращающихся за поддержкой, или менеджеров по работе с клиентами в ЕС. Сам по себе статус B2B не выводит компанию за рамки действия GDPR.
Если моя компания продает товары только предприятиям ЕС, а не потребителям, имеет ли статья 27 по-прежнему значение?
Да, это возможно. Если ваша компания обрабатывает персональные данные, связанные с физическими лицами в ЕС, такие как контактные данные сотрудников, логины пользователей, записи в службе поддержки или данные об использовании, вопросы, касающиеся GDPR, все равно могут возникнуть. Реальная проблема заключается в том, относится ли обработка данных к физическим лицам в ЕС, а не в том, помечен ли договор как B2B.
Является ли представитель ЕС тем же самым, что и специалист по защите данных (DPO) для компании из Латинской Америки?
Нет. Представитель ЕС является местным контактным лицом в соответствии со статьей 27 для надзорных органов и субъектов данных. Специалист по защите данных (DPO) — это отдельная должность, отвечающая за соблюдение нормативных требований, включая надзор, консультирование и мониторинг управления защитой данных. Латиноамериканской компании может потребоваться один, оба или ни один из них, в зависимости от обстоятельств.
Может ли один представитель в ЕС обслуживать несколько стран ЕС в рамках бизнеса в Латинской Америке?
Часто да. Компании, базирующейся в Латинской Америке, обычно не требуется отдельный представитель в каждой стране ЕС. Один надлежащим образом сформированный представитель зачастую может обеспечить обработку соответствующих данных в нескольких государствах-членах, при условии, что структура отражает местонахождение затронутых субъектов данных и порядок обработки коммуникаций.
Нужны ли компаниям из Латинской Америки отдельные представители для ЕС и Великобритании?
Вполне возможно, да. Регламент ЕС о защите персональных данных (GDPR) и Регламент Великобритании о защите персональных данных (GDPR) — это отдельные правовые рамки. Бразильской, мексиканской или перуанской компании, работающей с физическими лицами как в ЕС, так и в Великобритании, могут потребоваться отдельные соглашения о представительстве.
Что должна предпринять в первую очередь латиноамериканская компания, если она не уверена?
Начните с документированного анализа ваших продаж, ориентированных на ЕС, процессов регистрации, зон доставки, маркетинговых кампаний, файлов cookie, аналитики и отслеживания пользователей. Затем оцените, соответствует ли обработка статье 3(2), применяется ли статья 27 и можно ли действительно полагаться на какое-либо исключение.
Может ли один представитель охватить все страны ЕС, где у моей компании в Латинской Америке есть пользователи?
Вполне возможно, да. Один представитель в соответствии со статьей 27 часто может выступать в качестве контактного лица в ЕС для обработки данных, подпадающих под действие статьи, в нескольких странах ЕС. Назначение должно соответствовать местонахождению соответствующих лиц и тому, как будут осуществляться коммуникации с регулирующими органами или субъектами данных.
Что произойдет, если латиноамериканская компания проигнорирует статью 27, когда она применяется?
Это создает видимый пробел в соблюдении требований. Если надзорный орган или физическое лицо в ЕС попытается связаться с компанией по поводу обработки данных, подпадающих под действие статьи 27, и при этом не будет надлежащего представителя в ЕС, этот пробел может стать очевидным немедленно. Для компаний Латинской Америки, расширяющих свою деятельность в Европе, статью 27 следует оценивать на раннем этапе, а не рассматривать как второстепенный вопрос.
Итоговый вывод
Не каждой латиноамериканской компании, имеющей контакты в Европе, нужен представитель в ЕС. Но если компания, не входящая в ЕС, намеренно предлагает товары или услуги физическим лицам в ЕС или отслеживает их поведение там, статья 27 может стать реальным юридическим требованием.
Наиболее безопасным следующим шагом является документально оформленная оценка территориального охвата, исключений и оперативной готовности. Если вашему бизнесу, вероятно, потребуется официальное представительство, проведите его анализ. Услуги представителя DilicheckRep по статье 27 GDPR ЕС и оценить, подходит ли вам назначение на уровне ЕС через компанию Dilicheck, SL.
DilicheckRep предоставляет международным организациям официальное представительство в регулирующих органах ЕС и Великобритании, включая структурированное взаимодействие с надзорными органами и коммуникацию с субъектами данных. Если вашему бизнесу в Латинской Америке требуется обозначение в соответствии со статьей 27 или документированный канал связи на рынке, посетите [ссылка]. DilicheckRep оценить надлежащую систему представительства на территории Европейского союза.