Латиноамериканським компаніям може знадобитися призначити представника ЄС з питань GDPR, якщо для конкретних видів обробки вони пропонують товари чи послуги особам у Європейському Союзі або контролюють поведінку цих осіб там, і не мають представництва в ЄС. Стаття 3 і Стаття 27 GDPR, це може застосовуватися до організацій, що не входять до ЄС, якщо не застосовується вузький виняток. DilicheckRep надає послуги представництва згідно зі статтею 27 GDPR для компаній, що не входять до ЄС, що працюють по всьому Європейському Союзу, через Dilicheck, SL, організацію, зареєстровану в ЄС в Іспанії.
Якщо ваша компанія в Перу, Мексиці, Колумбії, Аргентині, Чилі, Бразилії або іншому латиноамериканському ринку розширюється в Європу, ключове питання полягає не в тому, чи можуть резиденти ЄС переглядати ваш веб-сайт. Питання полягає в тому, чи ваш бізнес навмисно залучає осіб у ЄС або відстежує їхню поведінку там таким чином, щоб відповідна обробка включалася в територіальну сферу дії GDPR.
Коли латиноамериканській компанії потрібен представник ЄС з питань GDPR
Латиноамериканській компанії може знадобитися Представник ЄС з питань GDPR для латиноамериканських компаній коли всі наступні умови є правдивими:
- Компанія є не зареєстровані в ЄС.
- Відповідна обробка підпадає під Стаття 3(2) GDPR.
- Компанія є не звільнено згідно зі статтею 27(2).
Це завжди залежить від конкретних фактів. Деякі клієнти з ЄС не автоматично активують статтю 27. Базова аналітика не автоматично прирівнюється до моніторингу. Статус B2B не виводить компанію автоматично з-під дії GDPR.
Юридичний текст див. у GDPR за адресою EUR-Lex, той/та/те Керівні принципи Європейської ради з захисту даних 3/2018 щодо територіальної сфери застосування, та рекомендації Європейської Комісії щодо територіальний охоплення та представники.
Стаття 3(2): Коли GDPR може поширюватися на компанії за межами Європи
Згідно зі статтею 3(2), GDPR може застосовуватися до організації, що не є резидентом ЄС, коли обробка стосується:
- Пропонування товарів або послуг фізичним особам у ЄС, або
- Моніторинг поведінки осіб у ЄС, якщо така поведінка має місце в ЄС
Тест ґрунтується не лише на штаб-квартирі, серверах чи реєстрації. Він базується на зв'язку між обробкою та фізичними особами в ЄС.
Пропонування товарів або послуг особам у ЄС
Доступності вебсайту з Європи недостатньо. Повинні бути докази того, що бізнес планує пропонувати товари чи послуги людям в одній або кількох державах-членах ЄС.
Можливі показники включають:
- Посилання на клієнтів або користувачів у країнах ЄС
- Пропонуємо доставку або послуги доставки до держав-членів ЄС
- Використання ціноутворення в євро для транзакцій у ЄС
- Проведення кампаній, спрямованих на аудиторію ЄС
- Уможливлення створення облікових записів для користувачів з ЄС
- Використання місцевих ринкових довідників, пов'язаних з ЄС
Мексиканський бренд електронної комерції, який здійснює доставку до Франції, Німеччини та Нідерландів, або бразильська SaaS-платформа, яка укладає контракти з користувачами в Італії та Іспанії, може підпадати під дію статті 3(2)(a), залежно від фактів.
Моніторинг поведінки в ЄС
Моніторинг є вужчим, ніж припускають багато компаній. Питання полягає в тому, чи відстежує компанія осіб у ЄС та використовує ці спостереження для аналізу або прогнозування поведінки, уподобань чи рішень.
Приклади можуть включати:
- Поведінкове профілювання для реклами
- Відстеження користувачів протягом сеансів або сервісів
- Вимірювання залученості для сегментації або монетизації
- Аналіз на основі геолокації
- Ретаргетингові кампанії на основі спостережуваної поведінки
- Оцінка або прогнозування ризику на основі індивідуальної діяльності
Колумбійський додаток, який створює профілі користувачів з ЄС для таргетування реклами, може порушувати інше питання щодо статті 3(2), ніж загальний вебсайт, що використовує базову агреговану аналітику без стратегії, орієнтованої на ЄС.
Стаття 27: Що таке представник згідно зі статтею 27 GDPR
Ан Представник ЄС для компаній поза ЄС це особа або організація, зареєстрована в ЄС та письмово призначена діяти від імені контролера або обробника даних щодо певних зобов’язань GDPR.
Згідно зі статтею 27, представник діє як контактна особа для:
- Наглядові органи
- Суб'єкти даних у ЄС
- Повідомлення, пов'язані з обробкою даних, що охоплюється
Представник робить не стати контролером, замінити юрисконсульта або скасувати власні зобов’язання компанії щодо GDPR.
Що представник робить на практиці для латиноамериканських компаній
A Представник згідно зі статтею 27 GDPR зазвичай допомагає з:
- Отримання регуляторних повідомлень
- Отримання та маршрутизація повідомлень суб'єктів даних
- Підтримка доступного контактного пункту ЄС
- Зберігання або сприяння доступу до записів, які можуть знадобитися для надання відповідно до статті 30
- Підтримка практичних комунікаційних потоків, пов'язаних з мандатом
Чи може один представник GDPR охоплювати весь Європейський Союз для латиноамериканських компаній?
У багатьох випадках так. Стаття 27 загалом дозволяє контролеру або обробнику даних з країни, що не є громадянином ЄС, призначити одного належним чином встановленого представника в ЄС для відповідної діяльності з обробки, а не окремого представника в кожній державі-члені.
Згідно зі статтею 27(3), представник повинен бути зареєстрований в одній з держав-членів, де знаходяться суб’єкти даних, яких це стосується.
На практиці, одне письмове призначення згідно зі статтею 27 часто може підтримувати комунікації, пов'язані з охопленою обробкою даних на кількох ринках ЄС, таких як Німеччина, Франція, Італія, Нідерланди, Іспанія та інші, за умови належного призначення представника та правильного оформлення повноважень.
Для латиноамериканських компаній це має значення. GDPR зазвичай не вимагає окремого представника для кожної країни ЄС. Справжнє питання полягає в тому, чи представник належним чином зареєстрований у відповідній державі-члені та чи здатний він виконувати комунікаційну роль, передбачену статтею 27.
DilicheckRep надає послуги представництва відповідно до статті 27 GDPR для компаній, що не входять до ЄС та працюють по всьому Європейському Союзу, через Dilicheck, SL, компанію, зареєстровану в ЄС в Іспанії.
Винятки згідно зі статтею 27: коли представник може не бути обов'язковим
Стаття 27 застосовується не в усіх випадках. Основним винятком для приватних компаній є випадки, коли обробка здійснюється:
- Зрідка
- Не включає, у великих масштабах, спеціальні категорії даних згідно зі статтею 9 або дані про судимості згідно зі статтею 10
- Малоймовірно, що це призведе до ризику до прав і свобод фізичних осіб
Державні органи та установи також виключені.
Ці винятки є вузькими та повинні бути ретельно задокументовані.
Чи зазвичай латиноамериканським компаніям потрібен представник ЄС?
Іноді так, іноді ні. Відповідь залежить від процесу обробки.
Компанія в Латинській Америці, швидше за все, потребуватиме Представник GDPR у Латинській Америці рішення, яке явно обслуговує користувачів з ЄС на постійній основі або активно відстежує їхню поведінку в ЄС. Це менш ймовірно, коли контакти з ЄС є випадковими, рідкісними та не є частиною цілеспрямованої комерційної стратегії.
Практичні приклади країн для компаній Латинської Америки
Ці приклади є лише ілюстративними.
Перу
Перуанська SaaS-компанія локалізує сторінки для Німеччини, Франції та Іспанії, реєструє користувачів у ЄС та надає постійну підтримку. Це може свідчити про пропонування послуг фізичним особам у ЄС. Якщо діяльність є постійною та не застосовується жодне виключення, стаття 27 може вимагати представника ЄС.
Мексика
Мексиканська компанія електронної комерції показує ціни в євро, здійснює доставку до кількох держав-членів ЄС та обслуговує покупців з ЄС у Франції, Італії, Нідерландах та Іспанії. Це може підтверджувати територіальну застосовність GDPR згідно зі статтею 3(2)(a), тобто компанія повинна оцінити, чи потрібне призначення згідно зі статтею 27.
Колумбія
Колумбійський мобільний додаток дозволяє користувачам з ЄС реєструватися та використовує інструменти сегментації на основі поведінки, ретаргетингу або монетизації. Якщо ці інструменти зводяться до моніторингу поведінки в ЄС, компанії може знадобитися представник ЄС.
Аргентина
Аргентинська консалтингова компанія має глобальний веб-сайт англійською мовою, але не займається маркетингом на ринку ЄС і отримує лише зрідка небажані запити від контактів з ЄС. Враховуючи лише ці факти, територіальна сфера дії GDPR може бути менш імовірною. Відповідь може змінитися, якщо компанія розпочне цільові кампанії або надання послуг, специфічних для ЄС.
Чилі
Чилійський постачальник програмного забезпечення підписує контракти з компаніями в Німеччині, Іспанії та Італії та обробляє облікові записи користувачів, запити на підтримку та дані про використання, пов'язані з особами в ЄС. Навіть у контексті B2B персональні дані можуть бути задіяні.
Бразилія
Бразильський рекламний технологічний або інтернет-бізнес, який проводить цільові кампанії для ЄС, профілює користувачів або повторно надає послуги користувачам з ЄС, може зіткнутися з більш суворим аналізом за статтею 3(2), ніж бізнес з пасивним трафіком веб-сайту з Європи.
Чи потрібен B2B-компанії Латинської Америки представник ЄС щодо GDPR?
Можливо. Компанія B2B все ще може обробляти персональні дані, такі як:
- Іменовані облікові записи користувачів
- Адреси електронної пошти для бізнесу, пов'язані з фізичними особами
- Заявки на підтримку
- Записи входу
- Аналітика використання, пов'язана з користувачами
- Записи з продажу або управління обліковими записами
Ключове питання не в B2B проти B2C. Йдеться про те, чи підпадає відповідна обробка під дію GDPR та чи застосовується стаття 27.
Представник ЄС щодо GDPR проти DPO
Представник ЄС та спеціаліст із захисту даних – це різні ролі.
| Роль | Основне призначення | Де засновано | Функція клавіші |
|---|---|---|---|
| Представник ЄС щодо GDPR | Зовнішній контактний пункт згідно зі статтею 27 | У ЄС | Отримує та направляє повідомлення від уповноважених осіб та суб'єктів даних |
| ДЗО | Незалежна наглядова роль згідно зі статтями 37-39 | Внутрішній або зовнішній, залежно від конструкції | Консультує з питань дотримання вимог та контролює управління захистом даних |
Представник не замінює особу, відповідальну за захист даних, і особу, відповідальну за захист даних, не автоматично відповідає вимогам статті 27.
Як призначити представника ЄС з питань GDPR
Якщо застосовується стаття 27, організація повинна призначити свого представника письмово.
Практичний процес зазвичай включає:
- Підтвердження дій з обробки, які викликають вимогу
- Визначення того, яка держава-член ЄС є найбільш релевантною для постраждалих суб'єктів даних
- Вибір представника з ЄС
- Підписання письмового доручення, що визначає обсяг представництва
- Оновлення повідомлень про конфіденційність відповідно до статей 13 та 14 із зазначенням особи та контактних даних представника
- Узгодження внутрішніх процесів для регуляторної комунікації та комунікації з суб'єктами даних
- Ведення записів, що стосуються охопленої обробки
Для організацій, яким потрібна офіційна структура, Послуги DilicheckRep за статтею 27 опишіть структуровану модель призначення на основі ЄС для організацій, що не входять до ЄС.
Яку інформацію має містити письмове призначення?
У чітко обґрунтованому мандаті згідно зі статтею 27 має бути чітко зазначено:
- Ім'я та дані контролера або обробника даних з країни поза ЄС
- Ім'я та дані призначеного представника
- Діяльність з обробки, що охоплюється мандатом
- Процедури комунікації для регуляторів та суб'єктів даних
- Внутрішні контакти для ескалації та обов'язки щодо реагування
- Очікування щодо доступу до записів та обробки документів
- Дата початку, тривалість та умови припинення
Чому варто обрати DilicheckRep своїм представником щодо GDPR у ЄС?
DilicheckRep надає Представництво латиноамериканських компаній у сфері GDPR у ЄС через Dilicheck, SL, компанію, зареєстровану в ЄС в Іспанії.
Залежно від обсягу залучення, організації можуть отримати вигоду від:
- Офіційне письмове призначення згідно зі статтею 27
- Контактний пункт ЄС для наглядових органів та суб'єктів даних
- Структурована маршрутизація вхідних повідомлень, пов'язаних з конфіденційністю
- Практична підтримка для інтеграції представника в повідомлення про конфіденційність та робочі процеси управління
- Структура, розроблена для міжнародних організацій, що працюють без представництва в ЄС
- Модель представництва, що підходить для організацій, що залучають осіб з кількох держав-членів ЄС
Потрібен представник ЄС з питань GDPR? DilicheckRep допомагає міжнародним компаніям створити своє представництво згідно зі статтею 27 по всьому Європейському Союзу.
Компанії, що оцінюють постачальників, можуть переглянути Представницькі послуги DilicheckRep щодо статті 27 GDPR ЄС зрозуміти, як структурована модель представлення.
Чого не робить представник ЄС
Щоб уникнути плутанини, представник ЄС не автоматично:
- Забезпечити відповідність компанії GDPR
- Замінити внутрішнє управління конфіденційністю
- Усунути потребу в законних підставах
- Скасувати зобов'язання щодо прозорості згідно зі статтями 13 та 14
- Замінити договори з обробниками або контролерами
- Самостійно вирішувати проблеми з міжнародними переказами
- Виступати в якості функції захисту в судовому процесі
Представництво є важливим там, де це необхідно, але воно не замінює ширшу програму дотримання вимог.
Найчастіші запитання
Чи потрібен компанії з Латинської Америки представник ЄС щодо GDPR, якщо в неї немає офісу в Європі?
Можливо. Якщо ваша компанія в Мексиці, Бразилії, Колумбії, Аргентині, Чилі, Перу або іншій країні Латинської Америки не зареєстрована в ЄС, стаття 27 може застосовуватися, коли відповідна обробка підпадає під дію статті 3(2). Ключове питання полягає в тому, чи ви навмисно обслуговуєте осіб у ЄС або контролюєте їхню поведінку там, а не просто в тому, чи можна отримати доступ до вашого веб-сайту з Європи.
Якщо моя компанія з Латинської Америки має клієнтів з ЄС, чи мені автоматично потрібен представник з ЄС?
Ні. Деякі клієнти з ЄС не підпадають під дію статті 27 автоматично. Наприклад, аргентинська консалтингова компанія, яка час від часу отримує вхідні запити з Європи, знаходиться в іншому становищі, ніж мексиканський бренд електронної комерції, який активно постачає продукцію до Франції, Іспанії чи Німеччини. Аналіз залежить від навмисного таргетування на ЄС, характеру обробки та того, чи застосовується виняток.
Якщо мій SaaS-бізнес базується в Бразилії, Чилі або Перу, чи може Стаття 27 все ще застосовуватися?
Так. SaaS-компанія може підпадати під дію GDPR, якщо вона реєструє користувачів у ЄС, підтримує облікові записи осіб, які там перебувають, або відстежує поведінку користувачів у ЄС. Це може застосовуватися, навіть якщо компанія не має філії в ЄС і продає товари дистанційно з Латинської Америки.
Чи використання Google Analytics або аналогічних інструментів автоматично означає, що компанія з Латинської Америки відстежує поведінку в ЄС?
Не автоматично. Однієї лише базової агрегованої аналітики може бути недостатньо. Аналіз стає кращим, коли компанія використовує файли cookie, інструменти відстеження, профілювання, ретаргетинг, аналіз сеансів або аналогічні методи для спостереження та впливу на поведінку осіб у ЄС.
Чи може B2B-компанія в Латинській Америці все ще потребувати представника ЄС щодо GDPR?
Так. Компанія типу B2B у Колумбії, Чилі, Бразилії або на іншому ринку Латинської Америки все ще може обробляти персональні дані про іменованих користувачів, співробітників, контактних осіб із закупівель, осіб, що запитують підтримку, або менеджерів облікових записів у ЄС. Сам по собі статус компанії типу B2B не виводить її з-під дії GDPR.
Якщо моя компанія продає товари лише підприємствам ЄС, а не споживачам, чи має значення стаття 27?
Може. Якщо ваша компанія обробляє персональні дані, пов’язані з фізичними особами в ЄС, такі як контактні дані співробітників, логіни користувачів, записи служби підтримки або дані про використання, питання щодо GDPR все одно можуть виникнути. Справжнє питання полягає в тому, чи стосується обробка фізичних осіб в ЄС, а не в тому, чи позначено контракт як B2B.
Чи є представник ЄС тим самим, що й DPO для компанії з Латинської Америки?
Ні. Представник ЄС є місцевим контактним пунктом згідно зі статтею 27 для наглядових органів та суб’єктів даних. Службовець з захисту даних (DPO) – це окрема посада, що відповідає за дотримання вимог, зосереджена на нагляді, консультуванні та моніторингу управління захистом даних. Латиноамериканській компанії може знадобитися один, обидва або жоден, залежно від фактів.
Чи може один представник ЄС охоплювати кілька країн ЄС для бізнесу в Латинській Америці?
Часто так. Компанії, що базується в Латинській Америці, зазвичай не потрібен один представник на країну ЄС. Один належним чином створений представник часто може охоплювати відповідну обробку в кількох державах-членах, за умови, що структура відображає місцезнаходження суб'єктів даних, яких це стосується, та спосіб обробки комунікацій.
Чи потрібні компанії з Латинської Америки окремі представники для ЄС та Великої Британії?
Можливо, так. GDPR ЄС та GDPR Великої Британії – це окремі правові рамки. Бразильській, мексиканській або перуанській компанії, яка звертається до фізичних осіб як у ЄС, так і у Великій Британії, можуть знадобитися окремі представницькі домовленості.
Що повинна зробити латиноамериканська компанія в першу чергу, якщо вона не впевнена?
Почніть із задокументованого огляду ваших продажів, орієнтованих на ЄС, процесів адаптації, зон доставки, маркетингових кампаній, файлів cookie, аналітики та відстеження користувачів. Потім оцініть, чи відповідає обробка даних статті 3(2), чи застосовується стаття 27, і чи можна дійсно посилатися на будь-які винятки.
Чи може один представник охопити всі країни ЄС, де моя компанія з Латинської Америки має користувачів?
Потенційно, так. Один представник згідно зі статтею 27 часто може служити контактною особою в ЄС для обробки даних, що охоплюється цією діяльністю, у кількох країнах ЄС. Призначення все одно має відповідати місцезнаходженню відповідних осіб та тому, як буде здійснюватися управління регуляторними повідомленнями або повідомленнями суб'єктів даних.
Що станеться, якщо латиноамериканська компанія ігноруватиме статтю 27, коли вона застосовується?
Це створює видиму прогалину у дотриманні вимог. Якщо наглядовий орган або особа в ЄС намагається зв’язатися з компанією щодо обробки даних, що охоплюється цим Кодексом, і немає належного представника в ЄС, ця прогалина може стати очевидною одразу. Для компаній з Латинської Америки, які розширюються в Європі, Статтю 27 слід оцінювати якомога раніше, а не розглядати як другорядну думку.
Остаточний висновок
Не кожній латиноамериканській компанії з європейськими контактами потрібен представник ЄС. Але якщо компанія, що не входить до ЄС, навмисно пропонує товари чи послуги особам у ЄС або контролює їхню поведінку там, стаття 27 може стати реальною юридичною вимогою.
Найбезпечнішим наступним кроком є документальна оцінка територіального охоплення, винятків та операційної готовності. Якщо вашому бізнесу, ймовірно, потрібне офіційне представництво, перегляньте Представницькі послуги DilicheckRep щодо статті 27 GDPR ЄС та оцініть, чи підходить вашій структурі призначення на посаду в масштабах ЄС через Dilicheck, SL.
DilicheckRep забезпечує офіційне представництво міжнародних організацій перед регуляторними органами ЄС та Великої Британії, включаючи структуровану обробку комунікацій з наглядовими органами та суб’єктами даних. Якщо вашому бізнесу в Латиноамериканському регіоні потрібен статус за статтею 27 або документований канал зв’язку на ринку, відвідайте DilicheckRep оцінити належний порядок представництва по всьому Європейському Союзу.