Công ty SaaS của bạn ở Boston ký hợp đồng với khách hàng đầu tiên tại Berlin. Nhóm sản phẩm đã kết nối không gian làm việc đó với hệ thống phân tích, hỗ trợ, thanh toán và hệ thống sao lưu đặt tại Mỹ. Sau đó, khách hàng gửi yêu cầu truy cập dữ liệu, và những người sáng lập phát hiện ra rằng việc không có văn phòng tại EU không phải là vấn đề thực sự. Vấn đề thực sự là liệu doanh nghiệp của bạn có thuộc phạm vi lãnh thổ của GDPR hay không.
Nếu bạn đang hỏi liệu GDPR áp dụng cho các công ty Hoa Kỳ, Câu trả lời ngắn gọn là có, đôi khi. Một công ty của Mỹ có thể thuộc phạm vi điều chỉnh của GDPR nếu công ty đó cung cấp hàng hóa hoặc dịch vụ cho người dân ở EU hoặc giám sát hành vi của họ ở đó. Trong nhiều trường hợp, điều đó cũng đặt ra câu hỏi liệu công ty có cần chỉ định một người đại diện hay không. Điều 27 Đại diện EU.
Hướng dẫn này giải thích khi nào GDPR dành cho các công ty Hoa Kỳ trở nên có liên quan, điều gì Điều 27 Thực tế cần những gì, và các bước thực tiễn để xây dựng một chương trình tuân thủ khả thi.
GDPR có áp dụng cho các công ty Hoa Kỳ không?
Đúng vậy, GDPR có thể áp dụng cho một công ty Hoa Kỳ ngay cả khi công ty đó không có văn phòng, nhân viên hoặc máy chủ tại EU. Một doanh nghiệp Hoa Kỳ có thể thuộc phạm vi điều chỉnh của GDPR thông qua các quyết định tăng trưởng thông thường. Bạn có thể ra mắt trang đích dành cho châu Âu, chấp nhận khách hàng ở EU, cá nhân hóa quảng cáo cho khách truy cập ở đó hoặc phân tích hành vi của họ trên sản phẩm của bạn.
GDPR đã được áp dụng từ... Ngày 25 tháng 5 năm 2018. Đến tháng 3 năm 2025, các cơ quan bảo vệ dữ liệu của EU đã ban hành khoảng... 5,65 tỷ euro tiền phạt vi phạm GDPR, Trong đó, các công ty có trụ sở tại Mỹ chiếm khoảng... 83%, hoặc khoảng 4,68 tỷ euro, Trong tổng số đó, theo Phân tích về các khoản phạt theo GDPR đối với các công ty Hoa Kỳ. Những con số này không có nghĩa là mọi công ty khởi nghiệp đều phải đối mặt với khoản phạt ngay lập tức. Chúng cho thấy rằng việc đặt trụ sở chính tại Hoa Kỳ không phải là một biện pháp bào chữa hiệu quả.
Bài kiểm tra về nơi cư trú quan trọng hơn hộ chiếu.
Việc bảo vệ theo GDPR phụ thuộc vào hoàn cảnh xử lý dữ liệu, chứ không phải quốc tịch của công ty hay quốc tịch của cá nhân. Một công ty Hoa Kỳ xử lý dữ liệu cá nhân liên quan đến người dân ở EU vẫn có thể thuộc phạm vi điều chỉnh của quy định này ngay cả khi máy chủ, nhân viên và pháp nhân của công ty đó đặt tại Hoa Kỳ.
Đối với khách hàng tại Berlin, câu hỏi thực tế đầu tiên rất đơn giản:
- Ý định thị trường: Bạn có chủ động bán hàng, tuyển dụng hoặc hỗ trợ người dùng ở EU không?
- Khả năng quan sát hành vi: Bạn có đang theo dõi người dùng EU để phục vụ mục đích phân tích, cá nhân hóa, quảng cáo hoặc quyết định sản phẩm không?
- Kinh nghiệm thực tế: Bạn có thể tìm thấy dữ liệu, giải thích mục đích của nó, trả lời các yêu cầu về quyền và phản hồi cho các cơ quan quản lý không?
Nếu câu trả lời là có, hãy coi GDPR như một yêu cầu bắt buộc khi khởi nghiệp, chứ không phải là một dự án pháp lý phát sinh sau đó. Khách hàng EU đầu tiên của bạn có thể đồng thời phát hiện ra những lỗ hổng trong thông báo, xử lý quyền, hợp đồng với nhà cung cấp, biện pháp bảo vệ khi chuyển dữ liệu và phản ứng sự cố.
Quan điểm của cố vấn cấp cao: Rủi ro thực sự không phải là việc người sáng lập bỏ sót một dòng trong chính sách bảo mật. Mà là việc không ai có thể giải thích dữ liệu cá nhân của người dùng EU được chuyển đi đâu hoặc ai chịu trách nhiệm trả lời khi có yêu cầu được gửi đến.
Những yếu tố nào kích hoạt GDPR đối với các công ty tại Hoa Kỳ?
Một công ty SaaS của Mỹ có thể tiếp cận phạm vi áp dụng GDPR mà không cần mở văn phòng tại EU. Quy định này thường được áp dụng thông qua một trong hai con đường. Điều 3(1) Áp dụng khi có cơ sở thuộc EU tham gia vào quá trình xử lý. Điều 3(2) Có thể áp dụng cho doanh nghiệp bên ngoài EU cung cấp hàng hóa hoặc dịch vụ cho người dân trong EU hoặc giám sát hành vi của họ.
Lộ trình thứ hai bao gồm nhiều công ty SaaS, thương mại điện tử, quảng cáo và sản phẩm kỹ thuật số của Mỹ. Hãy coi đó là vấn đề phạm vi cần giải quyết trước khi ra mắt sản phẩm, chứ không phải là thủ tục giấy tờ cần sửa chữa sau khi nhận được khiếu nại đầu tiên.
Yếu tố kích hoạt thứ nhất là việc cung cấp hàng hóa hoặc dịch vụ.
Bạn không cần phải tính phí khách hàng EU để tạo ra sự chú ý. Vấn đề quan trọng là liệu hành vi của bạn có thể hiện ý định phục vụ người dân ở EU hay không.
Hãy chú ý đến những dấu hiệu này:
- Thiết kế thương mại địa phương hóa: Giá cả theo đồng Euro, điều khoản vận chuyển trong EU, các trang web bằng ngôn ngữ địa phương hoặc quy trình thanh toán được thiết kế dành riêng cho người mua ở châu Âu.
- Thu mua có mục tiêu: Các chiến dịch nhắm mục tiêu đến đối tượng người dùng EU, các trang tìm kiếm khu vực hoặc các hoạt động tiếp cận bán hàng với khách hàng tiềm năng tại EU.
- Hoạt động khách hàng: Các hợp đồng với cá nhân thuộc EU, các tài khoản được cung cấp cho họ, hoặc hỗ trợ cho thị trường của họ.
Một trang web dễ truy cập và lưu lượng truy cập ngẫu nhiên từ EU không tự động khiến một công ty Hoa Kỳ phải tuân thủ mọi nghĩa vụ của châu Âu. Mục đích thương mại và quá trình xử lý dữ liệu liên quan đến hoạt động đó mới là yếu tố quyết định việc phân tích.
Yếu tố kích hoạt thứ hai là theo dõi hành vi.
Việc giám sát không chỉ dừng lại ở việc theo dõi màn hình của một người. Nó có thể bao gồm phân tích dữ liệu, định danh, công nghệ quảng cáo, tín hiệu vị trí hoặc dữ liệu đo từ xa của sản phẩm được sử dụng để đánh giá hoặc dự đoán hành vi.
Hãy yêu cầu nhóm phát triển kiểm tra xem liệu điều đó có đúng hay không:
- Thu thập thông tin về khách truy cập EU để phục vụ mục đích tiếp thị lại.
- Các biện pháp dành cho các phiên họp của EU nhằm cá nhân hóa nội dung.
- Theo dõi hoạt động trên nhiều thiết bị hoặc dịch vụ.
- Sử dụng dữ liệu vị trí hoặc thời gian để suy luận hành vi người dùng.
- Xây dựng lượng khán giả từ các tương tác với EU.
Giao dịch B2B không phải là một ngoại lệ hoàn toàn. Việc xử lý thông tin liên hệ cho một công ty EU vẫn có thể liên quan đến nhân viên hoặc những người khác có thể xác định được danh tính. Hãy lập bản đồ các cá nhân, mục đích, hệ thống và quyết định liên quan thay vì phân loại toàn bộ hoạt động là nằm ngoài phạm vi GDPR.
Sử dụng Hướng dẫn của Hội đồng Bảo vệ Dữ liệu Châu Âu về phạm vi lãnh thổ Ghi lại đánh giá phạm vi dự án của bạn. Kiểm tra lại khi thị trường, sản phẩm hoặc hệ thống theo dõi của bạn thay đổi.
Quan điểm của cố vấn cấp cao: Rủi ro cốt lõi không phải là một câu bị thiếu trong chính sách bảo mật. Đó là luồng dữ liệu không được kiểm soát, mục đích theo dõi không rõ ràng, hoặc một nhóm không thể giải thích quyết định về phạm vi theo dõi khi bị chất vấn. Đại diện của EU có thể cung cấp điểm liên lạc, nhưng điều đó không khắc phục được những thiếu sót này hoặc bảo vệ công ty khỏi các nghĩa vụ chuyển giao, bảo mật và trách nhiệm giải trình.
Các công ty Hoa Kỳ cần tuân thủ những nghĩa vụ nào theo GDPR?
Khi GDPR có hiệu lực, chỉ riêng chính sách bảo mật sẽ không đủ để bảo vệ toàn bộ chương trình. Quy định này ảnh hưởng đến thiết kế sản phẩm, tiếp thị, kỹ thuật, bảo mật, mua sắm, hỗ trợ khách hàng và cả việc ra quyết định của ban lãnh đạo.
Bắt đầu bằng mục đích xử lý. Đối với mỗi hoạt động, hãy ghi lại... cơ sở pháp lý, Mục đích, dữ liệu liên quan, phương pháp lưu trữ, người nhận và người chịu trách nhiệm. Sự đồng ý không phải là công cụ sửa chữa vạn năng. Nếu một nhóm chọn sự đồng ý, họ phải đưa ra lựa chọn có hiểu biết, cụ thể, tự nguyện và dễ dàng rút lại. Nếu họ chọn sự cần thiết theo hợp đồng hoặc lợi ích hợp pháp, hãy ghi lại lý do tại sao cơ sở đó phù hợp với việc xử lý thực tế.
Xây dựng lớp vận hành
Lớp vận hành tối thiểu của bạn cần bao gồm:
- Thông báo rõ ràng: Hãy giải thích những thông tin bạn thu thập, lý do sử dụng, thời gian lưu giữ, ai được nhận thông tin và cách mọi người có thể thực hiện quyền của mình.
- Quyền truy cập: Các yêu cầu truy cập, xóa, chỉnh sửa, phản đối và chuyển dữ liệu phải được chuyển đến chủ sở hữu có trách nhiệm. Việc kiểm tra danh tính cần ngăn chặn việc tiết lộ thông tin trái phép mà không tạo ra những rào cản không cần thiết.
- Hồ sơ xử lý trực tiếp: Duy trì hồ sơ cập nhật về các hoạt động xử lý. Bảng tính có thể hữu ích cho một công ty nhỏ nếu nó có người chịu trách nhiệm, kiểm soát phiên bản và đủ chi tiết để hỗ trợ kiểm toán.
- Sự sẵn sàng ứng phó với vi phạm: Kế hoạch xử lý sự cố của bạn phải xác định người ra quyết định, người xem xét pháp lý, người phụ trách an ninh, người chịu trách nhiệm truyền thông và người liên hệ với cơ quan quản lý. Thời gian thông báo bắt đầu tính từ khi tổ chức nhận thức được một vi phạm đủ điều kiện, vì vậy việc leo thang không thể chỉ phụ thuộc vào việc một người có mặt trực tuyến hay không.
- Đánh giá rủi ro: Hãy sử dụng đánh giá tác động bảo vệ dữ liệu đối với các hoạt động xử lý dữ liệu có thể tạo ra rủi ro đáng kể, đặc biệt là việc giám sát có hệ thống hoặc sử dụng dữ liệu nhạy cảm.
- Các biện pháp kiểm soát an ninh: Áp dụng các biện pháp hạn chế truy cập, mã hóa khi cần thiết, ghi nhật ký, xóa an toàn, kiểm soát của nhà cung cấp và các quy trình khôi phục đã được kiểm thử.
A ghi chép các hoạt động xử lý, thường được gọi là ROPA, Đây là một trong những tài liệu vận hành hữu ích nhất đối với một công ty Hoa Kỳ theo GDPR. Nó giúp nhóm của bạn lập bản đồ mục đích, hệ thống, nhà cung cấp, chuyển giao, lưu giữ và quyền sở hữu, và thường là hồ sơ đầu tiên cần thiết khi xử lý các yêu cầu về quyền, hỗ trợ người đại diện theo Điều 27 hoặc trả lời các câu hỏi thẩm định của khách hàng.
Nguyên tắc vận hành: Nếu nhóm hỗ trợ của bạn không thể nhận diện yêu cầu quyền, cơ sở pháp lý của bạn chưa được ghi lại hoặc bộ phận kỹ thuật không thể xác định được tất cả các kho dữ liệu sản xuất, thì chương trình vẫn chưa thể hoạt động.
Quản lý nhà cung cấp cần một quy trình làm việc riêng biệt. Bộ phận quan hệ khách hàng, hỗ trợ kỹ thuật, phân tích sản phẩm, nền tảng email, môi trường đám mây và nhà cung cấp dịch vụ sao lưu dữ liệu đều có thể xử lý dữ liệu cá nhân. Hãy xem xét kỹ lưỡng mọi thỏa thuận xử lý dữ liệu, thông báo cho bên xử lý phụ, cam kết bảo mật, điều khoản xóa dữ liệu và cơ chế chuyển dữ liệu quốc tế. Một điểm khởi đầu hữu ích cho công việc hợp đồng với khách hàng và nhà cung cấp là như sau: Tài liệu về thỏa thuận xử lý dữ liệu GDPR.
Một nhóm nhỏ tại Mỹ có thể tự xử lý phần lớn việc kiểm kê, thiết kế quy trình làm việc và lập tài liệu. Hãy tìm kiếm tư vấn chuyên môn khi sản phẩm sử dụng dữ liệu nhạy cảm, lập hồ sơ chi tiết, cấu trúc nhóm phức tạp hoặc chuyển khoản quốc tế khối lượng lớn. Đừng chờ đến khi cơ quan quản lý hoặc khách hàng doanh nghiệp tiết lộ rằng thư mục bằng chứng trống rỗng.
Điều 27 GDPR là gì và các công ty Hoa Kỳ có cần điều khoản này không?
MỘT Điều 27 đại diện là người liên hệ chính thức tại thị trường cho một tổ chức không thuộc EU được quy định tại Điều 3(2), trừ khi có trường hợp ngoại lệ hẹp. Việc bổ nhiệm phải được thực hiện bằng văn bản và người đại diện phải được thành lập tại một quốc gia thành viên nơi các chủ thể dữ liệu bị ảnh hưởng cư trú.
Vai trò này có mục đích hoạt động được xác định rõ ràng. Người đại diện có thể nhận thông tin liên lạc từ các chủ thể dữ liệu và cơ quan giám sát, duy trì hồ sơ hoạt động xử lý dữ liệu của bên kiểm soát và hợp tác với các cơ quan quản lý. Việc bổ nhiệm không làm giảm trách nhiệm hoặc nghĩa vụ pháp lý của công ty bạn. Người đại diện là điểm liên lạc, không phải là lá chắn trách nhiệm pháp lý.
Đại diện của EU không phải là văn phòng của EU.
Đại diện của EU không thành lập cơ sở tại EU, quản lý sản phẩm của bạn, phê duyệt cơ sở pháp lý của bạn, hoặc đảm nhận các nghĩa vụ tuân thủ của bạn. Công ty của bạn vẫn chịu trách nhiệm về việc xử lý dữ liệu, hợp đồng, bảo mật, thông báo về quyền riêng tư, quy trình quản lý quyền và các quyết định chuyển giao dữ liệu.
Hãy thận trọng với bất kỳ dịch vụ chỉ cung cấp hộp thư nào. Người đại diện cần có giấy ủy quyền được ghi chép đầy đủ, quy trình tiếp nhận đáng tin cậy, hồ sơ thích hợp và lộ trình giải quyết vấn đề rõ ràng cho tổ chức của bạn. Thông báo về quyền riêng tư của bạn cần nêu rõ thông tin liên hệ của người đại diện khi cần thiết.
Phạm vi miễn trừ khá hẹp. Nhìn chung, điều kiện là việc xử lý dữ liệu phải diễn ra không thường xuyên, không có khả năng gây rủi ro cho cá nhân và không liên quan đến dữ liệu thuộc loại đặc biệt hoặc dữ liệu về án hình sự quy mô lớn. Việc đăng ký dịch vụ SaaS liên tục, hoạt động thương mại điện tử định kỳ hoặc theo dõi hành vi liên tục đòi hỏi phải có phân tích miễn trừ được ghi chép đầy đủ thay vì giả định rằng Điều 27 không áp dụng.
Người đại diện cũng nằm trong một hệ thống tuân thủ rộng hơn. Họ không thể thay thế hồ sơ, kiểm soát nhà cung cấp, quy trình quyền, phân tích chuyển giao hoặc bằng chứng về việc xử lý hợp pháp của bạn. Trên thực tế, điều đó thường bao gồm quyền truy cập vào hồ sơ hiện tại. ROPA Nhờ đó, nhóm của bạn có thể trả lời các câu hỏi về phạm vi, mục đích, nhà cung cấp và luồng dữ liệu bằng những thông tin đáng tin cậy hơn là chỉ dựa vào trí nhớ.
Làm thế nào để quyết định có nên bổ nhiệm một người hay không?
Hãy thực hiện ba bài kiểm tra trước khi bổ nhiệm một người:
- Kiểm tra phạm vi: Xác nhận rằng Điều 3(2) được áp dụng và xác định các quốc gia thành viên nơi các cá nhân bị ảnh hưởng cư trú.
- Bài kiểm tra miễn trừ: Hãy nêu rõ lý do tại sao trường hợp miễn trừ xử lý dữ liệu không thường xuyên được áp dụng hoặc không được áp dụng.
- Kiểm tra vận hành: Xác nhận rằng nhà cung cấp có thể nhận, ghi nhật ký, chuyển tiếp và leo thang thẩm quyền đối với các thông tin liên lạc liên quan đến chủ thể dữ liệu.
Một hình thức trang trọng Dịch vụ đại diện theo Điều 27 của Quy định GDPR của EU Có thể đáp ứng yêu cầu về điểm liên lạc, nhưng không thể khắc phục việc chuyển tiền bất hợp pháp, mục đích xử lý không được hỗ trợ hoặc kiểm soát nội bộ yếu kém. Hãy chỉ định người đại diện, sau đó xây dựng bằng chứng hoạt động hỗ trợ cho người đó.
Bạn cần một bước tiếp theo thiết thực? Nếu nhóm của bạn có khả năng thuộc Điều 3(2), hãy xem xét lại phạm vi, vị trí miễn trừ và quy trình phản hồi của bạn trước khi sự phát triển của EU khiến khoảng trống khó bảo vệ hơn. Dilicheck Rep có thể giúp cấu trúc quy trình đó trước khi bạn ra mắt sản phẩm tiếp theo.
GDPR có mối liên hệ như thế nào với GDPR của Vương quốc Anh, DSA, Đạo luật AI và NIS2?
Việc ra mắt sản phẩm tại châu Âu hiếm khi chỉ tạo ra một mối quan hệ tuân thủ duy nhất. Thay vào đó, nó tạo ra một mạng lưới các quy tắc tiếp cận thị trường, mỗi quy tắc có cơ chế kích hoạt, phạm vi, hồ sơ và giao diện với cơ quan quản lý riêng.
Cái GDPR của Vương quốc Anh Có thể yêu cầu một đại diện riêng biệt tại Vương quốc Anh cho một tổ chức không thuộc Vương quốc Anh nhưng chịu sự điều chỉnh của luật pháp Vương quốc Anh. Kể từ Brexit, Vương quốc Anh vận hành khung pháp lý bảo vệ dữ liệu và giao diện quản lý riêng, mặc dù nhiều khái niệm tuân thủ vẫn quen thuộc với các nhóm đã làm việc với GDPR của EU. Điều đó có nghĩa là một công ty Hoa Kỳ bán hàng vào cả EU và Vương quốc Anh có thể cần phải đánh giá hai vị trí phạm vi lãnh thổ, hai câu hỏi về đại diện và hai quy trình phản hồi thay vì giả định một người được chỉ định bao gồm cả hai thị trường.
Nếu kế hoạch tăng trưởng của bạn bao gồm khách hàng, người dùng hoặc hoạt động tiếp thị tại Vương quốc Anh, hãy coi GDPR của Vương quốc Anh như một yêu cầu song song khi triển khai và xác nhận sớm xem bạn có cần một đầu mối liên hệ chính thức tại Vương quốc Anh hay không.
Bạn cũng cần phủ sóng toàn Vương quốc Anh? Nếu công ty của bạn đang tiếp cận khách hàng tại Vương quốc Anh, hãy xem xét liệu việc bổ nhiệm một đại diện hoặc mô hình liên hệ riêng biệt tuân thủ GDPR của Vương quốc Anh có cần thiết trong kế hoạch thâm nhập thị trường của bạn, bên cạnh việc thiết lập hệ thống tại EU hay không.
Cái Đạo luật dịch vụ kỹ thuật số có thể ảnh hưởng đến các dịch vụ kỹ thuật số và nền tảng trực tuyến thuộc phạm vi điều chỉnh. Đạo luật AI của EU có thể áp đặt thuế đối với các nhà cung cấp ngoài EU đưa các hệ thống AI thuộc phạm vi điều chỉnh lên thị trường EU. NIS2 có thể thiết lập các quy định về quản trị an ninh mạng và nghĩa vụ liên hệ cho các tổ chức và nhà cung cấp thuộc phạm vi hoạt động của nó.
Xây dựng một bản đồ quản trị thống nhất.
Không nên chỉ định người liên lạc riêng lẻ một cách mù quáng và hy vọng tổ chức có thể phối hợp sau này. Hãy tạo một ma trận khung bao gồm:
- Yếu tố kích hoạt lãnh thổ: Khách hàng, người dùng, sản phẩm hoặc hoạt động nào đưa khuôn khổ này vào phạm vi áp dụng?
- Yêu cầu đại diện: Có cần người đại diện chính thức, người đại diện được ủy quyền hoặc đầu mối liên lạc nào không?
- Bộ bằng chứng: Những quy định, thông báo, hồ sơ, tài liệu kỹ thuật hoặc nhật ký sự cố nào cần được lưu giữ?
- Lộ trình leo thang: Ai là người nhận thông báo từ cơ quan quản lý, khiếu nại của khách hàng và thông báo khẩn cấp?
Mô hình hoạt động thống nhất có thể giảm thiểu sự phân tán trong việc tiếp nhận thông tin, nhưng nó không hợp nhất các nghĩa vụ pháp lý. Một đại diện DSA không đáp ứng Điều 27 của GDPR, và một đại diện GDPR không tự động đáp ứng vai trò theo Đạo luật AI. Dilicheck Rep mô tả... Dịch vụ đại diện pháp lý của DSA Như một phần của mô hình đại diện rộng hơn, nhưng việc đánh giá phạm vi của bạn vẫn cần xác định từng khuôn khổ một cách riêng biệt.
Những hiểu biết thực tiễn: Hợp nhất công tác quản lý khi có thể. Giữ riêng biệt các phân tích pháp lý, chỉ thị, hồ sơ và trách nhiệm giải trình khi luật pháp yêu cầu.
Ba quyết định quan trọng nhất
Quyết định đầu tiên là của bạn. cơ sở pháp lý cho quá trình xử lý cốt lõi của sản phẩm. Hãy lựa chọn dựa trên mục đích xử lý, chứ không phải sự tiện lợi. Sự đồng ý không nên thay thế cho kiến trúc sản phẩm, và lợi ích hợp pháp không nên trở thành nhãn mác được áp dụng sau khi sự việc đã xảy ra. Hãy ghi lại quyết định, phân tích cân bằng (nếu có) và giải thích cho người dùng.
Quyết định thứ hai là của bạn. mô hình đại diện. Hãy chọn nhà cung cấp có khả năng thực thi ủy quyền bằng văn bản, lưu giữ hồ sơ cần thiết, tiếp nhận thông tin liên lạc và xử lý vấn đề kịp thời. Tránh coi người đại diện như một hợp đồng bảo hiểm. Công ty vẫn sở hữu quyền xử lý, trách nhiệm pháp lý, quyền phản hồi, bảo mật và vị thế chuyển giao.
Giải pháp mặc định hợp lý rất đơn giản: Hãy chỉ định người liên hệ phù hợp, sau đó xây dựng các cơ chế điều khiển giúp người liên hệ đó phát huy hiệu quả.
Quyết định thứ ba là của bạn. nguồn thông tin duy nhất cho các giao dịch chuyển khoản. Hãy giữ cho sổ đăng ký nhà cung cấp, sơ đồ luồng dữ liệu, cơ chế chuyển giao, đánh giá tác động, các biện pháp bổ sung và các phiên bản hợp đồng được kết nối với nhau. Nếu bộ phận mua sắm, an ninh, kỹ thuật và pháp lý duy trì các phiên bản riêng biệt, thì không ai biết phiên bản nào phản ánh thực tế sản xuất.
Các công ty Hoa Kỳ cũng nên lên kế hoạch thực thi pháp luật đối với các tổ chức không có văn phòng đại diện tại EU. Sự tồn tại của một đại diện không loại bỏ rủi ro, và sự vắng mặt của một đại diện cũng không làm cho quá trình xử lý dữ liệu cơ bản biến mất. Một chương trình có thể bảo vệ được không phải là giấy tờ hoàn hảo. Đó là một tập hợp các quyết định hiện hành, người chịu trách nhiệm được chỉ định, quy trình làm việc hiệu quả và bằng chứng phù hợp với những gì sản phẩm thực hiện.
Câu hỏi thường gặp: GDPR dành cho các công ty Hoa Kỳ và Điều 27
GDPR có áp dụng cho các công ty Hoa Kỳ không?
Có, điều đó hoàn toàn có thể xảy ra. GDPR có thể áp dụng cho một công ty Hoa Kỳ nếu công ty đó cung cấp hàng hóa hoặc dịch vụ cho người dân ở EU hoặc giám sát hành vi của họ tại đó. Việc không có văn phòng tại EU không tự động loại trừ công ty đó khỏi phạm vi áp dụng.
Các công ty Hoa Kỳ có luôn cần một đại diện theo Điều 27 không?
Không phải lúc nào cũng vậy. Một công ty Hoa Kỳ thường cần một đại diện theo Điều 27 khi GDPR áp dụng theo Điều 3(2) và không có trường hợp ngoại lệ nào phù hợp. Vì trường hợp ngoại lệ này hẹp, hầu hết các nhóm nên lập tài liệu phân tích sớm, đặc biệt là trước khi ký hợp đồng với khách hàng EU hoặc mở rộng hoạt động tiếp thị tại EU.
Cách nhanh nhất để biết liệu chúng ta có cần đến nó hay không là gì?
Hãy bắt đầu với hai câu hỏi. Bạn có đang cung cấp hàng hóa hoặc dịch vụ cho người dân ở EU, hoặc giám sát hành vi của họ không? Nếu có, Điều 27 có thể được áp dụng. Một đánh giá phạm vi nhanh chóng thường có thể xác nhận liệu việc đại diện có nên là một phần trong danh sách kiểm tra khi ra mắt sản phẩm của bạn hay không.
Việc chỉ định người đại diện có giúp chúng ta tuân thủ GDPR không?
Không. Người đại diện cung cấp cho bạn một điểm liên lạc chính thức tại EU, điều này rất quan trọng, nhưng việc tuân thủ vẫn phụ thuộc vào các thông báo, cơ sở pháp lý, hợp đồng, chuyển giao, bảo mật và xử lý quyền của bạn. Giá trị thực tiễn mạnh mẽ nhất khi có người đại diện đi kèm với một quy trình nội bộ hoạt động hiệu quả.
Người đại diện nên đặt văn phòng ở đâu?
Văn phòng đại diện nên được thành lập tại một quốc gia thành viên EU nơi có một số cá nhân bị ảnh hưởng đang sinh sống. Trên thực tế, lựa chọn tốt nhất thường là thị trường hoặc nhóm thị trường nơi công ty của bạn đang tích cực bán hàng, hỗ trợ hoặc theo dõi người dùng.
Các công ty Mỹ có cần ROPA (Return on Purchase Agreement) không?
Thường thì đúng vậy. Hồ sơ về các hoạt động xử lý dữ liệu giúp một công ty Hoa Kỳ giải thích họ xử lý những dữ liệu cá nhân nào, tại sao họ xử lý chúng, những hệ thống và nhà cung cấp nào tham gia, dữ liệu được lưu giữ trong bao lâu và trách nhiệm thuộc về ai trong nội bộ công ty. Ngay cả khi nhóm làm việc nhỏ, một ROPA (Hồ sơ về các hoạt động xử lý dữ liệu) hiện hành thường là một trong những tài liệu hữu ích nhất để xử lý các yêu cầu về quyền, hỗ trợ người đại diện theo Điều 27 và chứng minh rằng chương trình phù hợp với thực tế sản xuất.
Liệu một công ty SaaS của Mỹ có thể dựa vào ngoại lệ xử lý dữ liệu không thường xuyên hay không?
Đôi khi, nhưng nhiều công ty SaaS gặp khó khăn trong việc đáp ứng điều kiện. Nếu bạn có khách hàng EU thường xuyên, sử dụng sản phẩm liên tục hoặc phân tích và theo dõi dữ liệu định kỳ, việc bảo vệ quyền miễn trừ có thể khó khăn. Đó là lý do tại sao nhiều nhóm chọn cách xác thực cẩn thận quyền miễn trừ hoặc chỉ định người đại diện trước khi sự tăng trưởng tạo ra rủi ro không đáng có.
Việc bổ nhiệm một đại diện EU có giống với việc mở một văn phòng EU không?
Không. Đại diện theo Điều 27 không phải là văn phòng, chi nhánh hay công ty con tại EU. Đó là vai trò liên hệ pháp lý chính thức giúp công ty bạn đáp ứng một yêu cầu cụ thể mà không cần thành lập cơ sở tại địa phương.
Dilicheck Rep cung cấp dịch vụ đại diện pháp lý chính thức tại EU và Vương quốc Anh, bao gồm Điều 27 GDPR, Đạo luật Trí tuệ Nhân tạo của EU, Đạo luật Dịch vụ Kỹ thuật số, Đạo luật Dữ liệu và dịch vụ điểm liên lạc NIS2, với tài liệu ủy quyền và xử lý có cấu trúc các thông tin liên lạc với cơ quan chức năng và chủ thể dữ liệu. Hãy xem xét lại phạm vi đại diện và mô hình hoạt động của bạn với chúng tôi. Đại diện Dilicheck trước khi ra mắt sản phẩm tiếp theo tại thị trường EU.
Tuyên bố miễn trừ trách nhiệm: Hướng dẫn này chỉ nhằm mục đích cung cấp thông tin chung và không cấu thành tư vấn pháp lý. Việc áp dụng các quy định về bảo vệ dữ liệu và các quy định khác của EU phụ thuộc vào hoàn cảnh cụ thể của từng tổ chức. Bạn nên tìm kiếm tư vấn pháp lý phù hợp khi cần thiết trước khi dựa vào thông tin này hoặc đưa ra các quyết định tuân thủ.
Thông báo: Bài viết này được biên soạn với sự hỗ trợ của trí tuệ nhân tạo và được con người xem xét lại.