Zdroje / Referenční příručka
Článek 27 GDPR srozumitelně
Článek 27 ukládá některým správcům a zpracovatelům mimo EU nebo Spojené království povinnost písemně jmenovat místního zástupce. Jmenování podporuje kontakt s úřady i jednotlivci, nepřenáší však odpovědnost organizace.
Článek 27 v kostce
- • Dopadá na správce a zpracovatele mimo EU či Spojené království, kteří bez místní provozovny spadají pod extrateritoriální působnost GDPR.
- • Dva spouštěče: nabízení zboží nebo služeb osobám na daném území, nebo monitorování jejich chování tam.
- • Výjimka je kumulativní — příležitostné zpracování, žádné rozsáhlé zpracování zvláštních kategorií či údajů o odsouzeních a nepravděpodobné riziko musí platit zároveň.
- • EU a Spojené království jsou oddělené režimy: kdo spadá pod oba, potřebuje dvě samostatná jmenování.
- • Zástupce podle článku 27 je místní kontaktní místo s písemným pověřením — není to váš pověřenec (DPO) a odpovědnost zůstává na vás.
K čemu článek 27 slouží
GDPR se může vztahovat i na organizaci mimo EU, pokud relevantní zpracování souvisí s nabízením zboží nebo služeb osobám v EU nebo s monitorováním jejich chování v EU. Článek 27 zakládá povinnost mít místního zástupce pro řadu organizací, na které dopadá toto pravidlo o extrateritoriální působnosti.
Britské GDPR obsahuje obdobný požadavek pro relevantní organizace mimo Spojené království. Protože EU a Spojené království jsou samostatná právní území, testy i jmenování by se měly provádět samostatně.
Rozhodovací postup podle článku 27
Určete aktéra
Určete správce nebo zpracovatele a posuzovanou činnost zpracování.
Ověřte provozovny
Zjistěte, zda existuje relevantní provozovna v EU nebo Spojeném království.
Aplikujte územní test
Posuďte nabízení zboží nebo služeb a monitorování chování na daném území.
Posuďte výjimky
Zvažte výjimku pro veřejné orgány a pro příležitostné nízkorizikové zpracování.
Jmenujte písemně
Je-li to vyžadováno, zvolte způsobilou provozovnu a uzavřete písemný mandát.
Aktualizujte své informace
Aktualizujte informace o ochraně osobních údajů, záznamy, veřejné kontakty a interní eskalační postupy.
Co se považuje za nabízení zboží nebo služeb?
Posouzení hledá záměr obsluhovat osoby na daném území. Pouhá dostupnost webu z EU nebo Spojeného království sama o sobě nestačí. Relevantními indiciemi mohou být jazyk nebo měna typické pro daný trh, dostupnost dodání či služby, místní kampaně, volba domény nebo kontaktů a odkazy na uživatele či zákazníky na daném území. Indicie je nutné posuzovat společně a v kontextu.
Co se považuje za monitorování chování?
Monitorování může zahrnovat sledování nebo profilování osob za účelem analýzy či předvídání chování, preferencí, zájmů, spolehlivosti, polohy, pohybu nebo jiných charakteristik. Územní test se zaměřuje na chování, k němuž dochází na daném území. Analýza by měla identifikovat skutečné technologie a účely, nikoli považovat veškerou analytiku automaticky za rovnocennou.
Výjimka je kumulativní
Pro EU je výjimka pro příležitostné zpracování dostupná pouze tehdy, je-li zpracování příležitostné, nezahrnuje rozsáhlé zpracování vymezených citlivých údajů nebo údajů týkajících se odsouzení za trestné činy či trestných činů a je nepravděpodobné, že po zohlednění své povahy, kontextu, rozsahu a účelů vytvoří pro osoby riziko. Tyto podmínky platí společně — nesplnění jedné z nich znamená, že výjimka není k dispozici.
Britská výjimka pro zástupce by se měla posuzovat podle britského znění a pokynů ICO. Rozhodnutí by mělo být zaznamenáno a přezkoumáno při změně podnikání nebo zpracování.
Osvědčená praxe
Jednořádkové konstatování, že je zpracování „nízkorizikové“, není obhajitelným posouzením výjimky. Zaznamenejte četnost, rozsah, kategorie údajů, účel, dotčené osoby, rizika a osobu, která posouzení provedla.
Co musí být zástupce schopen zajistit
- Být kontaktován ve věcech relevantního zpracování jednotlivci i dozorovými úřady.
- Jednat na základě písemného mandátu správce nebo zpracovatele.
- Poskytovat účinnou a dostupnou místní kontaktní cestu.
- Podporovat spolupráci s příslušným dozorovým úřadem.
- Zpřístupnit relevantní záznamy tam, kde zákon ukládá správci, zpracovateli nebo zástupci jejich poskytnutí.
Kde musí být zástupce pro EU usazen
Zástupce pro EU musí být usazen v jednom z členských států, kde se nacházejí dotčené osoby. Pokud se významný podíl nachází v konkrétním členském státě, EDPB jako osvědčenou praxi doporučuje umístit zástupce právě tam. Přítomnost zástupce nezakládá správci ani zpracovateli provozovnu v EU a sama o sobě nezakládá přístup k mechanismu jednoho kontaktního místa (one-stop-shop) podle GDPR.
Informace, které je obvykle třeba aktualizovat
- Zásady ochrany osobních údajů a další informace podle článků 13/14.
- Kontaktní cesty pro žádosti o výkon práv a stížnosti.
- Záznamy podle článku 30 a mapy odpovědností.
- Postupy pro incidenty, komunikaci s regulátorem a právní korespondenci.
- Veřejné kontaktní údaje na webu, v aplikaci nebo produktu, kde je to relevantní.
- Dokumentaci pro dodavatele a klienty, která vyžaduje kontakt na zástupce.
Časté chyby
- Předpokládat, že globálně dostupný web znamená cílení na EU nebo Spojené království, bez analýzy skutečných indicií.
- Spoléhat na výjimku pro příležitostné zpracování bez uplatnění všech podmínek.
- Používat jedno jmenování nebo adresu pro pokrytí EU i Spojeného království.
- Označovat zástupce za pověřence (DPO) organizace.
- Zveřejnit kontaktní adresu bez zdokumentovaného mandátu a funkčního eskalačního procesu.
- Neaktualizovat informace o ochraně osobních údajů nebo interní vlastníky po jmenování.
- Považovat jmenování za náhradu podkladového programu souladu s GDPR.
Uplatněte to na svou organizaci
Posouzení vám poskytne zdokumentovanou předběžnou odpověď pro obě území. Podporu při jmenování najdete na stránkách služby pro EU, Spojené království nebo kombinovanou službu.
Nasazujete i systémy AI? Naše služby AI governance pokrývají akt EU o umělé inteligenci vedle vašeho programu GDPR.
Zástupce podle článku 27 — FAQ
Kdo potřebuje zástupce podle článku 27?
Správci a zpracovatelé mimo EU či Spojené království, kteří osobám na daném území nabízejí zboží nebo služby nebo monitorují jejich chování, aniž by tam měli relevantní provozovnu — ledaže se uplatní výjimka. Povinnost se posuzuje pro každé území a každou činnost zpracování; pětiminutové posouzení dá zdokumentovanou předběžnou odpověď.
Jaké výjimky článek 27 připouští?
Orgány veřejné moci a veřejné subjekty jsou vyloučeny a existuje výjimka pro příležitostné zpracování, které nezahrnuje rozsáhlé zpracování zvláštních kategorií údajů či údajů o odsouzeních a pravděpodobně nepředstavuje riziko pro fyzické osoby. Podmínky jsou kumulativní — musí platit všechny — a závěr je třeba zdokumentovat, nikoli předpokládat.
Potřebujeme zástupce pro EU i pro Spojené království?
Možná. GDPR EU a UK GDPR jsou oddělené režimy s vlastními testy: pokud se uplatní oba a nemáte provozovnu ani v jednom území, jsou nutná dvě samostatná jmenování. Koordinovaná služba EU + UK zvládne obě přes jeden proces.
Začněte pětiminutovým posouzením, nebo porovnejte koordinovanou službu EU + UK.
Primární zdroje
- Konsolidované znění GDPR, články 3 a 27 (EUR-Lex).
- Pokyny EDPB 3/2018 k územní působnosti GDPR.
- Pokyny ICO: Potřebujeme zástupce pro Spojené království?
- Znění článku 27 britského GDPR (legislation.gov.uk).
- Bod odůvodnění 80 GDPR o jmenování a odpovědnosti zástupců (EUR-Lex).