GDPR / Zastoupení podle článku 27
Služby zástupce podle GDPR pro EU, Spojené království nebo obojí
Organizace mimo EU nebo Spojené království mohou potřebovat místního zástupce, pokud nabízejí zboží nebo služby osobám na daném území nebo tam monitorují jejich chování. Posoudíme požadavek, zdokumentujeme rozhodnutí a zavedeme správné jmenování a kontaktní proces.
Zástupce je místní kontaktní místo. Nenahrazuje odpovědnost vaší organizace ani automaticky nevystupuje jako váš pověřenec (DPO).
Zvolte správné pokrytí
Zástupce pro EU
Tuto cestu zvolte, když: Vaše organizace je mimo EU/EHP, nemá relevantní provozovnu v EU a zpracování podle čl. 3 odst. 2 zahrnuje GDPR do působnosti.
Právní struktura: Písemné jmenování zástupce usazeného v EU.
Prozkoumat →Zástupce pro Spojené království
Tuto cestu zvolte, když: Vaše organizace je mimo Spojené království, nemá tam relevantní provozovnu a cílení na Spojené království nebo monitorování zahrnuje UK GDPR do působnosti.
Právní struktura: Písemné jmenování zástupce usazeného ve Spojeném království.
Prozkoumat →EU + Spojené království
Tuto cestu zvolte, když: Vaše organizace je mimo obě území a nezávisle splňuje podmínku pro každý trh.
Právní struktura: Dvě samostatná právní jmenování koordinovaná jedním provozním procesem.
Prozkoumat →Pouze posouzení
Tuto cestu zvolte, když: Územní test, výjimka nebo postavení provozovny nejsou jasné.
Právní struktura: Zdokumentované doporučení a záznam o rozhodnutí před jmenováním.
Prozkoumat →Požadavek srozumitelně
Požadavek na zástupce je navázán na územní působnost. Je relevantní tam, kde správce nebo zpracovatel není usazen na daném území, ale právo se uplatní kvůli činnostem směřovaným na tamní osoby nebo proto, že je tam monitorováno jejich chování.
Výjimka je úzká a měla by být zdokumentována, nikoli předpokládána. Pro EU vyžaduje výjimka pro příležitostné zpracování kumulativní posouzení četnosti, rozsáhlého zpracování citlivých údajů nebo údajů o trestných činech a rizika pro osoby. Orgány a subjekty veřejné moci jsou vyloučeny samostatně. Britský režim má obdobný požadavek na zástupce i výjimky, britskou analýzu je však třeba provést samostatně.
Co zástupce podle GDPR dělá
- Poskytuje požadované místní kontaktní místo pro jednotlivce a příslušný dozorový úřad.
- Jedná na základě písemného mandátu správce nebo zpracovatele.
- Přijímá a směruje korespondenci týkající se zpracování, na které se jmenování vztahuje.
- Podporuje dostupnost záznamů podle článku 30 tam, kde zákon ukládá správci, zpracovateli nebo zástupci jejich poskytnutí.
- Udržuje dohodnutý eskalační a evidenční proces, aby se žádosti neztrácely mezi jurisdikcemi.
- Spolupracuje s příslušným dozorovým úřadem, je-li to v souvislosti se svěřenou rolí vyžadováno.
Hranice role
Zástupce není správce, nepřebírá právní odpovědnost správce ani zpracovatele a není automaticky pověřencem (DPO) ani obecným konzultantem organizace pro GDPR.
Co je v rámci služby zahrnuto
- Posouzení územní působnosti a výjimky.
- Potvrzení vhodné země EU a/nebo britského uspořádání.
- Písemná dokumentace jmenování a provozní pokyny.
- Kontaktní údaje zástupce a schválené znění pro zásady ochrany osobních údajů a další sdělení.
- Cesty pro příjem, třídění, evidenci a eskalaci korespondence.
- Úvodní přezkum záznamů a kontaktů potřebných k výkonu mandátu.
- Pravidelné potvrzení trhů, zpracování a kontaktních údajů.
- Jasné hranice pro záležitosti mimo mandát zástupce a volitelnou širší podporu.
Zástupce, pověřenec (DPO), nebo širší podpora GDPR?
Tyto služby mohou fungovat vedle sebe, role by se však neměly slučovat. Zástupce řeší požadavek na místní kontakt pro některé neusazené organizace. Pověřenec nezávisle informuje, radí a monitoruje tam, kde se uplatní zákonná podmínka nebo je role dobrovolně určena. Širší podpora GDPR pomáhá zavést a provozovat podkladový program souladu.
| Otázka | Zástupce | Pověřenec (DPO) | Projektová podpora GDPR |
|---|---|---|---|
| Proč je jmenován? | Požadavek územní působnosti pro některé neusazené organizace. | Zákonná podmínka nebo dobrovolné rozhodnutí o řízení. | Vymezená potřeba zavedení, nápravy nebo provozu. |
| Hlavní funkce | Místní kontakt pro úřady a subjekty údajů na základě mandátu. | Nezávislé poradenství, monitorování a kontakt s regulátorem. | Dodání dohodnuté práce a podkladů. |
| Přebírá odpovědnost vedení? | Ne. | Ne. | Ne. |
| Mohou se role překrývat? | Pouze po pečlivém přezkumu rozsahu a střetu zájmů. | Pouze při zachování nezávislosti a řešení střetů zájmů. | Projektová podpora by neměla být vydávána za zákonný dohled. |
Praktické srovnání rolí najdete v článku DPO vs. zástupce podle GDPR.
Jak jmenování probíhá
Posouzení rozsahu
Potvrzení provozoven, trhů, nabízení/monitorování, četnosti zpracování, kategorií údajů a rizika.
Volba pokrytí
Určení EU, Spojeného království, obojího, nebo zdokumentovaného rozhodnutí o nejmenování.
Potvrzení právního kontaktu
Výběr vhodné provozovny v EU a/nebo uspořádání zástupce usazeného ve Spojeném království.
Uzavření mandátu
Schválení písemného jmenování, rozsahu, komunikačního procesu a odpovědností.
Aktualizace transparentních informací
Doplnění příslušných údajů o zástupci do informací o ochraně osobních údajů a relevantních záznamů.
Spuštění a přezkum
Otestování kontaktní cesty, potvrzení vlastníků eskalace a přezkum při změně trhů nebo zpracování.
Začněte se zdokumentovanou odpovědí
Posouzení je navrženo tak, aby ukázalo, jak byl výsledek dosažen. Nejde o skrytý kontaktní formulář. Můžete vyplnit otázky, získat předběžný výsledek a rozhodnout se, zda potřebujete formální přezkum nebo nabídku jmenování.
Časté dotazy
Potřebuje zástupce každá společnost mimo EU nebo Spojené království?
Ne. Požadavek závisí na tom, zda se relevantní právo uplatní prostřednictvím nabízení nebo monitorování ze strany organizace, zda existuje relevantní provozovna a zda se uplatní výjimka. Posouzení pro EU a pro Spojené království se musí provést samostatně.
Může jedno jmenování zástupce pokrýt EU i Spojené království?
Ne. EU a Spojené království jsou samostatné režimy. Koordinovaná služba může využít jeden proces příjmu a reportingu, vyžaduje však samostatná právní jmenování a kontaktní místa.
Je zástupce totéž co pověřenec (DPO)?
Ne. Zástupce je místním kontaktem pro některé neusazené organizace. Pověřenec má samostatné poradenské a monitorovací úkoly. Některé organizace mohou potřebovat obě role.
Přenáší jmenování odpovědnost za náš soulad na zástupce?
Ne. Jmenování nepřenáší odpovědnost správce ani zpracovatele. Organizace musí i nadále dodržovat platné požadavky a poskytovat informace a součinnost potřebné k výkonu mandátu.
Jaké informace jsou pro posouzení potřeba?
Potřebujeme právní subjekty a provozovny, obsluhované trhy, indicie cílení, monitorovací činnosti, četnost zpracování, kategorie osobních údajů, přibližný rozsah a případné stávající kanceláře nebo zástupce v EU či ve Spojeném království.
Kdy by měl být požadavek přezkoumán?
Přezkoumejte jej před vstupem na nový trh, spuštěním podstatně odlišného monitorování nebo profilování, změnou struktury skupiny, otevřením nebo uzavřením provozovny nebo podstatnou změnou rozsahu či citlivosti zpracování.