Zástupce podle GDPR / Článek 27 GDPR (EU)
Jmenujte zástupce pro EU podle článku 27 GDPR
Organizacím mimo EU, které nabízejí zboží nebo služby osobám v EU nebo monitorují jejich chování v EU, může článek 27 ukládat povinnost písemně jmenovat zástupce usazeného v EU.
Zdokumentované posouzení působnosti, jmenování, kontaktní cesty a průběžný proces vyřizování korespondence.
Potřebujete zástupce pro EU?
Zástupce pro EU je obecně relevantní, pokud platí všechny následující podmínky: vaše organizace je správcem nebo zpracovatelem mimo EU; nemá pro dané zpracování relevantní provozovnu v EU; a GDPR se uplatní, protože nabízíte zboží nebo služby osobám v EU nebo monitorujete jejich chování v EU.
Posouzení se provádí pro konkrétní činnosti. Společnost mimo EU nepodléhá GDPR automaticky jen proto, že její web může navštívit někdo z EU. Stejně tak absence kanceláře v EU nebrání tomu, aby se GDPR uplatnilo, pokud organizace daný trh cíleně obsluhuje nebo tamní osoby monitoruje.
| Posuzovaná otázka | Proč je důležitá |
|---|---|
| Existuje provozovna v EU spojená se zpracováním? | Pokud ano, článek 27 nemusí být pro dané zpracování správnou cestou, ačkoli GDPR se může uplatnit prostřednictvím provozovny. |
| Nabízíte zboží nebo služby osobám v EU? | Analýza posuzuje důkazy o směřování činnosti na osoby v EU, nikoli pouhou globální dostupnost. |
| Monitorujete chování v EU? | Sledování, profilování nebo jiné pozorování může relevantní zpracování zahrnout do působnosti, pokud k chování dochází v EU. |
| Uplatní se úzká výjimka? | Příležitostné zpracování, rozsáhlé zpracování citlivých údajů či údajů o trestných činech a riziko se musí posuzovat kumulativně. Závěr by měl být zdokumentován. |
Co zástupce pro EU dělá
- Jedná na základě písemného mandátu pro zpracování, na které se jmenování vztahuje.
- Poskytuje kontaktní místo v EU pro jednotlivce i dozorové úřady.
- Přijímá, eviduje a směruje korespondenci týkající se relevantního zpracování.
- Podporuje zpřístupnění požadovaných záznamů o zpracování dozorovým úřadům.
- Spolupracuje s dozorovými úřady v souvislosti s mandátem.
- Udržuje dohodnutý eskalační proces s určenými kontaktními osobami ve vaší organizaci.
Co zástupce pro EU nedělá
- Nestává se správcem ani zpracovatelem.
- Nepřenáší odpovědnost vaší organizace podle GDPR ani její ručení.
- Není automaticky vaším pověřencem pro ochranu osobních údajů.
- Nečiní podkladové zpracování zákonným jen proto, že byl jmenován zástupce.
- Nenahrazuje potřebu odpovídajících záznamů, zásad ochrany osobních údajů, smluv, procesů pro výkon práv ani bezpečnostních opatření.
Co je zahrnuto
- Úvodní posouzení podle čl. 3 odst. 2 a článku 27, včetně případné uplatňované výjimky.
- Potvrzení zvoleného členského státu EU a provozovny zástupce.
- Písemný mandát a dokumentace jmenování.
- Schválené znění kontaktu na zástupce pro zásady ochrany osobních údajů a související transparentnostní materiály.
- Vyhrazená cesta pro korespondenci a dohodnuté eskalační kontakty.
- Vstupní přezkum relevantních subjektů, trhů, produktů, zpracování a stávajících záznamů.
- Evidence korespondence a doklady o vyřizování v rámci dohodnutého rozsahu služby.
- Pravidelný přezkum jmenování při podstatné změně trhů, struktury nebo zpracování.
Kde by měl být zástupce usazen?
Článek 27 vyžaduje, aby byl zástupce usazen v členském státě, kde se nacházejí dotčené osoby. Pokud se významný podíl dotčených osob nachází v jednom členském státě, EDPB tento stát doporučuje jako osvědčenou praxi. Správné umístění by proto mělo vycházet z vašich skutečných trhů v EU, nikoli být zvoleno jen pro administrativní pohodlí.
Jmenovaný zástupce pro EU
- Zástupce:
- Privacy Core Services Ltd (C 95774)
- Usazení:
- Malta (EU Member State)
- Adresa:
- 124, 21st September Avenue, Naxxar NXR 1015, Malta
- Kontakt:
- privacy@privacycoreservices.com (monitored)
Proces jmenování
Územní posouzení
Přezkum provozoven, aktivity na trhu EU, monitorování a kritérií výjimky.
Mapa trhů a zpracování
Určení členských států, produktů, subjektů a zpracování, na které se mandát vztahuje.
Výběr zástupce
Potvrzení právně vhodné provozovny a obchodního uspořádání.
Písemné jmenování
Podpis mandátu a zdokumentování odpovědností, kontaktů, rozsahu a eskalace.
Aktualizace transparentnosti
Doplnění kontaktních údajů zástupce do informací o ochraně osobních údajů a dalších požadovaných záznamů.
Provozní test
Ověření vstupní cesty, interního vlastníka, procesu odpovědí a evidenčního protokolu.
Rozsah a cenové faktory
Cena by měla odrážet skutečnou provozní zátěž a riziko, nikoli službu spočívající jen v logu nebo adrese. Nabídka by měla uvádět zahrnuté subjekty a produkty, očekávanou korespondenci, počet dotčených subjektů údajů, riziko zpracování, jazyky, požadavky na podporu záznamů a případné širší poradenství.
| Faktor | Proč mění rozsah |
|---|---|
| Subjekty a značky | Každý právní subjekt a veřejně vystupující značka může vyžadovat samostatnou dokumentaci, zásady a interní kontakty. |
| Trhy EU a jazyky | Kontaktní a eskalační model musí zůstat dostupný dotčeným osobám i zapojeným úřadům. |
| Citlivost a rozsah zpracování | Rizikovější nebo složitější zpracování zpravidla vyžaduje hlubší onboarding a strukturovanější eskalaci. |
| Očekávaná korespondence | Obchodní model by měl rozlišovat základní dostupnost kontaktu od aktivního vyřizování případů a poradenské podpory. |
| Podpora záznamů | Zpřístupnění záznamů podle článku 30 a jejich kvalita mohou vyžadovat další práci nad rámec mandátu zástupce. |
Zástupce pro EU vs. pověřenec (DPO)
| Zástupce pro EU | Pověřenec (DPO) | |
|---|---|---|
| Podmínka vzniku | Některé organizace mimo EU podléhající GDPR podle čl. 3 odst. 2. | Podmínky článku 37 nebo dobrovolné jmenování. |
| Účel | Kontaktní místo v EU a role zmocněného zástupce. | Nezávislé poradenství, monitorování a kontakt s dozorovým úřadem. |
| Umístění | Usazen ve způsobilém členském státě EU. | Musí být dostupný a vhodně začleněn; není automaticky provozovnou podle článku 27. |
| Odpovědnost | Nepřebírá odpovědnost správce či zpracovatele. | Nepřebírá odpovědnost vedení. |
Nejste si jisti, jak se role liší v praxi? Přečtěte si průvodce DPO vs. zástupce podle GDPR nebo se podívejte na materiál Článek 27 srozumitelně s právními podrobnostmi.
Chcete si potvrdit svou pozici vůči EU?
Vyplňte posouzení požadavku, nebo nám zašlete informace o svých provozovnách, trzích v EU, produktech, monitorovací činnosti, kategoriích údajů a aktuálních zásadách ochrany osobních údajů. Určíme, zda je jmenování pravděpodobně vyžadováno a co je třeba potvrdit před spuštěním.
Potřebujete pokrytí EU i Spojeného království? Podívejte se na koordinovanou službu zástupce pro EU + Spojené království.
Časté dotazy
Které organizace mimo EU potřebují zástupce podle GDPR pro EU?
Požadavek se obecně uplatní tam, kde správce nebo zpracovatel mimo EU nemá relevantní provozovnu v EU, ale GDPR se vztahuje na zpracování spojené s nabízením zboží nebo služeb osobám v EU nebo s monitorováním jejich chování v EU, pokud se neuplatní výjimka.
Vztahuje se na nás výjimka pro příležitostné zpracování?
Možná, ale test je kumulativní a úzký. Zpracování musí být příležitostné, nesmí zahrnovat rozsáhlé zpracování vymezených citlivých údajů nebo údajů týkajících se trestných činů a nesmí být pravděpodobné, že pro osoby vytvoří riziko. Odůvodnění by mělo být zaznamenáno.
Ve které zemi EU by měl být náš zástupce usazen?
Zástupce musí být usazen v členském státě, kde se nacházejí dotčené osoby. Měly by se zohlednit vaše hlavní trhy v EU a rozložení dotčených osob. EDPB jako osvědčenou praxi doporučuje stát s významným podílem dotčených osob.
Je zástupce pro EU totéž co pověřenec (DPO)?
Ne. Zástupce je místním kontaktem podle článku 27 pro některé organizace mimo EU. Pověřenec má samostatné požadavky na poradenství, monitorování a nezávislost. Organizace může potřebovat obojí.
Potřebujeme také zástupce pro Spojené království?
Samostatné jmenování pro Spojené království můžete potřebovat, pokud se britské GDPR vztahuje na relevantní činnosti zaměřené na Spojené království nebo na monitorování a neexistuje tam relevantní provozovna ani výjimka. Jmenování pro EU Spojené království nepokrývá.
Co se musí po jmenování změnit v našich zásadách ochrany osobních údajů?
Tam, kde je to relevantní, by vaše informace o ochraně osobních údajů měly obsahovat totožnost a kontaktní údaje zástupce. Formulace by měla být konzistentní napříč zásadami ochrany osobních údajů, procesem pro výkon práv, veřejnými kontaktními kanály a interním eskalačním postupem.