RGPD / Representación del artículo 27
Servicios de representante RGPD para la UE, el Reino Unido o ambos
Las organizaciones situadas fuera de la UE o del Reino Unido pueden necesitar un representante local cuando ofrecen bienes o servicios a personas en el territorio correspondiente u observan allí su comportamiento. Examinamos la obligación, documentamos la decisión y ponemos en marcha la designación correcta y el proceso de contacto.
Un representante es un punto de contacto local. No sustituye la responsabilidad de su organización ni actúa automáticamente como su DPD.
Elija la cobertura adecuada
Representante en la UE
Elija esta vía si: Su organización está fuera de la UE/del EEE, no tiene un establecimiento pertinente en la UE y un tratamiento del artículo 3, apartado 2, sitúa el RGPD de la UE en el ámbito de aplicación.
Estructura jurídica: Designación por escrito de un representante establecido en la UE.
Ver →Representante en el Reino Unido
Elija esta vía si: Su organización está fuera del Reino Unido, no tiene un establecimiento pertinente allí, y una orientación deliberada al Reino Unido o una observación sitúa el UK GDPR en el ámbito de aplicación.
Estructura jurídica: Designación por escrito de un representante establecido en el Reino Unido.
Ver →UE + Reino Unido
Elija esta vía si: Su organización está fuera de ambos territorios y cumple el detonante de cada mercado de forma independiente.
Estructura jurídica: Dos designaciones jurídicas separadas, coordinadas mediante un proceso operativo único.
Ver →Solo evaluación de necesidad
Elija esta vía si: El análisis territorial, la excepción o la situación de establecimiento no están claros.
Estructura jurídica: Recomendación documentada y acta de decisión antes de cualquier designación.
Ver →La obligación en palabras sencillas
La obligación de designar un representante está vinculada al ámbito de aplicación territorial. Es relevante cuando un responsable o encargado no está establecido en el territorio correspondiente, pero el derecho se aplica porque hay actividades dirigidas a personas allí o se observa su comportamiento en ese territorio.
La excepción es estricta y debe documentarse, no simplemente presumirse. En la UE, la excepción para el tratamiento ocasional exige una valoración acumulativa de la frecuencia, del tratamiento a gran escala de datos sensibles o de datos penales y del riesgo para los interesados. Las autoridades y organismos públicos están exentos por separado. El régimen del Reino Unido conoce una obligación de representante y unas excepciones equivalentes, pero el análisis del Reino Unido debe realizarse por separado.
Qué hace un representante RGPD
- Proporciona el punto de contacto local exigido para los interesados y la autoridad de control competente.
- Actúa sobre la base de un mandato escrito del responsable o del encargado.
- Recibe y canaliza la correspondencia relativa al tratamiento cubierto por la designación.
- Apoya la puesta a disposición de los registros del artículo 30, cuando la ley exige que el responsable, el encargado o el representante los presenten.
- Mantiene un proceso acordado de escalado y evidencias, para que ninguna solicitud se pierda entre ordenamientos.
- Coopera con la autoridad de control competente en lo necesario en relación con la función encomendada.
Delimitación de la figura
El representante no es el responsable del tratamiento, no asume la responsabilidad jurídica del responsable o del encargado y no es automáticamente el DPD ni el asesor general RGPD de la organización.
Qué incluye el servicio
- Análisis del ámbito de aplicación territorial y de la excepción.
- Confirmación del país de la UE adecuado y/o de la solución para el Reino Unido.
- Documentación de designación por escrito e instrucciones operativas.
- Datos de contacto del representante y redacción aprobada para los avisos de privacidad y demás información.
- Recepción, triaje, registro y vías de escalado de la correspondencia.
- Revisión inicial de los registros y contactos necesarios para ejercer el mandato.
- Confirmación periódica de mercados, tratamiento y datos de contacto.
- Delimitación clara de los asuntos ajenos al mandato de representante y apoyo adicional opcional.
¿Representante, DPD o apoyo RGPD más amplio?
Estos servicios pueden coexistir, pero las figuras no deben mezclarse. Un representante satisface el requisito de un punto de contacto local para determinadas organizaciones no establecidas. Un DPD informa, asesora y supervisa de forma independiente cuando se da el detonante legal o la figura se designa voluntariamente. El apoyo RGPD más amplio ayuda a implantar y operar el programa de cumplimiento subyacente.
| Pregunta | Representante | DPD | Apoyo de proyecto RGPD |
|---|---|---|---|
| ¿Por qué se recurre a esta figura? | Requisito del ámbito territorial para determinadas organizaciones no establecidas. | Detonante legal o decisión voluntaria de gobernanza. | Necesidad definida de implantación, subsanación u operación. |
| Función principal | Punto de contacto local para autoridades e interesados sobre la base de un mandato. | Asesoramiento independiente, supervisión y contacto con las autoridades. | Ejecutar los trabajos y las evidencias acordados. |
| ¿Asume la responsabilidad de la dirección? | No. | No. | No. |
| ¿Pueden solaparse las figuras? | Solo tras un examen cuidadoso del alcance y de los conflictos de interés. | Solo si se preservan la independencia y la ausencia de conflictos. | El apoyo de proyecto no debe presentarse como supervisión legal. |
Encontrará una comparación práctica de las figuras en DPD o representante RGPD.
Así funciona la designación
Examinar el alcance
Confirmación de establecimientos, mercados, actividades de oferta/observación, frecuencia del tratamiento, categorías de datos y riesgo.
Elegir la cobertura
Determinación de UE, Reino Unido, ambos o una decisión documentada de no designar.
Confirmar el punto de contacto jurídico
Selección del establecimiento adecuado en la UE y/o de la solución de representante establecida en el Reino Unido.
Formalizar el mandato
Aprobación de la designación escrita, el alcance, el proceso de comunicación y las responsabilidades.
Actualizar la información de transparencia
Inclusión de los datos de contacto pertinentes del representante en la información de privacidad y los registros relevantes.
Puesta en marcha y revisión
Prueba de la vía de contacto, confirmación de los responsables de escalado y revisión ante cambios de mercados o tratamiento.
Empiece con un resultado documentado
La evaluación de necesidad está diseñada para mostrar cómo se llegó al resultado. No es un formulario de contacto encubierto. Puede responder a las preguntas, obtener un resultado preliminar y decidir si necesita un examen formal o una propuesta de designación.
Preguntas frecuentes
¿Necesita un representante toda empresa de fuera de la UE o del Reino Unido?
No. La obligación depende de si el derecho correspondiente se aplica por las actividades de oferta u observación de la organización, de si existe un establecimiento pertinente y de si se aplica una excepción. Los análisis de la UE y del Reino Unido deben realizarse por separado.
¿Puede una única designación de representante cubrir la UE y el Reino Unido?
No. La UE y el Reino Unido son regímenes separados. Un servicio coordinado puede usar un proceso único de recepción e informes, pero exige designaciones jurídicas y puntos de contacto separados.
¿Es lo mismo un representante que un DPD?
No. Un representante es un punto de contacto local para determinadas organizaciones no establecidas. Un DPD tiene funciones independientes de asesoramiento y supervisión. Algunas organizaciones necesitan ambas figuras.
¿La designación hace al representante responsable de nuestro cumplimiento?
No. La designación no transfiere la responsabilidad del responsable o del encargado. La organización debe seguir cumpliendo los requisitos aplicables y facilitar la información y la cooperación necesarias para ejercer el mandato.
¿Qué información se necesita para el análisis?
Necesitamos las personas jurídicas y los establecimientos, los mercados atendidos, los indicios de orientación deliberada, las actividades de observación, la frecuencia del tratamiento, las categorías de datos personales, el volumen aproximado y las oficinas o encargados existentes en la UE o el Reino Unido, en su caso.
¿Cuándo debe revisarse la obligación?
Revísela antes de entrar en un mercado nuevo, antes de iniciar una observación o un perfilado sustancialmente distintos, cuando cambie la estructura del grupo, cuando se abra o cierre un establecimiento o cuando cambien de forma sustancial el volumen o la sensibilidad del tratamiento.