Representante RGPD / Artículo 27 del RGPD de la UE
Designar un representante en la UE conforme al artículo 27 del RGPD
Para las organizaciones situadas fuera de la UE que ofrecen bienes o servicios a personas en la UE u observan allí su comportamiento, el artículo 27 puede exigir la designación por escrito de un representante establecido en la UE.
Análisis de aplicabilidad documentado, designación, vías de contacto y proceso de correspondencia continuo.
¿Necesita un representante en la UE?
Un representante en la UE es relevante, por regla general, cuando se cumplen todos estos puntos: su organización es responsable o encargado situado fuera de la UE; no tiene para el tratamiento un establecimiento pertinente en la UE; y el RGPD de la UE se aplica porque ofrece bienes o servicios a personas en la UE u observa su comportamiento en la UE.
El análisis se realiza actividad por actividad. Una empresa de fuera de la UE no queda automáticamente sujeta al RGPD de la UE solo porque alguien en la UE pueda abrir su sitio web. A la inversa, la ausencia de una oficina en la UE no impide la aplicabilidad del RGPD de la UE si la organización atiende deliberadamente ese mercado u observa allí a las personas.
| Pregunta de examen | Por qué importa |
|---|---|
| ¿Existe un establecimiento en la UE relacionado con el tratamiento? | En caso afirmativo, el artículo 27 puede no ser la vía correcta para ese tratamiento, aunque el RGPD de la UE pueda seguir aplicándose a través del establecimiento. |
| ¿Se ofrecen bienes o servicios a personas en la UE? | El análisis atiende a los indicios de orientación deliberada a personas en la UE, no a la mera accesibilidad mundial. |
| ¿Se observa comportamiento en la UE? | El tracking, el perfilado u otras formas de observación pueden situar tratamientos en el ámbito de aplicación cuando el comportamiento tiene lugar en la UE. |
| ¿Se aplica la excepción, de alcance estricto? | El tratamiento ocasional, el tratamiento a gran escala de datos sensibles o penales y el riesgo deben examinarse de forma acumulativa. El resultado debe documentarse. |
Qué hace el representante en la UE
- Actúa sobre la base de un mandato escrito para el tratamiento cubierto por la designación.
- Proporciona un punto de contacto en la UE para los interesados y las autoridades de control.
- Recibe, registra y canaliza la correspondencia sobre el tratamiento en cuestión.
- Apoya la puesta a disposición de los registros de tratamiento exigidos ante las autoridades de control.
- Coopera con las autoridades de control en el marco del mandato.
- Mantiene un proceso de escalado acordado con interlocutores designados en su organización.
Qué no hace el representante en la UE
- No se convierte en responsable ni en encargado del tratamiento.
- No asume la responsabilidad de su organización conforme al RGPD de la UE.
- No es automáticamente su delegado de protección de datos.
- No convierte en lícito el tratamiento subyacente por el mero hecho de haber designado un representante.
- No sustituye los registros, avisos de privacidad, contratos, procesos de derechos de los interesados ni medidas de seguridad exigidos.
Alcance del servicio
- Examen inicial conforme al artículo 3, apartado 2, y al artículo 27, incluida cualquier excepción invocada.
- Confirmación del Estado miembro de la UE elegido y del establecimiento del representante.
- Mandato escrito y documentación de la designación.
- Redacción aprobada de los datos de contacto del representante para los avisos de privacidad y la documentación de transparencia asociada.
- Vía de correspondencia dedicada y contactos de escalado acordados.
- Revisión de incorporación de las sociedades, mercados, productos, tratamientos y registros existentes pertinentes.
- Registro de correspondencia y evidencias de tramitación dentro del alcance acordado.
- Revisión periódica de la designación ante cambios sustanciales de mercados, estructura o tratamiento.
¿Dónde debe estar establecido el representante?
El artículo 27 exige que el representante esté establecido en un Estado miembro donde se encuentren los interesados. Si una parte sustancial de los interesados se encuentra en un Estado miembro, el CEPD recomienda ese Estado como buena práctica. La ubicación correcta debe derivarse, por tanto, de sus mercados reales en la UE y no elegirse por meras razones administrativas.
Representante designado en la UE
- Representante:
- Privacy Core Services Ltd (C 95774)
- Establecimiento:
- Malta (EU Member State)
- Dirección:
- 124, 21st September Avenue, Naxxar NXR 1015, Malta
- Contacto:
- privacy@privacycoreservices.com (monitored)
Cómo transcurre la designación
Examen del ámbito territorial
Revisión de establecimientos, actividad en el mercado de la UE, observación y los criterios de la excepción.
Mapa de mercados y tratamientos
Identificación de los Estados miembros, productos, sociedades y tratamientos que cubre el mandato.
Selección del representante
Confirmación del establecimiento jurídicamente adecuado y del acuerdo comercial.
Designación por escrito
Firma del mandato y documentación de responsabilidades, contactos, alcance y escalado.
Actualización de la información de transparencia
Inclusión de los datos de contacto del representante en la información de privacidad y demás documentación exigida.
Prueba operativa
Confirmación del canal de entrada, del responsable interno, del proceso de respuesta y del registro de evidencias.
Alcance y factores del precio
El precio debe reflejar la carga operativa y el riesgo reales — no un logotipo ni un mero servicio de dirección. La propuesta debe detallar las sociedades y productos incluidos, el volumen de correspondencia esperado, el número de interesados, el riesgo del tratamiento, los idiomas, las necesidades de apoyo con los registros y cualquier asesoramiento adicional.
| Factor | Por qué cambia el alcance |
|---|---|
| Sociedades y marcas | Cada persona jurídica y cada marca con presencia pública puede requerir documentación, avisos e interlocutores internos propios. |
| Mercados de la UE e idiomas | El modelo de contacto y escalado debe seguir siendo accesible para las personas y autoridades implicadas. |
| Sensibilidad y volumen del tratamiento | Los tratamientos de mayor riesgo o complejidad suelen exigir una incorporación más profunda y un escalado más estructurado. |
| Correspondencia esperada | El modelo comercial debe distinguir entre la mera disponibilidad y la gestión activa de casos con asesoramiento. |
| Apoyo con los registros | La puesta a disposición conforme al artículo 30 y la calidad de los registros pueden requerir un esfuerzo adicional más allá del mandato de representante. |
Representante en la UE frente a DPD
| Representante en la UE | DPD | |
|---|---|---|
| Detonante | Determinadas organizaciones de fuera de la UE sujetas al RGPD de la UE conforme al artículo 3, apartado 2. | Detonante del artículo 37 o designación voluntaria. |
| Finalidad | Punto de contacto en la UE y función de representante con mandato. | Asesoramiento independiente, supervisión y contacto con la autoridad de control. |
| Ubicación | Establecimiento en un Estado miembro de la UE adecuado. | Debe ser accesible y estar adecuadamente implicado; no es por defecto el establecimiento del artículo 27. |
| Responsabilidad | No asume la responsabilidad del responsable o encargado. | No asume la responsabilidad de la dirección. |
¿No tiene claro en qué se diferencian las figuras en la práctica? Lea la guía DPD o representante RGPD o El artículo 27 explicado para los detalles jurídicos.
¿Listo para aclarar su posición en la UE?
Realice la evaluación de necesidad o envíenos su estructura de establecimientos, mercados de la UE, productos, actividades de observación, categorías de datos y avisos de privacidad actuales. Aclaramos si la designación es previsiblemente necesaria y qué debe confirmarse antes de la puesta en marcha.
¿Necesita cobertura en la UE y el Reino Unido? Consulte el servicio coordinado de representante UE + Reino Unido.
Preguntas frecuentes
¿Qué organizaciones de fuera de la UE necesitan un representante en la UE conforme al RGPD?
La obligación se aplica, por regla general, cuando un responsable o encargado situado fuera de la UE no tiene un establecimiento pertinente en la UE, pero el RGPD de la UE se aplica a tratamientos relacionados con ofrecer bienes o servicios a personas en la UE o con observar allí su comportamiento — salvo que se aplique una excepción.
¿Se nos aplica la excepción para el tratamiento ocasional?
Es posible, pero el análisis es acumulativo y de interpretación estricta. El tratamiento debe ser ocasional, no puede incluir el tratamiento a gran escala de los datos sensibles mencionados ni de datos sobre condenas penales y probablemente no debe entrañar un riesgo para los interesados. La justificación debe documentarse.
¿En qué país de la UE debe estar establecido nuestro representante?
El representante debe estar establecido en un Estado miembro donde se encuentren los interesados. Deben considerarse sus principales mercados de la UE y la distribución de los interesados. El CEPD recomienda como buena práctica el Estado miembro donde se encuentra una parte sustancial de los interesados.
¿Es lo mismo un representante en la UE que un DPD?
No. El representante es el punto de contacto local del artículo 27 para determinadas organizaciones de fuera de la UE. Un DPD está sujeto a requisitos propios de asesoramiento, supervisión e independencia. Una organización puede necesitar ambos.
¿Necesitamos además un representante en el Reino Unido?
Es posible que necesite una designación separada para el Reino Unido si el UK GDPR se aplica a actividades u observaciones relacionadas con el Reino Unido y no existe allí un establecimiento pertinente ni una excepción. La designación de la UE no cubre el Reino Unido.
¿Qué hay que cambiar en nuestros avisos de privacidad tras la designación?
Cuando proceda, su información de privacidad debe incluir la identidad y los datos de contacto del representante. La redacción debe ser coherente en los avisos de privacidad, el proceso de derechos de los interesados, los canales de contacto públicos y el procedimiento interno de escalado.