Zdroje / Referenčný sprievodca
Článok 27 GDPR zrozumiteľne
Článok 27 ukladá určitým prevádzkovateľom a sprostredkovateľom mimo EÚ alebo Spojeného kráľovstva povinnosť písomne vymenovať miestneho zástupcu. Vymenovanie podporuje kontakt s regulátorom a jednotlivcami, ale neprenáša zodpovednosť organizácie.
Článok 27 v skratke
- • Dopadá na prevádzkovateľov a sprostredkovateľov mimo EÚ či Spojeného kráľovstva, ktorí bez miestnej prevádzkarne spadajú pod extrateritoriálnu pôsobnosť GDPR.
- • Dva spúšťače: ponúkanie tovaru alebo služieb osobám na danom území, alebo monitorovanie ich správania tam.
- • Výnimka je kumulatívna — príležitostné spracúvanie, žiadne rozsiahle spracúvanie osobitných kategórií či údajov o odsúdeniach a nepravdepodobné riziko musia platiť súčasne.
- • EÚ a Spojené kráľovstvo sú oddelené režimy: kto spadá pod oba, potrebuje dve samostatné vymenovania.
- • Zástupca podľa článku 27 je miestne kontaktné miesto s písomným poverením — nie je to vaša zodpovedná osoba (DPO) a zodpovednosť zostáva na vás.
Na čo článok 27 slúži
Európske GDPR sa môže uplatňovať na organizáciu mimo EÚ, keď príslušné spracúvanie súvisí s ponúkaním tovaru alebo služieb osobám v EÚ alebo s monitorovaním ich správania v EÚ. Článok 27 zavádza pre mnohé organizácie zachytené týmto extrateritoriálnym pravidlom povinnosť určiť miestneho zástupcu.
Britské GDPR obsahuje obdobnú povinnosť pre relevantné organizácie mimo Spojeného kráľovstva. Keďže EÚ a Spojené kráľovstvo sú samostatné právne územia, testy aj vymenovania by sa mali vykonať samostatne.
Postupnosť rozhodovania podľa článku 27
Identifikujte subjekt
Identifikujte prevádzkovateľa alebo sprostredkovateľa a posudzovanú spracovateľskú činnosť.
Overte prevádzkarne
Zistite, či existuje relevantná prevádzkareň v EÚ alebo Spojenom kráľovstve.
Uplatnite územný test
Posúďte ponúkanie tovaru alebo služieb a monitorovanie správania na danom území.
Posúďte výnimky
Zvážte výnimku pre orgány verejnej moci a výnimku pre príležitostné nízkorizikové spracúvanie.
Vymenujte písomne
Ak sa vyžaduje, vyberte spôsobilú prevádzkareň a uzavrite písomný mandát.
Aktualizujte informácie
Aktualizujte informácie o ochrane súkromia, záznamy, verejné kontakty a interné eskalačné postupy.
Čo sa považuje za ponúkanie tovaru alebo služieb?
Posúdenie hľadá zámer obsluhovať osoby na danom území. Samotná dostupnosť webového sídla z EÚ alebo Spojeného kráľovstva sama osebe nestačí. Relevantnými indikátormi môžu byť jazyk alebo mena špecifické pre daný trh, dostupnosť dodania alebo služby, miestne kampane, voľba domény či kontaktov a odkazy na používateľov alebo zákazníkov na danom území. Indikátory treba posudzovať spoločne a v kontexte.
Čo sa považuje za monitorovanie správania?
Monitorovanie môže zahŕňať sledovanie alebo profilovanie osôb na analýzu alebo predikciu správania, preferencií, záujmov, spoľahlivosti, polohy, pohybu alebo iných charakteristík. Územný test sa sústreďuje na správanie, ktoré sa odohráva na príslušnom území. Analýza by mala identifikovať konkrétne technológie a účely, a nie považovať všetku analytiku automaticky za rovnocennú.
Výnimka je kumulatívna
Pre EÚ je výnimka pre príležitostné spracúvanie dostupná len vtedy, keď je spracúvanie príležitostné, nezahŕňa rozsiahle spracúvanie vymedzených citlivých údajov alebo údajov týkajúcich sa uznania viny za trestné činy a priestupky a nie je pravdepodobné, že po zohľadnení jeho povahy, kontextu, rozsahu a účelov vytvorí riziko pre osoby. Tieto podmienky platia spoločne – nesplnenie jednej z nich znamená, že výnimka nie je dostupná.
Britská výnimka zo zastúpenia by sa mala posudzovať podľa britského znenia a usmernení ICO. Rozhodnutie by malo byť zaznamenané a preskúmané pri zmene podnikania alebo spracúvania.
Dobrá prax
Jednoriadkové konštatovanie, že spracúvanie je „nízkorizikové“, nie je obhájiteľným posúdením výnimky. Zaznamenajte frekvenciu, rozsah, kategórie údajov, účel, dotknuté osoby, riziká a posudzovateľa.
Čo musí byť zástupca schopný zabezpečiť
- Byť kontaktovaný v otázkach relevantného spracúvania jednotlivcami aj dozornými orgánmi.
- Konať na základe písomného mandátu prevádzkovateľa alebo sprostredkovateľa.
- Poskytovať účinnú a dostupnú miestnu kontaktnú cestu.
- Podporovať spoluprácu s príslušným dozorným orgánom.
- Sprístupniť relevantné záznamy tam, kde zákon vyžaduje, aby ich prevádzkovateľ, sprostredkovateľ alebo zástupca poskytol.
Kde musí byť zástupca pre EÚ usadený
Zástupca pre EÚ musí byť usadený v jednom z členských štátov, v ktorých sa nachádzajú dotknuté osoby. Ak sa významná časť nachádza v konkrétnom členskom štáte, EDPB ako dobrú prax odporúča umiestniť zástupcu tam. Prítomnosť zástupcu nevytvára prevádzkovateľovi ani sprostredkovateľovi prevádzkareň v EÚ a sama osebe neotvára prístup k mechanizmu jednotného kontaktného miesta podľa GDPR.
Informácie, ktoré si zvyčajne vyžadujú aktualizáciu
- Oznámenia o ochrane súkromia a ďalšie informácie podľa článkov 13/14.
- Kontaktné cesty pre žiadosti o práva a sťažnosti.
- Záznamy podľa článku 30 a mapy zodpovedností.
- Postupy pre incidenty, regulátora a právnu korešpondenciu.
- Kontaktné informácie na verejnom webovom sídle, v aplikácii alebo produkte tam, kde je to relevantné.
- Dokumentáciu pre dodávateľov a klientov, ktorá si vyžaduje kontakt na zástupcu.
Časté chyby
- Predpoklad, že globálne dostupné webové sídlo znamená cielenie na EÚ alebo Spojené kráľovstvo bez analýzy skutočných indikátorov.
- Spoliehanie sa na výnimku pre príležitostné spracúvanie bez uplatnenia všetkých podmienok.
- Použitie jedného vymenovania alebo adresy na pokrytie EÚ aj Spojeného kráľovstva.
- Označovanie zástupcu za zodpovednú osobu organizácie.
- Zverejnenie kontaktnej adresy bez zdokumentovaného mandátu a funkčného eskalačného procesu.
- Neaktualizovanie informácií o ochrane súkromia ani interných zodpovedných osôb po vymenovaní.
- Považovanie vymenovania za náhradu základného programu súladu s GDPR.
Aplikujte to na svoju organizáciu
Posúdenie vám poskytne zdokumentovanú predbežnú odpoveď pre obe územia. Pre podporu pri vymenovaní pozrite servisné stránky pre EÚ, Spojené kráľovstvo alebo kombinovanú službu.
Nasadzujete aj systémy AI? Naše služby AI governance pokrývajú akt EÚ o umelej inteligencii popri vašom programe GDPR.
Zástupca podľa článku 27 — FAQ
Kto potrebuje zástupcu podľa článku 27?
Prevádzkovatelia a sprostredkovatelia mimo EÚ či Spojeného kráľovstva, ktorí osobám na danom území ponúkajú tovar alebo služby alebo monitorujú ich správanie bez relevantnej prevádzkarne — ak sa neuplatní výnimka. Povinnosť sa posudzuje pre každé územie a každú spracovateľskú činnosť; päťminútové posúdenie poskytne zdokumentovanú predbežnú odpoveď.
Aké výnimky článok 27 pripúšťa?
Orgány verejnej moci a verejné subjekty sú vylúčené a existuje výnimka pre príležitostné spracúvanie, ktoré nezahŕňa rozsiahle spracúvanie osobitných kategórií údajov či údajov o odsúdeniach a pravdepodobne nepredstavuje riziko pre fyzické osoby. Podmienky sú kumulatívne — musia platiť všetky — a záver treba zdokumentovať, nie predpokladať.
Potrebujeme zástupcu pre EÚ aj pre Spojené kráľovstvo?
Možno. GDPR EÚ a UK GDPR sú oddelené režimy s vlastnými testami: ak sa uplatnia oba a nemáte prevádzkareň ani v jednom území, sú potrebné dve samostatné vymenovania. Koordinovaná služba EÚ + UK zvládne obe cez jeden proces.
Začnite päťminútovým posúdením, alebo porovnajte koordinovanú službu EÚ + UK.
Primárne zdroje
- Konsolidované znenie európskeho GDPR, články 3 a 27 (EUR-Lex).
- Usmernenia EDPB 3/2018 o územnej pôsobnosti GDPR.
- Usmernenie ICO: Potrebujeme britského zástupcu?
- Znenie článku 27 britského GDPR (legislation.gov.uk).
- Recitál 80 GDPR o určení a zodpovednosti zástupcov (EUR-Lex).