Zástupca podľa GDPR / Článok 27 európskeho GDPR
Vymenujte zástupcu pre EÚ podľa článku 27 GDPR
Organizáciám mimo EÚ, ktoré ponúkajú tovar alebo služby osobám v EÚ alebo monitorujú ich správanie v EÚ, môže článok 27 ukladať povinnosť písomne vymenovať zástupcu usadeného v EÚ.
Zdokumentované posúdenie rozsahu, vymenovanie, kontaktné cesty a priebežný proces vybavovania korešpondencie.
Potrebujete zástupcu pre EÚ?
Zástupca pre EÚ je spravidla relevantný vtedy, keď platí všetko nasledujúce: vaša organizácia je prevádzkovateľom alebo sprostredkovateľom mimo EÚ; pre dané spracúvanie nemá relevantnú prevádzkareň v EÚ; a európske GDPR sa uplatňuje, pretože ponúkate tovar alebo služby osobám v EÚ alebo monitorujete ich správanie v EÚ.
Posúdenie sa vzťahuje na konkrétne činnosti. Spoločnosť mimo EÚ nepodlieha európskemu GDPR automaticky len preto, že jej webové sídlo môže navštíviť niekto z EÚ. Rovnako absencia kancelárie v EÚ nebráni tomu, aby sa európske GDPR uplatnilo, ak organizácia cielene obsluhuje tento trh alebo tam monitoruje osoby.
| Otázka posúdenia | Prečo je dôležitá |
|---|---|
| Existuje prevádzkareň v EÚ spojená so spracúvaním? | Ak áno, článok 27 nemusí byť pre dané spracúvanie správnou cestou, hoci európske GDPR sa môže naďalej uplatňovať prostredníctvom prevádzkarne. |
| Ponúkate tovar alebo služby osobám v EÚ? | Analýza posudzuje dôkazy o cielení aktivít na osoby v EÚ, nie iba globálnu dostupnosť. |
| Monitorujete správanie v EÚ? | Sledovanie, profilovanie alebo iné pozorovanie môže priniesť relevantné spracúvanie do pôsobnosti, ak sa správanie odohráva v EÚ. |
| Uplatňuje sa úzka výnimka? | Príležitostné spracúvanie, rozsiahle spracúvanie citlivých údajov či údajov o trestných činoch a riziko sa musia posudzovať kumulatívne. Záver by mal byť zdokumentovaný. |
Čo zástupca pre EÚ robí
- Koná na základe písomného mandátu pre spracúvanie, na ktoré sa vymenovanie vzťahuje.
- Poskytuje kontaktné miesto v EÚ pre dotknuté osoby a dozorné orgány.
- Prijíma, eviduje a smeruje korešpondenciu týkajúcu sa relevantného spracúvania.
- Podporuje sprístupnenie požadovaných záznamov o spracovateľských činnostiach dozorným orgánom.
- Spolupracuje s dozornými orgánmi v súvislosti s mandátom.
- Udržiava dohodnutý eskalačný proces s menovanými kontaktmi vo vašej organizácii.
Čo zástupca pre EÚ nerobí
- Nestáva sa prevádzkovateľom ani sprostredkovateľom.
- Neprenáša zodpovednosť ani ručenie vašej organizácie podľa európskeho GDPR.
- Nie je automaticky vašou zodpovednou osobou.
- Nerobí samotné spracúvanie zákonným len preto, že bol vymenovaný zástupca.
- Nenahrádza potrebu primeraných záznamov, oznámení, zmlúv, procesov vybavovania práv ani bezpečnostných opatrení.
Čo je súčasťou
- Úvodné posúdenie podľa článku 3 ods. 2 a článku 27 vrátane akejkoľvek uplatňovanej výnimky.
- Potvrdenie zvoleného členského štátu EÚ a prevádzkarne zástupcu.
- Písomný mandát a dokumentácia k vymenovaniu.
- Schválené znenie kontaktných údajov zástupcu pre oznámenia o ochrane súkromia a súvisiace materiály transparentnosti.
- Vyhradená cesta pre korešpondenciu a dohodnuté eskalačné kontakty.
- Onboardingová revízia relevantných subjektov, trhov, produktov, spracúvania a existujúcich záznamov.
- Evidencia korešpondencie a dôkazy o vybavovaní v rámci dohodnutého rozsahu služby.
- Pravidelná revízia vymenovania pri podstatnej zmene trhov, štruktúry alebo spracúvania.
Kde by mal byť zástupca usadený?
Článok 27 vyžaduje, aby bol zástupca usadený v členskom štáte, v ktorom sa nachádzajú relevantné osoby. Ak sa významná časť dotknutých osôb nachádza v jednom členskom štáte, EDPB tento štát odporúča ako dobrú prax. Správna lokalita by sa preto mala vyberať podľa vašich skutočných trhov v EÚ, nie iba z administratívneho pohodlia.
Vymenovaný zástupca pre EÚ
- Zástupca:
- Privacy Core Services Ltd (C 95774)
- Usadenie:
- Malta (EU Member State)
- Adresa:
- 124, 21st September Avenue, Naxxar NXR 1015, Malta
- Kontakt:
- privacy@privacycoreservices.com (monitored)
Proces vymenovania
Územné posúdenie
Preskúmanie prevádzkarní, aktivít na trhu EÚ, monitorovania a kritérií výnimky.
Mapa trhov a spracúvania
Identifikácia členských štátov, produktov, subjektov a spracúvania, na ktoré sa mandát vzťahuje.
Výber zástupcu
Potvrdenie právne vhodnej prevádzkarne a obchodného usporiadania.
Písomné vymenovanie
Podpis mandátu a zdokumentovanie zodpovedností, kontaktov, rozsahu a eskalácie.
Aktualizácia transparentnosti
Doplnenie kontaktných údajov zástupcu do informácií o ochrane súkromia a ďalších požadovaných záznamov.
Prevádzkový test
Potvrdenie vstupnej cesty, interného vlastníka, procesu odpovedí a evidencie dôkazov.
Rozsah a cenové faktory
Cena by mala odrážať skutočnú prevádzkovú záťaž a riziko, nie službu obmedzenú na logo či adresu. Návrh by mal uvádzať zahrnuté subjekty a produkty, očakávanú korešpondenciu, populáciu dotknutých osôb, riziko spracúvania, jazyky, požiadavky na podporu záznamov a prípadnú širšiu poradenskú prácu.
| Faktor | Prečo mení rozsah |
|---|---|
| Subjekty a značky | Každý právny subjekt a verejne vystupujúca značka môže vyžadovať samostatnú dokumentáciu, oznámenia a interné kontakty. |
| Trhy EÚ a jazyky | Kontaktný a eskalačný model musí zostať prístupný pre dotknuté osoby aj zapojené orgány. |
| Citlivosť a rozsah spracúvania | Rizikovejšie alebo zložitejšie spracúvanie si spravidla vyžaduje hlbší onboarding a štruktúrovanejšiu eskaláciu. |
| Očakávaná korešpondencia | Obchodný model by mal rozlišovať základnú dostupnosť kontaktu od aktívneho vybavovania prípadov a poradenskej podpory. |
| Podpora záznamov | Dostupnosť podľa článku 30 a kvalita záznamov si môžu vyžadovať prácu nad rámec mandátu zástupcu. |
Zástupca pre EÚ vs zodpovedná osoba
| Zástupca pre EÚ | Zodpovedná osoba | |
|---|---|---|
| Spúšťač | Určité organizácie mimo EÚ podliehajúce európskemu GDPR podľa článku 3 ods. 2. | Spúšťač podľa článku 37 alebo dobrovoľné vymenovanie. |
| Účel | Kontaktné miesto v EÚ a rola splnomocneného zástupcu. | Nezávislé poradenstvo, monitorovanie a kontakt s dozornými orgánmi. |
| Lokalita | Usadený v spôsobilom členskom štáte EÚ. | Musí byť dostupná a vhodne umiestnená; automaticky nejde o usadenie podľa článku 27. |
| Zodpovednosť | Nepreberá zodpovednosť prevádzkovateľa/sprostredkovateľa. | Nepreberá zodpovednosť manažmentu. |
Nie ste si istí, ako sa tieto roly líšia v praxi? Prečítajte si sprievodcu Zodpovedná osoba vs zástupca podľa GDPR alebo si pozrite právne detaily v materiáli Článok 27 zrozumiteľne.
Ste pripravení potvrdiť svoju pozíciu v EÚ?
Vyplňte posúdenie potreby alebo nám pošlite informácie o svojich prevádzkarňach, trhoch v EÚ, produktoch, monitorovacích aktivitách, kategóriách údajov a aktuálnom oznámení o ochrane súkromia. Určíme, či je vymenovanie pravdepodobne potrebné a čo treba potvrdiť pred spustením.
Potrebujete pokrytie EÚ aj Spojeného kráľovstva? Pozrite si koordinovanú službu zástupcu pre EÚ + Spojené kráľovstvo.
Časté otázky
Ktoré organizácie mimo EÚ potrebujú zástupcu podľa GDPR pre EÚ?
Povinnosť sa spravidla vzťahuje na prevádzkovateľa alebo sprostredkovateľa mimo EÚ, ktorý nemá relevantnú prevádzkareň v EÚ, ale európske GDPR sa uplatňuje na spracúvanie súvisiace s ponúkaním tovaru alebo služieb osobám v EÚ alebo s monitorovaním ich správania v EÚ – pokiaľ sa neuplatní výnimka.
Vzťahuje sa na nás výnimka pre príležitostné spracúvanie?
Možno, ale test je kumulatívny a úzky. Spracúvanie musí byť príležitostné, nesmie zahŕňať rozsiahle spracúvanie vymedzených citlivých údajov alebo údajov týkajúcich sa trestných činov a nesmie byť pravdepodobné, že vytvorí riziko pre dotknuté osoby. Odôvodnenie by malo byť zaznamenané.
V ktorej krajine EÚ by mal byť náš zástupca usadený?
Zástupca musí byť usadený v členskom štáte, v ktorom sa nachádzajú relevantné osoby. Mali by ste zvážiť svoje hlavné trhy v EÚ a rozloženie dotknutých osôb. EDPB ako dobrú prax odporúča štát, v ktorom sa nachádza významná časť dotknutých osôb.
Je zástupca pre EÚ to isté ako zodpovedná osoba?
Nie. Zástupca je miestnym kontaktom podľa článku 27 pre určité organizácie mimo EÚ. Zodpovedná osoba má samostatné poradenské a monitorovacie úlohy a požiadavky na nezávislosť. Organizácia môže potrebovať oboch.
Potrebujeme aj zástupcu pre Spojené kráľovstvo?
Samostatné vymenovanie pre Spojené kráľovstvo môžete potrebovať, ak sa britské GDPR uplatňuje na relevantné aktivity zamerané na Spojené kráľovstvo alebo na monitorovanie a neexistuje relevantná britská prevádzkareň ani výnimka. Vymenovanie pre EÚ Spojené kráľovstvo nepokrýva.
Čo musíme po vymenovaní zmeniť v oznámení o ochrane súkromia?
Tam, kde je to relevantné, by vaše informácie o ochrane súkromia mali obsahovať totožnosť a kontaktné údaje zástupcu. Formulácie by mali byť konzistentné v oznámení o ochrane súkromia, procese vybavovania práv, verejných kontaktných kanáloch aj internom eskalačnom postupe.