GDPR Article 27: requisiti, esenzioni e sanzioni

Se la tua azienda ha sede al di fuori dell'UE ma offri beni o servizi a persone nell'UE, o ne monitori il comportamento, l'Article 27 del GDPR può importi di designare un rappresentante all'interno dell'Unione. Il rappresentante è il punto di contatto locale a cui le autorità di controllo e i singoli individui possono rivolgersi direttamente. Questa guida spiega chi deve nominarne uno, l'esenzione ristretta che si applica ai trattamenti a basso rischio, cosa fa effettivamente il rappresentante, come designarlo correttamente e cosa accade se non lo fai.

Chi deve nominare un rappresentante ai sensi dell'Article 27

L'Article 27 si applica quando un titolare o responsabile del trattamento non è stabilito nell'UE ma il suo trattamento ricade nell'ambito dell'Article 3(2) del GDPR. Ciò si verifica quando offri beni o servizi a interessati nell'UE (a pagamento o gratuitamente), oppure monitori il comportamento di individui che avviene all'interno dell'UE, come il tracciamento online o la profilazione.

Dove ciò si applica, devi designare un rappresentante per iscritto, stabilito in uno Stato membro in cui si trovano gli individui interessati. Si tratta di un ruolo distinto da quello del DPO: un rappresentante affronta la questione della portata geografica, mentre un DPO riguarda la supervisione del tuo trattamento. Un'azienda US o canadese può aver bisogno di entrambi, di uno solo o di nessuno, a seconda delle sue attività.

L'esenzione, i compiti del rappresentante e come designarne uno

L'Article 27(2) prevede un'esenzione ristretta. Non sei tenuto a nominare un rappresentante se il tuo trattamento è occasionale, non include il trattamento su larga scala di dati di categorie particolari (o di dati relativi a condanne penali) ed è improbabile che presenti un rischio per i diritti e le libertà degli individui. Tutte e tre le condizioni devono essere soddisfatte, ed è per questo che la maggior parte delle attività commerciali o SaaS continuative non vi rientra. Anche le autorità pubbliche sono fuori dall'ambito di applicazione.

I compiti principali del rappresentante consistono nel:

• agire come punto di contatto per le autorità di controllo e gli interessati su tutte le questioni relative al tuo trattamento;
• conservare una copia dei registri delle attività di trattamento previsti dall'Article 30 e metterli a disposizione delle autorità su richiesta.

Per designarlo, rilascia un mandato scritto e pubblica l'identità e i recapiti del rappresentante nella tua informativa sulla privacy, in modo che siano accessibili ai sensi degli Article 13/14.

Sanzioni e applicazione delle norme

La mancata designazione di un rappresentante costituisce una violazione dell'Article 27 e rientra nel livello sanzionatorio inferiore dell'Article 83(4): fino a EUR 10 milioni o il 2% del fatturato mondiale annuo totale, se superiore. La designazione di un rappresentante non sposta la tua responsabilità in qualità di titolare o responsabile del trattamento; rimani pienamente responsabile della conformità.

L'applicazione delle norme nei confronti di aziende extra-UE è reale. L'autorità di controllo olandese ha sanzionato Locatefamily.com con EUR 525.000 per aver operato senza un rappresentante ai sensi dell'Article 27. Le autorità considerano inoltre l'assenza di un rappresentante come un indicatore di una più ampia non conformità.

Base giuridica	Article 27 GDPR
Livello sanzionatorio	Article 83(4)
Massimo	EUR 10M o 2% del fatturato

Domande frequenti

Un rappresentante ai sensi dell'Article 27 è la stessa cosa di un DPO?

No. Un rappresentante è un punto di contatto locale nell'UE per le organizzazioni stabilite al di fuori di essa, e affronta la portata geografica ai sensi dell'Article 3(2). Un DPO è un ruolo di consulenza e supervisione che può essere richiesto indipendentemente da dove l'organizzazione è stabilita. Le due funzioni sono distinte e non dovrebbero essere combinate nella stessa persona, poiché i loro interessi possono entrare in conflitto.

Nominare un rappresentante lo rende responsabile delle nostre violazioni del GDPR?

La designazione di un rappresentante non trasferisce la tua responsabilità in qualità di titolare o responsabile del trattamento; rimani tu il soggetto responsabile. Le autorità di controllo possono rivolgere le azioni di applicazione delle norme al rappresentante, ma l'obbligo sottostante, e qualsiasi sanzione, restano in capo all'azienda extra-UE. Gli obblighi diretti propri del rappresentante sono limitati, principalmente alla tenuta dei registri previsti dall'Article 30.

Siamo un'azienda SaaS US con pochi utenti nell'UE. Ne abbiamo comunque bisogno?

Probabilmente sì. L'esenzione prevista dall'Article 27(2) si applica solo quando il trattamento è occasionale, a basso rischio ed esclude dati di categorie particolari su larga scala, il tutto contemporaneamente. Un prodotto SaaS che serve e monitora continuativamente utenti dell'UE generalmente non è occasionale, quindi un rappresentante è di norma necessario anche con un numero modesto di utenti nell'UE.