¿Qué ocurre si no designas un representante en la UE?

Si tu empresa estadounidense o canadiense ofrece bienes o servicios a personas en la UE o el EEE, o monitoriza su comportamiento, el artículo 27 del RGPD normalmente te obliga a designar un representante en la UE. Omitir ese paso no es una simple laguna documental que puedas arrastrar sin más. Es una infracción autónoma del RGPD, deja a las autoridades y a los interesados sin un punto de contacto local y ya les ha costado dinero real a empresas no establecidas en la UE. Esta guía repasa lo que realmente ocurre cuando no hay un representante designado: la exposición legal, lo que las autoridades de control han hecho en la práctica, dónde recae la responsabilidad, el daño operativo de ser ilocalizable y cómo cerrar la brecha rápidamente.

No designar es una infracción por sí misma

El artículo 27 es una obligación, no una recomendación. Para las organizaciones a las que se aplica el artículo 3(2), la ausencia de un representante es en sí misma una infracción, con independencia de que tu tratamiento subyacente sea por lo demás lícito.

Las autoridades de control lo tratan así. Conforme al artículo 83, las infracciones del artículo 27 se sitúan en el tramo inferior de sanciones, de hasta EUR 10 million o el 2% del volumen de negocio total anual mundial, la cifra que sea mayor. Eso dista mucho de ser trivial, y rara vez viene sola. La falta de un representante suele ser lo primero que advierte una autoridad y señala debilidades de cumplimiento en otros ámbitos.

De ello se derivan dos consecuencias prácticas:

• La infracción es demostrable a primera vista. Una autoridad no necesita litigar cuestiones complejas de tratamiento para acreditarla.
• Se acumula. Las autoridades combinan la constatación del artículo 27 con las infracciones de tramo superior que suele acompañar, elevando la exposición total hacia el máximo del RGPD.

Cómo ha sido la aplicación en la práctica

Esto no es teórico. En junio de 2021 la autoridad de control neerlandesa multó al sitio de operación canadiense Locatefamily.com con EUR 525,000 específicamente por no designar un representante en la UE conforme al artículo 27. También ordenó a la empresa designar uno o pagar EUR 20,000 cada dos semanas, hasta un máximo de EUR 120,000.

La infracción del artículo 27 también aparece en casos más grandes con varias autoridades. Cuando los reguladores italiano y griego multaron cada uno a Clearview AI con EUR 20 million, la falta de designación de un representante en la UE se citó junto a las constataciones centrales de tratamiento ilícito.

El límite más amplio del RGPD también importa:

Tramo	Máximo
Infracción del artículo 27	EUR 10m o 2% del volumen de negocio
Obligaciones centrales	EUR 20m o 4% del volumen de negocio

En resumen: las autoridades sí actúan contra empresas no establecidas en la UE, y la falta de representante forma parte de la historia.

Responsabilidad, imposibilidad de localización y cómo solucionarlo rápido

Designar un representante no traslada la responsabilidad. La responsabilidad recae de lleno en ti como responsable del tratamiento (o encargado). El representante es tu punto de contacto obligatorio en la UE, no un escudo, y el RGPD es explícito en que la designación se entiende sin perjuicio de las acciones que puedan ejercitarse contra el propio responsable.

El riesgo más silencioso es ser ilocalizable. Sin un representante, una autoridad o un interesado que intente contactarte no tiene un canal local. El silencio se lee como falta de cooperación, lo que constituye un factor agravante conforme al artículo 83 e invita a la escalada, las reclamaciones y los requerimientos.

La subsanación es rápida:

1. Confirma si el artículo 3(2) se aplica a tu tratamiento.
2. Designa, mediante mandato escrito, un representante en un Estado miembro de la UE o del EEE donde se encuentren tus interesados.
3. Indícalo en tu aviso de privacidad y regístralo en tus registros del artículo 30.

Actuar antes de que llegue una reclamación es mucho más barato que reaccionar a una.

Preguntas frecuentes

¿No designar un representante en la UE es realmente una infracción independiente?

Sí. Si el artículo 3(2) se te aplica, no designar un representante es una infracción independiente del artículo 27, con independencia de que el resto de tu tratamiento sea conforme. Una autoridad de control puede actuar solo por ese motivo, y en el caso de Locatefamily.com la autoridad neerlandesa impuso una multa de EUR 525,000 precisamente sobre esta base. En la práctica suele aparecer junto a otras constataciones, lo que eleva la exposición total.

¿De qué tamaño puede ser la multa?

Las infracciones del artículo 27 se sitúan en el tramo inferior del RGPD, de hasta EUR 10 million o el 2% del volumen de negocio total anual mundial, la cifra que sea mayor. Pero la falta de representante rara vez va sola. Cuando se combina con infracciones centrales, como el tratamiento ilícito, la exposición total puede alcanzar el máximo del RGPD de EUR 20 million o el 4% del volumen de negocio anual mundial. Clearview AI recibió multas de EUR 20 million en varios Estados miembros.

¿Designar un representante reduce mi responsabilidad legal?

No. La responsabilidad recae en ti como responsable o encargado del tratamiento. Un representante es tu punto de contacto designado en la UE para autoridades e interesados, con mandato por escrito para actuar en tu nombre, pero no transfiere ni diluye tu responsabilidad. Su verdadero valor es práctico: pasas a ser localizable, puedes responder con rapidez y eliminas una infracción fácil y demostrable de cualquier investigación futura.