Cosa succede se non nomini un rappresentante UE?

Se la tua azienda statunitense o canadese offre beni o servizi a persone nell'UE o nel SEE, oppure ne monitora il comportamento, l'articolo 27 del GDPR di norma ti impone di nominare un rappresentante UE. Saltare questo passaggio non è una lacuna burocratica che puoi ignorare in silenzio. È una violazione autonoma del GDPR, lascia le autorità di controllo e gli interessati senza un punto di contatto locale e ha già fatto spendere denaro vero ad aziende extra-UE. Questa guida illustra cosa accade realmente quando non c'è un rappresentante: l'esposizione legale, ciò che le autorità di controllo hanno fatto in concreto, dove ricade la responsabilità, il danno operativo dell'essere irraggiungibili e come colmare rapidamente la lacuna.

Non nominare il rappresentante è una violazione a sé stante

L'articolo 27 è un obbligo, non una raccomandazione. Per le organizzazioni soggette all'articolo 3(2), l'assenza di un rappresentante è di per sé una violazione, indipendentemente dal fatto che il trattamento sottostante sia per altri versi lecito.

Le autorità di controllo lo trattano in questo modo. Ai sensi dell'articolo 83, le violazioni dell'articolo 27 rientrano nella fascia sanzionatoria inferiore, fino a EUR 10 million o il 2% del fatturato mondiale annuo totale, se superiore. È tutt'altro che trascurabile e raramente arriva da sola. Un rappresentante mancante è spesso la prima cosa che un'autorità nota e segnala una conformità debole anche altrove.

Ne derivano due conseguenze pratiche:

• La violazione è dimostrabile di per sé. Un'autorità non ha bisogno di affrontare in giudizio complesse questioni di trattamento per accertarla.
• Si aggrava. Le autorità abbinano l'accertamento dell'articolo 27 alle violazioni di fascia superiore che tende ad accompagnare, spingendo l'esposizione totale verso il massimo previsto dal GDPR.

Come si è presentata davvero l'attività sanzionatoria

Non è una questione teorica. Nel giugno 2021 l'autorità di controllo olandese ha sanzionato il sito a gestione canadese Locatefamily.com con EUR 525,000 proprio per non aver nominato un rappresentante UE ai sensi dell'articolo 27. Ha inoltre ordinato all'azienda di nominarne uno o di pagare EUR 20,000 ogni due settimane, fino a EUR 120,000.

La violazione dell'articolo 27 compare anche in casi più ampi e multi-autorità. Quando le autorità italiana e greca hanno sanzionato ciascuna Clearview AI con EUR 20 million, la mancata designazione di un rappresentante UE è stata citata accanto agli accertamenti principali di trattamento illecito.

Conta anche il tetto più ampio del GDPR:

Fascia	Massimo
Violazione dell'articolo 27	EUR 10m o 2% del fatturato
Obblighi fondamentali	EUR 20m o 4% del fatturato

In breve: le autorità agiscono davvero contro le aziende extra-UE e il rappresentante mancante è parte della storia.

Responsabilità, irraggiungibilità e come rimediare in fretta

Nominare un rappresentante non trasferisce la responsabilità. La responsabilità resta saldamente in capo a te come titolare (o responsabile) del trattamento. Il rappresentante è il tuo punto di contatto obbligatorio nell'UE, non uno scudo, e il GDPR è esplicito nel dire che la designazione non pregiudica le azioni nei confronti del titolare stesso.

Il rischio più silenzioso è essere irraggiungibili. Senza un rappresentante, un'autorità o un interessato che cerca di contattarti non ha alcun canale locale. Il silenzio viene letto come mancata cooperazione, un fattore aggravante ai sensi dell'articolo 83, e invita a escalation, reclami e ordini.

La regolarizzazione è rapida:

1. Verifica se l'articolo 3(2) si applica al tuo trattamento.
2. Nomina un rappresentante con mandato scritto in uno Stato membro dell'UE o del SEE in cui si trovano i tuoi interessati.
3. Indicalo nella tua informativa sulla privacy e registralo nei tuoi registri ai sensi dell'articolo 30.

Agire prima che arrivi un reclamo è molto più economico che reagire a uno.

Domande frequenti

Non nominare un rappresentante UE è davvero una violazione separata?

Sì. Se l'articolo 3(2) si applica a te, non designare un rappresentante è una violazione autonoma dell'articolo 27, indipendentemente dal fatto che il resto del tuo trattamento sia conforme. Un'autorità di controllo può agire solo su questa base e, nel caso Locatefamily.com, l'autorità olandese ha sanzionato EUR 525,000 esattamente su questo presupposto. In pratica di solito compare insieme ad altri accertamenti, il che aumenta l'esposizione totale.

Quanto può essere elevata la sanzione?

Le violazioni dell'articolo 27 rientrano nella fascia inferiore del GDPR, fino a EUR 10 million o il 2% del fatturato mondiale annuo totale, se superiore. Ma il rappresentante mancante raramente si presenta da solo. Se abbinato a violazioni fondamentali come il trattamento illecito, l'esposizione totale può raggiungere il massimo del GDPR di EUR 20 million o il 4% del fatturato annuo globale. Clearview AI ha ricevuto sanzioni di EUR 20 million in diversi Stati membri.

Nominare un rappresentante riduce la mia responsabilità legale?

No. La responsabilità resta in capo a te come titolare o responsabile del trattamento. Un rappresentante è il tuo punto di contatto UE designato per le autorità e gli interessati, incaricato per iscritto di agire per tuo conto, ma non trasferisce né attenua la tua responsabilità. Il suo valore reale è pratico: diventi raggiungibile, puoi rispondere rapidamente e rimuovi una violazione facile e dimostrabile da qualsiasi futura indagine.