Articolul 27 GDPR obligă operatorii și persoanele împuternicite din afara Uniunii Europene, care intră sub incidența GDPR conform aplicării extrateritoriale (Art. 3 alin. 2), să desemneze un reprezentant stabilit în UE. Faptul că o firmă nu are birou în Europa nu o scutește de GDPR dacă vizează persoane din UE.
Ce prevede articolul?
Regula se aplică operatorilor din afara UE care oferă bunuri sau servicii persoanelor din Uniune (chiar și gratuit) sau le monitorizează comportamentul (ex. prin analytics, cookie-uri de tracking). Aceștia trebuie să numească, în scris, un reprezentant stabilit într-un stat membru unde se află persoanele vizate afectate. Excepții: prelucrarea ocazională, cu risc scăzut și fără categorii speciale de date pe scară largă, sau situația în care operatorul e o autoritate publică. Reprezentantul este punctul de contact pentru autorități și persoane vizate, alături de (sau în locul contactului direct cu) operator.
Ce înseamnă în practică pentru o firmă?
Relevant mai ales pentru firme din afara UE (SUA, UK post-Brexit, alte țări) care vând servicii sau produse online către clienți români sau europeni. Semnele că o firmă din afara UE „vizează" piața europeană includ: prețuri afișate în euro sau lei, site tradus în limbi europene, livrare explicită către state membre, sau folosirea unor domenii specifice unei țări din UE. Dacă ești o firmă românească ce lucrează cu un furnizor din afara UE care ar trebui să aibă un reprezentant, poți verifica dacă acesta există — e un semnal de conformitate reală, util de inclus în verificarea furnizorilor înainte de a semna un contract.
Cine e scutit de această obligație?
Excepția pentru „prelucrare ocazională, cu risc scăzut" nu trebuie interpretată extensiv: se referă la situații rare, izolate, nu la un flux constant de vânzări sau abonamente către clienți din UE, oricât de mică ar fi firma. O platformă mică din afara UE care are chiar și câțiva clienți lunari din România, în mod constant, greu se poate încadra la excepție. Autoritățile publice din afara UE sunt scutite de obligația de a numi reprezentant, dar această excepție nu se extinde la firme private, oricât de apropiate ar fi de un scop public.
Exemplu concret
O platformă SaaS cu sediul în SUA vinde abonamente către clienți din România și folosește cookie-uri de analiză a comportamentului vizitatorilor din UE. Intră sub incidența Art. 3 alin. 2 și trebuie să desemneze un reprezentant într-un stat membru, ale cărui date de contact trebuie comunicate persoanelor vizate, de regulă în politica de confidențialitate.
Greșeli frecvente
- Presupunerea că „nu avem birou în UE" înseamnă automat că GDPR nu se aplică.
- Confundarea rolului de reprezentant cu cel de responsabil cu protecția datelor (DPO) — sunt funcții diferite, chiar dacă pot fi cumulate uneori.
- Lipsa oricărui punct de contact accesibil persoanelor vizate din UE.
- Neverificarea acestui aspect de către firmele românești care aleg furnizori din afara UE.
Ce riscă un operator din afara UE care ignoră Art. 27?
Lipsa unui reprezentant nu anulează celelalte obligații GDPR — operatorul rămâne responsabil pentru conformitate în ansamblu, dar devine mult mai greu de contactat de autorități și de persoanele vizate din UE, ceea ce agravează orice investigație și poate fi interpretat ca o încălcare suplimentară, de sine stătătoare, sancționabilă separat de eventualele probleme de fond ale prelucrării.
Se leagă de principiul transferurilor internaționale și de garanțiile pentru transferuri. Vezi și ghidul GDPR. Lucrezi cu un furnizor din afara UE? Verificăm conformitatea lanțului de furnizori.
Întrebări frecvente
O firmă americană care vinde online în România trebuie să aibă reprezentant în UE?
Da, dacă oferă bunuri/servicii sau monitorizează comportamentul persoanelor din UE, cu excepția prelucrărilor ocazionale și cu risc scăzut sau dacă e autoritate publică.
Reprezentantul din UE este același lucru cu un DPO?
Nu. Reprezentantul e punctul de contact local pentru autorități și persoane vizate; DPO-ul supraveghează conformitatea internă. Rolurile pot fi cumulate, dar sunt distincte.