Lucrezia Berto, departamento de IP-IT y nuevas tecnologías.
El Reglamento General de Protección de Datos 679/2019 («RGPD», o el «Reglamento») establece deberes y obligaciones que son vinculantes no solo para las entidades europeas, sino también para las entidades no europeas que, debido a las disposiciones del art. 3 del RGPD, queden sujetas al Reglamento.
En este artículo, nos centramos en la obligación de designar un representante en la Unión Europea a efectos de protección de datos y responderemos a varias preguntas importantes al respecto.
¿Qué dice el Reglamento?
Las entidades no establecidas en la Unión Europea que están sujetas al RGPD, según su artículo 3(2) (es decir, en general, las entidades no comunitarias que tratan datos de ciudadanos de la UE relacionados con la oferta de bienes o servicios a esos ciudadanos o con el seguimiento de su comportamiento), tienen la obligación de designar un representante establecido en la Unión, de acuerdo con lo dispuesto en el art. 27 del RGPD. Esto aplica tanto a responsables como a encargados de tratamiento que, por lo tanto, según prevé el Reglamento, deberán informar a los interesados de la identidad y los datos de contacto del representante (por ejemplo, en la política de privacidad). Por lo tanto, no designar un representante en la Unión supone una infracción del Reglamento, sancionada con una multa administrativa de hasta 10 000 000 EUR, según el art. 83(4) del RGPD.
¿Cómo puede una entidad no comunitaria nombrar a un representante? ¿Quién puede ser representante?
El representante debe ser designado explícitamente por mandato escrito de la entidad no comunitaria para que actúe en su nombre con respecto a sus obligaciones en virtud del Reglamento. No obstante, esta designación no afecta a la responsabilidad del responsable o del encargado del tratamiento no establecido en la UE en virtud del RGPD. La función de representante en la Unión puede ser ejercida por una persona física o por una organización sobre la base de un contrato de servicios celebrado con el responsable o el encargado del tratamiento de datos, por lo que puede ser asumida por una amplia gama de entidades comerciales y no comerciales (como bufetes de abogados, consultoras, empresas privadas, etc.) establecidas en la Unión.
¿Cuál es el papel del representante?
El representante debe llevar a cabo sus tareas de acuerdo con el mandato recibido del responsable o el encargado del tratamiento no establecido en la UE, incluida la cooperación con las autoridades de control competentes en relación con cualquier medida que deba adoptarse para garantizar el cumplimiento del RGPD. Por ejemplo, el representante debe notificar a la autoridad de control competente, en materia de protección de datos, la existencia de una brecha de los datos personales que afecte a la entidad no europea cuyo tratamiento esté sujeto al Reglamento, cuando el RGPD imponga dicha notificación.
¿Hay alguna excepción a esta obligación?
El artículo 27 (2) del GDPR establece algunas excepciones a la obligación de designar un representante en la Unión cuando:
- El tratamiento sujeto al RGPD es ocasional y no incluye, a gran escala, el tratamiento de categorías especiales de datos, y es improbable que dicho tratamiento dé lugar a un riesgo para los derechos y libertades de las personas físicas, teniendo en cuenta la naturaleza, el contexto, el alcance y los fines del tratamiento; o
- El tratamiento es realizado por una «autoridad u organismo público».
¿En qué Estado miembro debe establecerse el representante?
Si una entidad no comunitaria tiene que nombrar a un representante en la UE, éste deberá estar establecido en uno de los Estados miembros donde se encuentren los interesados cuyo tratamiento de datos hace que la empresa esté sujeta al RGPD. En los casos en que una proporción significativa de estos interesados se encuentren en un Estado miembro concreto, el representante deberá estar establecido en ese mismo Estado miembro.
En conclusión, cada caso es diferente, y por ello es necesario un análisis cuidadoso para determinar si una entidad está sujeta al Reglamento o no, y si es de aplicación una exención a la obligación de nombrar un representante.
