Art. 27 — Rappresentanti di titolari del trattamento o dei responsabili del trattamento non stabiliti nell'Unione
Ove si applichi l'articolo 3, paragrafo 2, il titolare del trattamento o il responsabile del trattamento designa per iscritto un rappresentante nell'Unione.
L'obbligo di cui al paragrafo 1 del presente articolo non si applica: a) al trattamento se quest'ultimo è occasionale, non include il trattamento, su larga scala, di categorie particolari di dati di cui all'articolo 9, paragrafo 1, o di dati personali relativi a condanne penali e a reati di cui all'articolo 10, ed è improbabile che presenti un rischio per i diritti e le libertà delle persone fisiche, tenuto conto della natura, del contesto, dell'ambito di applicazione e delle finalità del trattamento; oppure b) alle autorità pubbliche o agli organismi pubblici.
Il rappresentante è stabilito in uno degli Stati membri in cui si trovano gli interessati e i cui dati personali sono trattati nell'ambito dell'offerta di beni o servizi o il cui comportamento è monitorato.
Ai fini della conformità con il presente regolamento, il rappresentante è incaricato dal titolare del trattamento o dal responsabile del trattamento a fungere da interlocutore, in aggiunta o in sostituzione del titolare del trattamento o del responsabile del trattamento, in particolare delle autorità di controllo e degli interessati, per tutte le questioni riguardanti il trattamento.
La designazione di un rappresentante a cura del titolare del trattamento o del responsabile del trattamento fa salve le azioni legali che potrebbero essere promosse contro lo stesso titolare del trattamento o responsabile del trattamento.
Spiegazione
Un titolare o responsabile del trattamento stabilito fuori dall’Unione deve, nei casi previsti, nominare per iscritto un rappresentante nell’Unione. L’obbligo riguarda chi offre beni o servizi a persone nell’Unione o ne osserva il comportamento; il rappresentante deve trovarsi in uno Stato membro in cui vivono persone interessate dal trattamento. L’obbligo non vale per alcuni trattamenti occasionali e a basso rischio, né per le autorità e gli organismi pubblici. Il rappresentante fa da punto di contatto per le persone interessate e le autorità, ma la sua nomina non impedisce azioni legali contro il titolare o il responsabile.
Perché esiste questa norma
La norma rende concretamente raggiungibili, nell’Unione, organizzazioni che trattano dati di persone che vi si trovano pur avendo sede altrove. Facilita i contatti e l’applicazione delle regole, senza esonerare l’organizzazione dalle proprie responsabilità.
Domande frequenti
Un negozio online con sede fuori dall’Unione deve nominare un rappresentante?
Sì, se offre beni o servizi a persone nell’Unione e ricorrono i presupposti previsti. La nomina deve essere scritta e il rappresentante deve trovarsi in uno Stato membro in cui si trovano le persone interessate.
La nomina è necessaria per un trattamento isolato e a basso rischio?
Può non esserlo se il trattamento è occasionale, non comporta su larga scala dati sensibili o relativi a reati ed è improbabile che rischi i diritti e le libertà delle persone. La valutazione dipende anche dalla natura e dalle finalità del trattamento.
Un’autorità pubblica fuori dall’Unione deve nominare un rappresentante?
No. L’obbligo di nominare il rappresentante non si applica alle autorità pubbliche e agli organismi pubblici.
A chi posso rivolgermi se voglio contattare un’organizzazione estera sul trattamento dei miei dati?
Puoi rivolgerti al rappresentante nell’Unione, che funge da interlocutore per le persone interessate e per le autorità di controllo sulle questioni relative al trattamento.
Se l’organizzazione nomina un rappresentante, non posso più agire contro di essa?
No. La nomina non impedisce di promuovere azioni legali contro il titolare del trattamento o il responsabile del trattamento.