Representante RGPD en la Unión Europea, designación según el artículo 27 del RGPD

Es obligatorio nombrar un representante RGPD solo en ciertos casos. El Reglamento General de Protección de Datos (RGPD) especifica el principio general según el cual las empresas que no están presentes en el territorio de la Unión Europea (directa o indirectamente, en particular a través de una filial, sucursal, oficina de representación u otra forma de establecimiento) y que , por el contrario, se dirijan a particulares en la Unión Europea (ofreciéndoles bienes o servicios) o que controlen el comportamiento de estos últimos, deberán designar un representante.

El RGPD establece claramente el alcance de la misión del Representante del RGPD en la UE y sus obligaciones: el representante RGPD es el punto de contacto para las autoridades supervisoras (la CNIL en Francia), así como para las personas interesadas que deseen ejercer sus derechos, además lleva registro de todas las operaciones de tratamiento de datos personales realizadas en el territorio de la UE.

Por supuesto, la cuestión de la responsabilidad del representante del RGPD a menudo se aborda sobre la base del Reglamento, pero es importante recordar que otras fuentes especifican el alcance de su responsabilidad. Más allá de las obligaciones del RGPD, el representante mantiene una relación contractual con su cliente en forma de mandato. El servicio de representación no se limita a una simple declaración a la CNIL, el alcance de la misión y las responsabilidades deben especificarse por escrito en un mandato, para aclarar las obligaciones del principal (el representante) y de su agente. (el cliente).

Es necesario disipar una ambigüedad recurrente sobre la responsabilidad del representante del RGPD: el Representante no está destinado a desempeñar el papel de cortafuegos para su cliente, en caso de incumplimiento que involucre la responsabilidad del cliente, este último no puede refugiarse sistemáticamente. detrás del mandato de representación y la responsabilidad de su representante.

“La designación de un representante […] se entenderá sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable o encargado. ”.

Así, en caso de violación de la seguridad que implique la responsabilidad de un responsable del tratamiento o de un subcontratista establecido fuera de la UE, una autoridad de control como la CNIL se dirigirá en primer lugar al representante autorizado, que asume su misión como punto de contacto con el autoridad. En un segundo paso, la autoridad buscará establecer el reparto de responsabilidades entre el principal y su agente, en particular a la luz de las obligaciones legales del representante pero también de las obligaciones previstas en el mandato.

El respeto a los principios de transparencia y colaboración recíproca entre las dos partes se tendrá en cuenta para evaluar la responsabilidad de cada parte. Por ejemplo, el representante tiene la obligación legal de llevar un registro de las actividades de su cliente; sin embargo, si la CNIL detecta una infracción grave, como la omisión de una hoja de procesamiento considerada esencial en el registro, investigará si el procesamiento en cuestión se ha puesto en conocimiento del representante de forma transparente o si se le ha ocultado esta actividad de tratamiento.

En cuanto al mandato de representante artículo 27 del RGPD, se recomienda incluir la siguiente información: la identidad de las partes y su calidad de mandante o mandatario, si el cliente actúa como responsable del tratamiento y/o subcontratista, duración del mandato, información relativa al alcance de la misión y recordatorio de las obligaciones legales del representante (punto de contacto para la CNIL, punto de contacto para las personas interesadas que deseen ejercer sus derechos, mantenimiento del registro de actividades según la información proporcionada por el cliente ), remuneración por el servicio de representación del RGPD (ver la respuesta dada a la pregunta «¿precio de un servicio de representación del RGPD en la Unión Europea?»), recordatorio sobre la distribución de las responsabilidades de las partes en caso de disputa, mención de las condiciones generales de servicio del Representante.

El representante RGPD no puede ser DPO de la misma entidad, la incompatibilidad se justifica por la existencia de conflicto de interés entre ambas funciones. Por otro lado, es muy posible que un profesional de cumplimiento ofrezca servicios de DPO y Representante RGPD para entidades separadas cuando se descarta cualquier riesgo de conflicto de intereses.

El costo del servicio de representación RGPD para una empresa extranjera puede tener en cuenta varios métodos de cálculo: costos de puesta en marcha, como tarifas de apertura de archivos, tarifas recurrentes mensuales o anuales para la designación con la CNIL, luego, dependiendo de los servicios realizados (mantenimiento del registro, respuesta a los interesados, etc.) retribución (a tanto alzado o según tarifa horaria). Por otro lado, la exposición al riesgo de la empresa a menudo se tiene en cuenta en el cálculo de la remuneración del representante. Los criterios utilizados para evaluar este riesgo son generalmente el tamaño de la empresa (según el número de empleados, el número de filiales, los países cubiertos), el tipo de datos tratados (presencia de categorías de datos especialmente sensibles) según el sector de actividad (por ejemplo, en el sector de la salud), el número de interesados ​​que puedan ejercer sus derechos.

En primer lugar, debe asegurarse, en cuanto a la elección de su DPO, de que su representante RGPD sea un experto en el cumplimiento de RGPD. Su misión implica un conocimiento profundo de la normativa, le representa ante la autoridad de control y gestiona las solicitudes de las personas afectadas por su tratamiento. Por lo tanto, la misión del representante no es simplemente administrativa, en caso de inspección de la CNIL o incluso de litigio, las respuestas proporcionadas por este último a menudo resultan decisivas para el progreso y el resultado de los procedimientos iniciados contra su empresa. Recuerde también que si su representante no puede ser su DPO al mismo tiempo, aún puede brindarle valiosos consejos. Por supuesto, la disponibilidad del representante RGPD es un criterio importante, ya que con cualquier mandato, la comunicación debe ser simple y rápida. En la misma línea, es necesario asegurar los procedimientos de intercambio de información, por ejemplo, verificando que las hojas de procesamiento de datos puedan actualizarse fácilmente, que se domine técnicamente la gestión de notificaciones y solicitudes de los interesados. El representante RGPD debe poder aportar su certificado de seguro que cubra su actividad como “representante RGPD artículo 27 del RGPD” (no solo DPO). Esta lista de criterios de selección para su representante RGPD no es exhaustiva.