550 - Regulación y funciones de los representantes de responsables o encargados del tratamiento no establecidos en la Unión Europea

Regulación de los representantes de responsables o encargados del tratamiento no establecidos en la Unión en el RGPD

Artículo 27 del RGPD

«1. Cuando sea de aplicación el artículo 3, apartado 2, el responsable o el encargado del tratamiento designará por escrito un representante en la Unión.

2. La obligación establecida en el apartado 1 del presente artículo no será aplicable:

a) al tratamiento que sea ocasional, que no incluyan el manejo a gran escala de categorías especiales de datos indicadas en el artículo 9, apartado 1, o de datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10, y que sea improbable que entrañe un riesgo para los derechos y libertades de las personas físicas, teniendo en cuenta la naturaleza, contexto, alcance y objetivos del tratamiento, o

b) a las autoridades u organismos públicos.

3. El representante estará establecido en uno de los Estados miembros en que estén los interesados cuyos datos personales se traten en el contexto de una oferta de bienes o servicios, o cuyo comportamiento esté siendo controlado.

4. El responsable o el encargado del tratamiento encomendará al representante que atienda, junto al responsable o al encargado, o en su lugar, a las consultas, en particular, de las autoridades de control y de los interesados, sobre todos los asuntos relativos al tratamiento, a fin de garantizar el cumplimiento de lo dispuesto en el presente Reglamento.

5. La designación de un representante por el responsable o el encargado del tratamiento se entenderá sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable o encargado».

Así, cuando deba aplicarse el apartado segundo del artículo 3 del RGPD, el responsable o el encargado del tratamiento de datos establecerá por escrito un representante en la Unión. No obstante, la anterior obligación no se aplicará a un:

• Tratamiento que sea ocasional, y que sea improbable que entrañe un riesgo para los derechos y libertades de las personas físicas, teniendo en cuenta la naturaleza, contexto, alcance y objetivos del tratamiento. Siempre que no incluya:

  • El manejo a gran escala de categorías especiales de datos indicadas en el artículo 9, apartado 1, del RGPD.
  • El tratamiento de datos personales relativos a condenas e infracciones penales a los que se refiere el artículo 10 del RGPD.
• Tratamiento realizado por autoridades u organismos públicos.

CUESTIONES

1. ¿Cómo tiene que actuar el representante del encargado del tratamiento?

El considerando 80 del RGPD dispone que «(...) El representante debe actuar por cuenta del responsable o el encargado y puede ser contactado por cualquier autoridad de control. El representante debe ser designado expresamente por mandato escrito del responsable o del encargado para que actúe en su nombre con respecto a las obligaciones que les incumben en virtud del presente Reglamento (...)».

2. ¿Qué regula el apartado segundo del artículo 3 del RGPD? 

El RGPD se aplica al tratamiento de datos personales de interesados que se encuentren en la Unión por parte de un responsable o encargado no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con:

«a) la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago, o

b) el control de su comportamiento, en la medida en que este tenga lugar en la Unión».

3. ¿Dónde debe estar establecido el representante de responsables o encargados?

Atendiendo a lo dispuesto en el artículo 27.3 del RGPD, el representante estará establecido en uno de los Estados miembros de la Unión Europea en donde estén los interesados: 

• Cuyos datos personales sean tratados en el contexto de una oferta de bienes o servicios.
• Cuyo comportamiento esté siendo controlado.

A TENER EN CUENTA. «El responsable o el encargado del tratamiento encomendará al representante que atienda, junto al responsable o al encargado, o en su lugar, a las consultas, en particular, de las autoridades de control y de los interesados, sobre todos los asuntos relativos al tratamiento, a fin de garantizar el cumplimiento de lo dispuesto en el presente Reglamento» (artículo 27.4 del RGPD). «La designación de un representante por el responsable o el encargado del tratamiento se entenderá sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable o encargado» (artículo 27.5 del RGPD).

Regulación de los representantes de responsables o encargados del tratamiento no establecidos en la Unión en la LOPDGDD

Artículo 30 de la LOPDGDD

«1. En los supuestos en que el Reglamento (UE) 2016/679 sea aplicable a un responsable o encargado del tratamiento no establecido en la Unión Europea en virtud de lo dispuesto en su artículo 3.2 y el tratamiento se refiera a afectados que se hallen en España, la Agencia Española de Protección de Datos o, en su caso, las autoridades autonómicas de protección de datos podrán imponer al representante, solidariamente con el responsable o encargado del tratamiento, las medidas establecidas en el Reglamento (UE) 2016/679.

Dicha exigencia se entenderá sin perjuicio de la responsabilidad que pudiera en su caso corresponder al responsable o al encargado del tratamiento y del ejercicio por el representante de la acción de repetición frente a quien proceda.

2. Asimismo, en caso de exigencia de responsabilidad en los términos previstos en el artículo 82 del Reglamento (UE) 2016/679, los responsables, encargados y representantes responderán solidariamente de los daños y perjuicios causados».

CUESTIÓN

¿Qué dispone el apartado segundo del artículo 3 del RGPD?

El RGPD se aplica al tratamiento de datos personales de interesados que se encuentren en la Unión Europea por parte de un responsable o encargado no establecido en la misma, cuando las actividades de tratamiento se traten de:

• Oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago.
• Control de su comportamiento, en la medida en que este tenga lugar en la Unión.