Выход на европейский рынок без офиса в Европе не освобождает компанию от обязанностей по GDPR. Если сервис собирает данные посетителей из ЕС, продает товары европейским покупателям, отслеживает их действия или предоставляет доступ к личному кабинету, регулятор может потребовать назначить представителя. Вопрос, когда нужен представитель в ес, следует проверять до запуска продукта, а не после жалобы пользователя или запроса надзорного органа.
Для дата-брокера, агрегатора цен, SaaS-платформы или команды веб-скрапинга это не формальность для Privacy Policy. Европейский представитель становится официальной точкой контакта между бизнесом, субъектами данных и национальными органами по защите данных. Его отсутствие повышает риск предписаний, блокировки обработки и штрафа за нарушение статьи 27 GDPR.
Что требует статья 27 GDPR
Статья 27 GDPR применяется к контролерам и обработчикам персональных данных, которые не имеют учреждения в Европейском союзе, но подпадают под действие Регламента по статье 3(2). В такой ситуации компания должна письменно назначить представителя на территории ЕС.
Под «учреждением» понимается не просто зарегистрированная компания или филиал. Европейские органы оценивают фактическую стабильность деятельности: есть ли постоянная команда, полномочия принимать решения по обработке данных, локальная инфраструктура и устойчивое коммерческое присутствие. Номинальный почтовый адрес или разовый договор с подрядчиком обычно не создают полноценного учреждения.
Если устойчивого присутствия нет, анализ переходит к территориальному действию GDPR. Регламент может применяться к бизнесу из США, СНГ, Азии или другой юрисдикции, когда он предлагает товары или услуги людям в ЕС либо отслеживает их поведение на территории Союза.
Когда компания подпадает под правила ЕС
Предложение услуг не сводится к приему платежей в евро. Важна совокупность признаков, показывающих, что продукт ориентирован на европейскую аудиторию. Это могут быть версии сайта на языках стран ЕС, доставка в конкретные государства, локальная валюта, реклама на соответствующую аудиторию, поддержка европейских клиентов и условия использования, рассчитанные на них.
Отслеживание поведения также понимается широко. Риск возникает, если сервис строит профили пользователей, анализирует действия на сайте, сопоставляет идентификаторы устройств, сегментирует аудиторию или передает поведенческие данные партнерам. Cookie, рекламные идентификаторы, IP-адреса и связанные с ними журналы событий могут быть персональными данными, если позволяют прямо или косвенно выделить человека.
Для бизнеса, который собирает открытые сведения с сайтов, решающим является не только источник информации. Публичность страницы не отменяет GDPR. Если в базе сохраняются имена, рабочие адреса, телефоны, профили, идентификаторы или иные сведения о физлицах из ЕС, необходимо определить роль компании, правовое основание обработки, сроки хранения и порядок реализации прав субъектов.
Типовые ситуации для data-бизнеса
Представитель в Союзе обычно требуется, когда компания без европейского офиса ведет обработку на постоянной основе. Например, агрегатор собирает данные о продавцах и контактных лицах из нескольких стран ЕС, формирует коммерческие профили и предоставляет базу клиентам. Даже если исходные данные размещены в открытом доступе, такая модель может затрагивать права субъектов данных и подпадать под GDPR.
Другой сценарий — SaaS-сервис из-за пределов ЕС, который дает европейским компаниям доступ к аналитике, CRM-функциям или инструментам автоматизации. Если сервис выступает обработчиком по поручению клиента, обязанность назначить представителя может возникнуть и у него. Договор обработки данных с заказчиком не заменяет представителя по статье 27.
Третий сценарий — e-commerce проект, который принимает заказы из ЕС и использует трекинг для персонализации предложений. Даже небольшой объем заказов не гарантирует освобождения, если обработка регулярна, а поведение пользователей системно анализируется.
Когда назначение представителя может не потребоваться
GDPR предусматривает узкое исключение. Представитель может не назначаться, если обработка носит случайный характер, не включает в большом масштабе специальные категории данных или данные о судимостях и правонарушениях, а также с малой вероятностью создает риск для прав и свобод физических лиц.
Все условия оцениваются одновременно. Поэтому исключение редко подходит цифровому продукту с постоянным трафиком, регулярным сбором лидов, аналитикой посетителей или коммерческой базой контактов. Еженедельная выгрузка данных, непрерывная работа API, ретаргетинг или систематическое пополнение датасета выглядят для регулятора как устойчивая, а не случайная обработка.
Не стоит подменять оценку желаемым выводом. Небольшая команда и отсутствие европейской выручки сами по себе не делают обработку эпизодической. Если компания технически может идентифицировать пользователей, хранит историю их действий или передает записи клиентам, нужен документированный анализ применимости GDPR и исключения из статьи 27(2).
Где должен находиться представитель
Представитель назначается в одном из государств ЕС, где находятся субъекты данных, чьи персональные данные обрабатываются в связи с предложением услуг или мониторингом поведения. Если продукт ориентирован на несколько стран, выбор юрисдикции должен быть обоснован рынком, языком обслуживания, географией пользователей и возможностью эффективно принимать обращения.
Назначение оформляется письменным мандатом. В нем фиксируются полномочия представителя взаимодействовать с надзорными органами и субъектами данных по вопросам обработки. Контакты должны быть доступны в Privacy Policy и иных обязательных уведомлениях, чтобы пользователь мог обратиться без поиска иностранской компании и переписки через несколько часовых поясов.
Представитель не становится владельцем базы данных и не принимает на себя весь комплаенс-риск бизнеса. Контролер или обработчик сохраняет ответственность за законность обработки, прозрачность, безопасность, сроки хранения, договоры с подрядчиками и ответы на запросы субъектов. Нельзя использовать европейского представителя как номинальную вывеску без доступа к необходимым сведениям и внутренней команде.
Представитель, DPO и локальная компания — разные роли
Эти понятия часто смешивают, что приводит к ошибкам в структуре комплаенса. Представитель по статье 27 — внешний контакт для GDPR при отсутствии учреждения в ЕС. DPO выполняет другую функцию: консультирует по соблюдению правил, контролирует внутренние процессы и действует независимо в пределах своего мандата. Один человек или организация теоретически могут совмещать функции только при отсутствии конфликта интересов и при достаточном объеме ресурсов, но это требует отдельной оценки.
Регистрация дочерней компании в ЕС также не автоматически решает все вопросы. Если европейская структура не участвует в определении целей и средств обработки, а реальные операции остаются у иностранской компании, необходимо проверить распределение ролей и документацию. Формальная корпоративная схема не должна расходиться с архитектурой продукта, потоками данных и договорными отношениями.
Для поставщика услуг по парсингу особенно важно описать, кто определяет цели сбора, кто управляет частотой запросов, кто получает результаты и кто принимает решение о дальнейшей продаже базы. Эти факты влияют на квалификацию компании как контролера, обработчика или самостоятельного участника обработки.
Риски отказа от назначения
Нарушение обязанности по статье 27 относится к нарушениям, за которые GDPR допускает административный штраф до 10 млн евро или 2% общего мирового годового оборота за предшествующий финансовый год — применяется большая сумма. Это не единственный риск. Если отсутствие представителя сопровождается непрозрачной обработкой, незаконным сбором данных или игнорированием запросов субъектов, регулятор может оценивать сразу несколько нарушений.
Для web-scraping бизнеса последствия часто начинаются не со штрафа. Жалоба может привести к запросу о целях сбора, источниках данных, правовом основании, механизмах удаления записей и договорах с покупателями базы. Если у команды нет карты потоков данных, журнала решений и понятной процедуры ответа, юридическая проблема быстро становится коммерческой: клиенты приостанавливают интеграции, партнеры требуют дополнительные гарантии, а инвесторы задают вопросы к управлению риском.
Отдельно учитывайте, что представитель в ЕС не заменяет представителя в Великобритании. После Brexit действует отдельный режим UK GDPR. При работе с лицами в Великобритании может понадобиться отдельный представитель в Соединенном Королевстве, даже если европейский мандат уже оформлен.
Как проверить обязанность до запуска
Практическая проверка начинается с карты обработки. Нужно установить, какие данные собираются, из каких источников, какие страны затрагиваются, можно ли идентифицировать человека, кто определяет цели использования и кому передаются результаты. Для агрегаторов и дата-брокеров критично разделить техническое извлечение сведений, хранение исходных записей, обогащение профилей и продажу доступа к набору данных.
Далее оценивается применимость статьи 3(2) GDPR и возможность исключения по статье 27(2). Результат лучше зафиксировать в юридическом меморандуме и связать с внутренними документами: Privacy Policy, реестром обработок, процедурами обработки запросов и договорами с клиентами или подрядчиками. Если компания действует как обработчик, договорная цепочка должна четко отражать инструкции контролера и распределение обязанностей.
Не откладывайте этот анализ до момента, когда продажи в Европе станут заметными. На практике представителя, уведомления и договорную модель проще встроить до масштабирования, чем перестраивать после жалобы, блокировки аккаунта или требования контрагента провести аудит.
Юристы Data Lawyer Agency помогают проверить применимость GDPR к модели сбора и монетизации данных, подготовить мандат представителя, Privacy Policy, договоры обработки и регламенты ответа на запросы. Это позволяет вывести продукт на европейский рынок с контролируемым риском, а не с надеждой, что регулятор не обратит внимания.