GDPR代理人が本当に必要なのは誰か——そして、なぜ名を明かす企業があるのか
GDPRには、それを一度も読んだことのない何千もの企業に静かに適用される一文があります。いわく、あなたが欧州連合の外にいて、その内側の人々に到達するなら、連合内に設立された誰かがあなたに代わって連絡可能でなければならない——当局と個人のための、名前の記された連絡窓口です。これを第27条の代理人と呼びます。英国はブレグジット後、UK GDPRのもとで自らの鏡版を加えました。そして、代理人を必要とする企業のほとんどは、自分が必要だと気づいていません。 これは売り込みの文章ではありません。人々がこの義務に初めて出くわしたときに実際に尋ねる問いへ、はっきり答えようとする試みです——そして、ほとんど誰もが驚く一点を説明するためのものです。なぜ一部の企業は、代理されている事実を隠すどころか、そのことで公に名を挙げられることを選ぶのか。 「そもそも私に当てはまる？」 この義務は規模も売上も見ません。ただ一つ、到達範囲を追います。EU外に設立された管理者または処理者として、連合内の人々に商品やサービスを提供し、あるいはその行動を監視するなら、第3条第2項があなたを適用範囲に入れます。売上のしきい値はありません。実際には、自らを「EU向け」とはまったく思っていない多くの企業が該当します——欧州からの登録者がいる米国のソフトウェア、フランスやドイツに利用者がいるアプリ、自社の顧客のために欧州データを扱う処理者。そしてもはや企業だけではありません。自分のウェブサイトを持たずにAmazonやEtsyの店を営む個人事業主やマーケットプレイス専業の売り手も、EUの顧客に到達した瞬間、同じ論理に入ります。 「DPOと同じでは？」 いいえ、そしてこれが最もよくある混同です。代理人は、第27条に基づく、連合内のあなたの外部連絡窓口です。データ保護責任者は、第37条から第39条に基づく内部の助言的役割です。別々の職務であり、一つの主体が同じ企業のために両方を適切に兼ねることはできません。 「EUかUKか——どちらが要る？」 あなたの「人」がどこにいるか次第です。EUの個人に到達するならEU代理人が要ります。英国の個人に到達するならUK代理人が要ります。両方に到達するなら——多くの事業がそうです——両方が要ります。一つではなく、二つの別個の法的義務だからです。正直な答えは、非常に多くの企業がこ...
.png)