Кому на самом деле нужен представитель по GDPR — и почему некоторые компании хотят быть на виду

 В GDPR есть строка, которая тихо применяется к тысячам компаний, никогда её не читавших. Она гласит: если вы находитесь за пределами Европейского союза и обращаетесь к людям внутри него, кто-то учреждённый в Союзе должен быть доступен от вашего имени — названный контакт для органов и для физических лиц. Это называется представителем по Статье 27. Великобритания после Brexit добавила свою зеркальную версию в рамках UK GDPR. И большинство компаний, которым он нужен, не подозревают об этом.

Это не рекламный текст. Это попытка ясно ответить на вопросы, которые люди действительно задают, впервые столкнувшись с этой обязанностью, — и объяснить одну вещь, которая удивляет почти всех: почему некоторые компании, вместо того чтобы скрывать, что они представлены, предпочитают, чтобы их называли публично.

«А это вообще касается меня?»

Обязанность не смотрит на ваш размер или оборот. Она следует одному: охвату. Если вы контролёр или обработчик, учреждённый за пределами ЕС, и предлагаете товары или услуги людям в Союзе либо отслеживаете их поведение, Статья 3(2) вводит вас в сферу применения. Порога по выручке нет. На практике это затрагивает много компаний, которые вовсе не считают себя «ориентированными на ЕС», — американское ПО с европейскими регистрациями, приложение с пользователями во Франции или Германии, обработчик, ведущий европейские данные для собственных клиентов. И это уже не только компании: индивидуальные предприниматели и продавцы только на маркетплейсах, кто держит магазин на Amazon или Etsy без собственного сайта, подпадают под ту же логику, как только достигают клиентов из ЕС.

«Разве это не то же, что DPO?»

Нет, и это самая частая путаница. Представитель — это ваш внешний контакт внутри Союза по Статье 27. Специалист по защите данных — внутренняя консультативная роль по Статьям с 37 по 39. Это разные функции, и один субъект не может корректно быть обоими для одной компании.

«ЕС или Великобритания — что мне нужно?»

Зависит от того, где ваши люди. Если вы достигаете лиц в ЕС, нужен представитель для ЕС. Если достигаете лиц в Великобритании, нужен представитель для Великобритании. Если достигаете обоих — а многие компании достигают, — нужны оба, потому что это две отдельные правовые обязанности, а не одна. Честный ответ: очень многим компаниям нужна пара, и вторую половину они обнаруживают поздно.

Почему здесь «безопасность» значит «проверяемость»

Когда спрашивают, «безопасно» ли представительство, обычно имеют в виду нечто конкретное: могу ли я доверять, что это реально, актуально и доказуемо, — а не PDF, который кто-то однажды прислал и забыл? Вопрос важен, потому что Статья 27 больше не только про то, чтобы удовлетворить орган. Она про то, чтобы удовлетворить покупателя. Когда компания проводит проверку поставщика, «кто ваш представитель в ЕС и могу ли я это проверить?» — теперь обычная строка. Статичный документ, который может утверждать что угодно, такого разговора не выдерживает. Назначение, которое можно сверить с живым реестром, — выдерживает. Эта проверяемость — сертификат с кодом, который любой может отсканировать и убедиться, что он активен прямо сейчас, — и есть то, что здесь на самом деле значит «безопасность».

Удивительная часть: выбрать быть на виду

Быть представленным по Статье 27 — по сути публичный факт. Имя вашего представителя всё равно должно быть в вашей политике конфиденциальности. Некоторые компании идут дальше и соглашаются публично значиться и на стороне представителя. Зачем кому-то вызываться на это? Потому что здесь видимость и доверие указывают в одну сторону. Для представленной компании публичное появление — маленький, проверяемый сигнал собственным клиентам и партнёрам: да, мы сделали это как надо, и вот где вы можете это подтвердить. Это происходит только с согласия; никто не значится, не согласившись. Но когда компания соглашается, всё устройство становится прозрачнее — именно того и добивалась Статья 27 с самого начала.

Где здесь семидневная пробная версия

Вот практическая часть и причина, почему эта обязанность пугает меньше, чем кажется. Не нужно решать вслепую. Можно начать с бесплатной семидневной пробной версии, без карты, и реально увидеть, как выглядит быть представленным — подписанное назначение, сертификат, живой знак проверки, — прежде чем к чему-либо обязываться. Для обязанности, целиком построенной на прозрачности, возможность осмотреть её до покупки выглядит как суть, а не как бонус. Сайт даже устанавливается на телефон как приложение, так что ваш статус и ваша стойка запросов путешествуют с вами, а не лежат в ящике.

Честные границы

Две вещи стоит сказать прямо. Представитель — это контакт, а не щит: Статья 27(5) прямо говорит, что органы по-прежнему могут действовать против вас напрямую, и его назначение не создаёт учреждения в ЕС и не переносит вашу налоговую резиденцию. И это не юридическая консультация. Кто описывает это как иммунитет, описывает то, чего в регламенте нет.

Вывод тише рекламы. Статья 27 — широкая, обыденная обязанность, которая настигает обыденные компании, как только у них появляются европейские пользователи. Вся её логика — прозрачность: доступный, проверяемый контакт, который любой может подтвердить. Компании, которые так к ней и относятся, включая тех, кто предпочитает быть названным публично, покупают не защиту. Они делают нечто проверяемое.

Так что честный вопрос всем, кто имел дело с комплаенсом поставщика: когда он сказал, что «соответствует GDPR», вы правда проверили, есть ли у него представитель в ЕС, — или «мы соответствуем» в итоге хватило? Мне интересно, как часто кто-то действительно смотрит 👇