Bir AB temsilcisi seçmeden önce bize sorulan on bir soru

 Bize ulaşan soruların çoğu mevzuat metniyle ilgili değil. Sonrasıyla ilgili: kim cevap veriyor, ne kadar sürede, gerçekten bir şey olduğunda ne kadara mal oluyor. İşte en sık gelen on bir soru, elimden geldiğince net cevaplarla — dürüst cevabın bize satışı kaybettirdiği iki tanesi dahil.

1. Bu gerçekten bizi ilgilendiriyor mu?

GDPR'nin 3(2) maddesi, Birlik dışında yerleşik bir şirketi, AB'de bulunan kişilere mal veya hizmet sunduğu ya da davranışlarını izlediği anda kapsar. Ciro eşiği yoktur, asgari müşteri sayısı yoktur. Bir şeyi ücretsiz sunmak da sayılır, çünkü yükümlülüğü tetikleyen kişisel verilerin işlenmesidir, ödeme değil. Diğer şirketlere satış yapmak bir şeyi değiştirmez: karşı tarafta gerçek kişiler vardır.

27(2)(a) maddesindeki istisna vardır ama dardır: arızi işleme, düşük risk, özel nitelikli veri yok. Ticari bir faaliyete nadiren uyar.

2. Bunu veri koruma görevlimiz halletmiyor mu?

Hayır ve bu sektördeki en pahalı yanlış anlama. Veri koruma görevlisi 37 ila 39. maddeler kapsamında çalışır, içeride danışmanlık verir ve dünyanın herhangi bir yerinde bulunabilir. Temsilci 27. madde kapsamında çalışır, danışmanlık vermek yerine tebligat alır ve Birlik içinde yerleşik olmak zorundadır. EDPB kılavuzlarına göre aynı kuruluş aynı şirket için iki rolü birden üstlenemez, çünkü çatışabilirler.

3. AB'deki distribütörümüz veya hukuk büromuz yapabilir mi?

Yalnızca o kuruluş Birlik içinde yerleşikse ve rolü resmen yazılı olarak kabul ederse. Hiç atama imzalamamış bir distribütör sizin temsilciniz değildir, sizi savunan bir hukuk bürosu da değildir. 27. maddenin istediği, gizlilik politikanızda yayımlanan, otoritelerin ve ilgili kişilerin başvurabileceği, adı belirtilmiş bir kuruluştur.

4. Somut olarak ne alıyoruz?

Dört şey. 27(1) maddesi uyarınca imzalanmış bir atama mektubu, 910/2014 sayılı Tüzüğe (eIDAS) uygun elektronik imzayla — taranmış bir görsel değil. QR ve doğrulama kodu taşıyan, kamuya açık bir sicili gerçek zamanlı sorgulayan bir sertifika. Gizlilik politikanız için 13 ve 14. maddelere ilişkin tam metin, sitenizin yayımladığı her dilde üretilmiş olarak. Ve taleplerin geldiği, posta kutusu ve web formu bulunan özel bir adres.

5. Bir otorite yazdığı gün ne olur?

Sıfırıncı saat: mesaj özel adrese ulaşır, kayıt tarihi ve referans numarası alır, sicile işlenir. İki iş günü içinde, orijinali ekli ve süre açıkça belirtilmiş olarak belirlediğiniz kişiye ulaşır. Otuzuncu gün: ilgili kişinin talebine ilişkin süre dolar ve masa bunu iki tarafa da gösterir, kimse geç öğrenmesin diye.

Asla yapmadığımız şey: esasa ilişkin cevap vermek, pazarlık etmek veya sizin adınıza konuşmak. 27. madde bizi bir irtibat noktası yapar, savunma avukatı değil, ve sözleşme bunu açıkça yazar.

6. Sertifika neden sadece bir PDF değil de kod taşıyor?

Çünkü bir PDF, imzalandığı gün doğru olanı kanıtlar. Bugün hakkında hiçbir şey söylemez ve bir metin düzenleyicisiyle herkes değiştirebilir.

Rozetimiz, atama sicilini gerçek zamanlı okuyan tek satırlık bir HTML'dir: atama aktifken yeşil, sona erdiği gün kırmızı. Kimse artık sahip olmadığı bir durumu gösteremez — biz dahil. Değeri tam da bu kısıt yaratır: yalan söylemekten vazgeçemeyen bir mühür hiçbir işe yaramaz.

7. Gerçekte ne kadara mal oluyor?

Birlik için yılda 290 avro, en fazla on iletilen talep ile. 490 avro sınırsız talep, otoriteler için 30. madde kayıtlarınızın saklanması ve otuz günlük sürenin iki tarafa da görünür olduğu sekiz dilli masa ile. 890 avro, 16. madde GPSR kapsamındaki sorumlu kişiyi, 2019/1020 sayılı Tüzük kapsamındaki yetkili temsilciyi ve yalnızca size ait bir posta kutusunu ekler. İkinci yıldan itibaren yenilemeler 240, 390 ve 690 avroya iner.

Fiyatlara KDV dahil değildir, faturalama yıllık ve peşindir, yenilemeden önce iptal serbesttir. Düzenlemeye tabi ve yüksek riskli faaliyetler — sağlık verisi, biyometri, kredi, arkadaşlık, küçükler, veri aracılığı — ayrıca fiyatlandırılır.

Hepsinden çok önem taşıyan sayı: hiçbir pakette talep başına ücret alınmaz. Bu piyasada temas başına elli ila iki yüz avro olağandır ve bu on birinci ayda, tartışacak alan kalmadığında fark edilir.

8. Birleşik Krallık'ı da kapsıyor mu?

Hayır. Brexit'ten bu yana UK GDPR kendi otoritesi olan ayrı bir rejimdir. Bir üye devlette yerleşik temsilcinin ICO önünde sıfatı yoktur, dolayısıyla iki pazara da ulaşan iki atamaya ihtiyaç duyar. İkisini tek siparişte düzenliyoruz, yılda 390 avrodan başlayarak, iki sertifika, iki kod ve gizlilik politikası için iki satır metinle — çünkü tek bir kuruluşu anan tek bir satır, diğer otorite karşısında yanlış olurdu.

9. Sizi atamak bizi Avrupa'da her şeyden sorumlu yapar mı?

Hayır. Bir işyeri kurmaz, vergi mukimliğinizi taşımaz ve GDPR'yi zaten kapsam dışı olan işlemelere genişletmez. Otoritelere ve ilgili kişilere ulaşılabilir bir adres verir.

27(5) maddesi açıktır: davalar doğrudan size karşı da açılabilir. Atamanın bir kalkan olduğunu ima eden her sağlayıcı, tüzükte bulunmayan bir şey satıyordur.

10. Şirket değil tek kişiyiz. Yine de olur mu?

Evet, ve bu yeni bir durum, çünkü bu piyasanın varsayımı artık geçerli değil. Avrupalı alıcılara ulaşan malların önemli bir bölümü, kendi web sitesi olmadan pazaryerlerinde satış yapan gerçek kişilerden ve şahıs işletmelerinden geliyor.

Form gerçek kişileri kabul eder: sicil numarası yerine vergi veya ulusal kimlik numarası, ticaret unvanı yerine kendi adınız, web sitesi yerine bir satış kanalı. Şirket alanı hiç sorulmaz bile.

11. Gerçek olduğunuzu nereden bileceğiz?

Müşterilerimize herkesi kontrol etmelerini söylediğimiz gibi bizi de kontrol edin. Europe Services SE, Çek ticaret sicilinde IČO 03571785; REP27 LTD, Companies House'ta 17385889. İkisi de kamuya açık. Müşteri sicilimiz de açıktır, yani sözümüze inanmak yerine hangi şirketleri gerçekten temsil ettiğimizi görebilirsiniz. Sitedeki örnek sertifika da çalışan bir kod taşır ve sizinkiyle aynı kamuya açık sayfada cevap verir.

Bize para kaybettiren iki cevap

Bazı şirketlerin bize ihtiyacı yok ve bunu ödeme yapmadan önce söylüyoruz. Zaten bir üye devlette yerleşikseniz, 27. madde sizi hiç ilgilendirmiyor. Kozmetik satıyorsanız ihtiyacınız olan sorumlu kişi 1223/2009 sayılı Tüzüktekidir, Ürün Bilgi Dosyası ve CPNP bildirimiyle: farklı bir rol, farklı bir sağlayıcı. Ambalajlarınız PPWR kapsamına giriyorsa, ulaştığınız her üye devlette bir yetkili temsilci gerekir, Avrupa için bir tane değil.

Bu ikisini kapsamıyoruz ve bunu söylemek, henüz kimse ödeme yapmamışken çok daha kolay. İlk yedi günün ücretsiz ve kartsız olmasının nedeni de bu: temsil ilk saatten itibaren aktiftir, ödeme sekizinci günde başlar ve ayrılmaya karar verirseniz sizi borçlandıracak hiçbir şey saklanmaz.

Size bir soru

Üzerinde düşünmeye devam ettiğim şey bu yükümlülükten daha geniş. Uyum kanıtlarının neredeyse tamamı tedarikçinin kendi beyanıdır ve bu, tedarikçi incelemesini bir okuma alıştırmasına çevirir: biri kendini ne kadar özenli belgelemiş. 27. madde, üçüncü bir tarafın iddiayı sormadan doğrulayabildiği ender yerlerden biridir.

O halde: kendi tedarikçi incelemenizin ne kadarı, tedarikçiye sormadan doğrulanabilirdi? Yorumlarda yazın — benim dürüst cevabım istediğimden düşük.