Jedenaście pytań, które nam zadają przed wyborem przedstawiciela UE

 Większość pytań, które do nas trafiają, nie dotyczy przepisu. Dotyczy tego, co dzieje się potem: kto odpowiada, w jakim czasie, ile to kosztuje, gdy naprawdę coś się wydarzy. Oto jedenaście najczęstszych, z odpowiedziami tak jasnymi, jak potrafię — łącznie z dwiema, w których szczera odpowiedź kosztuje nas sprzedaż.

1. Czy to naprawdę nas dotyczy?

Artykuł 3 ust. 2 RODO obejmuje spółkę mającą siedzibę poza Unią, gdy oferuje towary lub usługi osobom przebywającym w UE albo monitoruje ich zachowanie. Nie ma progu obrotu ani minimalnej liczby klientów. Oferowanie czegoś za darmo liczy się tak samo, ponieważ obowiązek uruchamia przetwarzanie danych osobowych, a nie płatność. Sprzedaż innym firmom niczego nie zmienia, bo po drugiej stronie są osoby fizyczne.

Wyłączenie z artykułu 27 ust. 2 lit. a istnieje, ale jest wąskie: przetwarzanie okazjonalne, o niskim ryzyku, bez szczególnych kategorii danych. Do działalności handlowej rzadko pasuje.

2. Czy nie zajmuje się tym nasz inspektor ochrony danych?

Nie, i to najdroższe nieporozumienie w tej branży. Inspektor ochrony danych działa na podstawie artykułów 37–39, doradza wewnątrz organizacji i może przebywać w dowolnym miejscu na świecie. Przedstawiciel działa na podstawie artykułu 27, przyjmuje zamiast doradzać i musi mieć siedzibę w Unii. Zgodnie z wytycznymi EROD jeden podmiot nie może pełnić obu ról dla tej samej firmy, ponieważ mogą one wejść w konflikt.

3. Czy może to zrobić nasz dystrybutor w UE albo nasza kancelaria?

Tylko jeśli ten podmiot ma siedzibę w Unii i formalnie przyjmie rolę na piśmie. Dystrybutor, który nigdy nie podpisał wyznaczenia, nie jest Państwa przedstawicielem, a kancelaria broniąca Państwa również nim nie jest. Artykuł 27 wymaga podmiotu wskazanego z nazwy, opublikowanego w polityce prywatności, do którego mogą zwracać się organy i osoby, których dane dotyczą.

4. Co konkretnie otrzymujemy?

Cztery rzeczy. Podpisane pismo o wyznaczeniu na podstawie artykułu 27 ust. 1, z podpisem elektronicznym zgodnym z rozporządzeniem (UE) nr 910/2014 — nie zeskanowany obrazek. Certyfikat z kodem QR i kodem weryfikacyjnym, który odpytuje publiczny rejestr w czasie rzeczywistym. Dokładny tekst do artykułów 13 i 14 dla Państwa polityki prywatności, wygenerowany w każdym języku publikowanym przez Państwa stronę. Oraz dedykowany adres, ze skrzynką i formularzem, na który przychodzą żądania.

5. Co się dzieje w dniu, w którym pisze organ nadzorczy?

Godzina zero: wiadomość trafia na dedykowany adres, otrzymuje datę wpływu i numer referencyjny, i zostaje zapisana w rejestrze. W ciągu dwóch dni roboczych dociera do wskazanej przez Państwa osoby kontaktowej, z oryginałem w załączniku i wyraźnie podanym terminem. Dzień trzydziesty: upływa termin na żądanie osoby, której dane dotyczą, a punkt kontaktowy pokazuje to obu stronom, żeby nikt nie dowiedział się za późno.

Czego nigdy nie robimy: nie odpowiadamy merytorycznie, nie negocjujemy i nie występujemy w Państwa imieniu. Artykuł 27 czyni z nas punkt kontaktowy, nie obrońcę, i umowa mówi to wprost.

6. Dlaczego certyfikat ma kod, a nie jest po prostu plikiem PDF?

Ponieważ PDF dowodzi tego, co było prawdą w dniu podpisania. O dzisiaj nie mówi nic, a każdy może go zmienić edytorem tekstu.

Nasza plakietka to jedna linia HTML, która czyta rejestr wyznaczeń w czasie rzeczywistym: zielona, dopóki wyznaczenie jest aktywne, czerwona w dniu jego wygaśnięcia. Nikt nie może pokazać statusu, którego już nie ma — my również. I właśnie to ograniczenie stanowi wartość: pieczęć, która nie może przestać kłamać, nie jest nic warta.

7. Ile to naprawdę kosztuje?

290 euro rocznie za Unię, z maksymalnie dziesięcioma przekazanymi żądaniami. 490 euro z żądaniami bez limitu, przechowywaniem Państwa rejestru z artykułu 30 na potrzeby organów oraz punktem kontaktowym w ośmiu językach, z trzydziestodniowym terminem widocznym dla obu stron. 890 euro dodaje osobę odpowiedzialną na podstawie artykułu 16 GPSR, upoważnionego przedstawiciela na podstawie rozporządzenia (UE) 2019/1020 oraz skrzynkę pocztową wyłącznie dla Państwa. Od drugiego roku odnowienia spadają do 240, 390 i 690 euro.

Ceny są bez VAT, rozliczenie roczne z góry, a rezygnacja przed odnowieniem jest bezpłatna. Działalność regulowana i podwyższonego ryzyka — dane zdrowotne, biometria, kredyt, randki, małoletni, handel danymi — wyceniana jest osobno.

Liczba, która znaczy więcej niż wszystkie pozostałe: w żadnym planie nie pobieramy opłaty za pojedyncze żądanie. Na tym rynku pięćdziesiąt do dwustu euro za kontakt to norma, a odkrywa się to w jedenastym miesiącu, kiedy nie ma już pola do negocjacji.

8. Czy obejmuje to również Wielką Brytanię?

Nie. Od Brexitu UK GDPR jest odrębnym reżimem z własnym organem nadzorczym. Przedstawiciel z siedzibą w państwie członkowskim nie ma legitymacji przed ICO, więc kto obsługuje oba rynki, potrzebuje dwóch wyznaczeń. Wydajemy oba w jednym zamówieniu, od 390 euro rocznie, z dwoma certyfikatami, dwoma kodami i dwiema liniami tekstu do polityki prywatności — bo jedna linia wskazująca jeden podmiot byłaby błędna wobec drugiego organu.

9. Czy wyznaczenie Państwa czyni nas odpowiedzialnymi w Europie za wszystko?

Nie. Nie tworzy jednostki organizacyjnej, nie przenosi rezydencji podatkowej i nie rozszerza RODO na przetwarzanie, które już było poza jego zakresem. Daje organom i osobom, których dane dotyczą, osiągalny adres.

Artykuł 27 ust. 5 mówi wprost: postępowania nadal mogą być prowadzone bezpośrednio przeciwko Państwu. Każdy dostawca sugerujący, że wyznaczenie jest tarczą, sprzedaje coś, czego rozporządzenie nie zawiera.

10. Jesteśmy jedną osobą, nie spółką. Czy i tak można?

Tak, i to nowość, bo założenie tego rynku już się nie broni. Znaczna część towarów docierających do europejskich kupujących pochodzi od osób fizycznych i jednoosobowych działalności sprzedających na marketplace'ach bez własnej strony.

Formularz przyjmuje osoby fizyczne: numer podatkowy lub identyfikacyjny zamiast numeru rejestrowego, własne imię i nazwisko zamiast nazwy firmy, kanał sprzedaży zamiast strony. Pole spółki nie jest nawet wyświetlane.

11. Skąd mamy wiedzieć, że jesteście prawdziwi?

Sprawdźcie nas tak, jak radzimy klientom sprawdzać każdego. Europe Services SE to IČO 03571785 w czeskim rejestrze handlowym; REP27 LTD to 17385889 w Companies House. Oba publiczne. Nasz rejestr klientów też jest publiczny, więc możecie zobaczyć, jakie firmy naprawdę reprezentujemy, zamiast wierzyć nam na słowo. A przykładowy certyfikat na stronie ma działający kod, który odpowiada na tej samej publicznej stronie co Wasz.

Dwie odpowiedzi, które kosztują nas pieniądze

Niektóre firmy nas nie potrzebują i mówimy im to, zanim zapłacą. Kto ma już siedzibę w państwie członkowskim, tego artykuł 27 w ogóle nie dotyczy. Kto sprzedaje kosmetyki, potrzebuje osoby odpowiedzialnej z rozporządzenia 1223/2009, z dokumentacją produktu i zgłoszeniem CPNP: inna rola, inny dostawca. Kto opakowaniami wchodzi w zakres PPWR, potrzebuje upoważnionego przedstawiciela w każdym państwie członkowskim, do którego trafiają opakowania, a nie jednego na Europę.

Tych dwóch nie obsługujemy, a powiedzieć to jest znacznie łatwiej, gdy nikt jeszcze nie zapłacił. Dlatego też pierwsze siedem dni jest bezpłatnych i bez karty: reprezentacja działa od pierwszej godziny, płatność zaczyna się dopiero ósmego dnia, a my nie przechowujemy niczego, czym można by Państwa obciążyć po rezygnacji.

Pytanie do Państwa

To, nad czym wciąż się zastanawiam, wykracza poza ten obowiązek. Niemal cały materiał dowodowy zgodności jest deklarowany przez samego dostawcę, co zamienia weryfikację dostawców w ćwiczenie z czytania: jak starannie ktoś się udokumentował. Artykuł 27 to jedno z niewielu miejsc, gdzie osoba trzecia może zweryfikować twierdzenie bez pytania.

Zatem: jaka część Państwa własnej weryfikacji dostawców dałaby się sprawdzić bez pytania dostawcy? Napiszcie w komentarzach — moja szczera odpowiedź jest niższa, niż bym chciał.