Once preguntas que nos hacen antes de contratar un representante UE

 La mayoría de las preguntas que recibimos no son sobre la norma. Son sobre lo que ocurre después: quién responde, en cuánto tiempo, cuánto cuesta cuando algo pasa de verdad. Estas son las once más frecuentes, respondidas con la mayor claridad posible, incluidas las dos en las que la respuesta honesta nos hace perder la venta.

1. ¿Nos afecta realmente?

El artículo 3(2) del RGPD alcanza a una empresa establecida fuera de la Unión cuando ofrece bienes o servicios a personas que están en la UE, o monitoriza su comportamiento. No hay umbral de facturación ni número mínimo de clientes. Ofrecer algo gratuito cuenta igualmente, porque lo que activa la obligación es el tratamiento de datos personales, no el pago. Vender a otras empresas no cambia nada, porque al otro lado hay personas físicas.

La exención del artículo 27(2)(a) existe, pero es estrecha: tratamiento ocasional, de bajo riesgo, sin categorías especiales. Rara vez encaja con una actividad comercial.

2. ¿No se encarga nuestro DPO?

No, y es el malentendido más caro del sector. El delegado de protección de datos trabaja bajo los artículos 37 a 39, asesora internamente y puede estar en cualquier lugar del mundo. El representante trabaja bajo el artículo 27, recibe en lugar de asesorar, y debe estar establecido en la Unión. Según las directrices del CEPD una misma entidad no puede desempeñar ambos papeles para la misma empresa, porque pueden entrar en conflicto.

3. ¿Puede hacerlo nuestro distribuidor europeo o nuestro despacho?

Solo si esa entidad está establecida en la Unión y acepta formalmente el papel por escrito. Un distribuidor que nunca ha firmado una designación no es su representante, y un despacho que le defiende tampoco lo es. Lo que exige el artículo 27 es una entidad nombrada, publicada en su política de privacidad, a la que autoridades e interesados puedan dirigirse.

4. ¿Qué recibimos exactamente?

Cuatro cosas. Una carta de designación firmada conforme al artículo 27(1), con firma electrónica válida según el Reglamento (UE) n.º 910/2014, no una imagen escaneada. Un certificado con QR y código de verificación que responde en directo contra un registro público. El texto exacto de los artículos 13 y 14 para su política de privacidad, generado en cada idioma que publica su web. Y una dirección dedicada, con buzón y formulario, donde llegan las solicitudes.

5. ¿Qué pasa el día en que escribe una autoridad?

Hora cero: el mensaje llega a la dirección dedicada, se sella, recibe un número de referencia y queda archivado en el registro. En dos días hábiles alcanza a su persona de contacto con el original adjunto y el plazo indicado con claridad. Día treinta: vence el plazo de la solicitud del interesado, y el buzón lo muestra a ambas partes para que nadie se entere tarde.

Lo que nunca hacemos es responder sobre el fondo, negociar o hablar en su nombre. El artículo 27 nos convierte en un punto de contacto, no en un abogado defensor, y el contrato lo dice expresamente.

6. ¿Por qué el certificado lleva un código en vez de ser un PDF?

Porque un PDF demuestra lo que era cierto el día de la firma. No dice nada sobre hoy, y cualquiera puede modificarlo con un editor de texto.

Nuestro distintivo es una línea de HTML que lee el registro de designaciones en tiempo real: verde mientras la designación está activa, rojo el día en que caduca. Nadie puede mostrar un estado que ya no tiene, nosotros incluidos. Esa restricción es justamente el valor: un sello que no puede dejar de mentir no vale nada.

7. ¿Cuánto cuesta de verdad?

290 euros al año para la Unión, con hasta diez solicitudes reenviadas. 490 euros con solicitudes ilimitadas, custodia de su registro del artículo 30 para las autoridades, y el buzón en ocho idiomas con el plazo de treinta días visible para ambas partes. 890 euros añaden la persona responsable conforme al artículo 16 GPSR, el representante autorizado conforme al Reglamento (UE) 2019/1020 y un buzón dedicado solo a usted. Desde el segundo año las renovaciones bajan a 240, 390 y 690 euros.

Los precios no incluyen IVA, la facturación es anual anticipada y la cancelación antes de la renovación es libre. Las actividades reguladas y de alto riesgo — datos de salud, biometría, crédito, dating, menores, data brokerage — se cotizan aparte.

El número que importa más que todos: no se cobra nada por solicitud individual, en ningún plan. En este mercado entre cincuenta y doscientos euros por contacto es lo habitual, y se descubre en el mes once, cuando ya no queda margen para discutir.

8. ¿Cubre también el Reino Unido?

No. Desde el Brexit el UK GDPR es un régimen separado con su propia autoridad. Un representante establecido en un Estado miembro no tiene legitimación ante la ICO, así que quien alcanza ambos mercados necesita dos designaciones. Las emitimos con un único pedido, desde 390 euros al año, con dos certificados, dos códigos y dos líneas de texto para la política de privacidad, porque una sola línea que nombre a una única entidad sería incorrecta ante la otra autoridad.

9. ¿Nombrarles nos hace responsables en Europa de todo?

No. No crea un establecimiento, no traslada su residencia fiscal y no extiende el RGPD a tratamientos que ya estaban fuera de su ámbito. Da a autoridades e interesados una dirección alcanzable.

Y el artículo 27(5) es explícito: las acciones pueden ejercerse igualmente de forma directa contra usted. Cualquier proveedor que insinúe que la designación es un escudo está vendiendo algo que el reglamento no contiene.

10. Somos una sola persona, no una sociedad. ¿Podemos igualmente?

Sí, y es una novedad reciente, porque el supuesto de este mercado ya no se sostiene. Una parte considerable de los bienes que llegan a compradores europeos procede de personas físicas y autónomos que venden en marketplaces sin web propia.

El alta acepta a particulares: número fiscal o identificativo nacional en lugar del número de registro, su propio nombre en lugar de la razón social, el canal de venta en lugar de la web. El campo de la sociedad ni siquiera se solicita.

11. ¿Cómo sabemos que son reales?

Compruébennos como decimos a los clientes que comprueben a cualquiera. Europe Services SE es IČO 03571785 en el registro mercantil checo; REP27 LTD es 17385889 en Companies House. Ambos públicos. El registro de clientes también es público, así que pueden ver qué empresas representamos de verdad en lugar de creernos. Y el certificado de ejemplo de la web lleva un código funcional que responde en la misma página pública que el suyo.

Las dos respuestas que nos cuestan dinero

Algunas empresas no nos necesitan, y se lo decimos antes de que paguen. Si ya están establecidos en un Estado miembro, el artículo 27 no les afecta en absoluto. Si venden cosméticos, la persona responsable que necesitan es la del Reglamento 1223/2009, con el expediente de información del producto y la notificación CPNP: un papel distinto, con un proveedor distinto. Si sus envases entran en el ámbito del PPWR, hace falta un representante autorizado en cada Estado miembro al que llegan, no uno para Europa.

Estas dos últimas no las cubrimos, y decirlo es mucho más fácil cuando nadie ha pagado todavía. Es también la razón por la que los primeros siete días son gratuitos y sin tarjeta: la representación está activa desde el primer momento, el pago empieza solo a partir del octavo día, y no guardamos nada con lo que cobrarle si decide marcharse.

Una pregunta para ustedes

Lo que sigo dándole vueltas es más amplio que esta obligación. Casi toda la evidencia de cumplimiento es autodeclarada, lo que convierte la diligencia sobre proveedores en un ejercicio de lectura de lo bien que alguien se ha documentado. El artículo 27 es uno de los pocos puntos donde un tercero puede verificar la afirmación sin preguntar.

Así que: ¿qué parte de su diligencia sobre proveedores podría comprobarse sin preguntar al proveedor? Cuéntenlo en los comentarios — mi respuesta honesta es más baja de lo que me gustaría.