Undici domande che ci fanno prima di comprare un rappresentante UE

 Quasi nessuna delle domande che riceviamo riguarda la norma. Riguardano cosa succede dopo: chi risponde, in quanto tempo, quanto costa quando qualcosa accade davvero. Queste sono le undici più frequenti, con risposte il più possibile nette — comprese le due in cui la risposta onesta ci fa perdere il cliente.

1. Ci riguarda davvero?

L'articolo 3(2) del GDPR si applica a una società stabilita fuori dall'Unione quando offre beni o servizi a persone che si trovano nell'UE, oppure ne monitora il comportamento. Non esiste una soglia di fatturato né un numero minimo di clienti. Offrire qualcosa gratuitamente conta comunque, perché ciò che fa scattare l'obbligo è il trattamento dei dati personali e non il pagamento. Vendere ad altre aziende non cambia nulla, perché dall'altra parte ci sono comunque persone fisiche.

L'esenzione dell'articolo 27(2)(a) esiste ma è stretta: trattamento occasionale, a basso rischio, senza categorie particolari di dati. Raramente si adatta a un'attività commerciale.

2. Non ci pensa il nostro DPO?

No, ed è l'equivoco più costoso del settore. Il responsabile della protezione dei dati opera sugli articoli da 37 a 39, consiglia internamente e può stare ovunque nel mondo. Il rappresentante opera sull'articolo 27, riceve invece di consigliare, e deve essere stabilito nell'Unione. Secondo le indicazioni dell'EDPB un soggetto non può ricoprire entrambi i ruoli per la stessa azienda, perché possono entrare in conflitto.

3. Può farlo il nostro distributore europeo o il nostro studio legale?

Solo se quel soggetto è stabilito nell'Unione e accetta formalmente il ruolo per iscritto. Un distributore che non ha firmato nessuna nomina non è il vostro rappresentante, e nemmeno lo è uno studio che vi assiste come difensore. Quello che l'articolo 27 chiede è un soggetto indicato per nome, pubblicato nella privacy policy, a cui autorità e interessati possano rivolgersi.

4. Cosa riceviamo concretamente?

Quattro cose. Una lettera di nomina firmata ai sensi dell'articolo 27(1), con firma elettronica conforme al Regolamento (UE) n. 910/2014, non un'immagine scansionata. Un certificato con QR e codice di verifica che risponde su un registro pubblico in tempo reale. Il testo esatto degli articoli 13 e 14 per la vostra privacy policy, generato in ogni lingua pubblicata dal vostro sito. E un indirizzo dedicato, con casella e modulo web, dove arrivano le richieste.

5. Cosa succede il giorno in cui scrive un'autorità?

Ora zero: il messaggio arriva all'indirizzo dedicato, viene protocollato, riceve un numero di riferimento e viene archiviato nel registro. Entro due giorni lavorativi raggiunge il vostro referente con l'originale allegato e il termine indicato in chiaro. Al trentesimo giorno scade il termine per la richiesta dell'interessato, e lo sportello lo mostra a entrambe le parti perché nessuno se ne accorga tardi.

Quello che non facciamo mai è rispondere nel merito, negoziare o parlare a vostro nome. L'articolo 27 ci rende un punto di contatto, non un difensore, e il contratto lo dice esplicitamente.

6. Perché il certificato ha un codice invece di essere un PDF?

Perché un PDF dimostra ciò che era vero il giorno della firma. Non dice nulla su oggi, e chiunque può modificarlo con un editor di testo.

Il nostro badge è una riga di HTML che legge il registro delle nomine in tempo reale: verde finché la nomina è attiva, rosso nel momento in cui scade. Nessuno può mostrare uno stato che non ha più, noi compresi. È proprio quel vincolo il punto: un sigillo che non può smettere di mentire non vale niente.

7. Quanto costa davvero?

290 euro l'anno per l'Unione, con fino a dieci richieste inoltrate. 490 euro con richieste illimitate, custodia del vostro registro dell'articolo 30 per le autorità, e lo sportello in otto lingue con il termine di trenta giorni visibile a entrambe le parti. 890 euro aggiungono la persona responsabile ai sensi dell'articolo 16 GPSR, il rappresentante autorizzato ai sensi del Regolamento (UE) 2019/1020 e una casella di posta dedicata solo a voi. Dal secondo anno i rinnovi scendono a 240, 390 e 690 euro.

I prezzi sono IVA esclusa, la fatturazione è annuale anticipata e la disdetta prima del rinnovo è libera. Le attività regolamentate e ad alto rischio — dati sanitari, biometria, credito, dating, minori, data brokerage — sono quotate a parte.

Il numero che conta più di tutti: non si paga nulla per singola richiesta, in nessun piano. In questo mercato da cinquanta a duecento euro a contatto è la norma, e la scoperta arriva all'undicesimo mese, quando non avete più margine per discutere.

8. Copre anche il Regno Unito?

No. Dalla Brexit l'UK GDPR è un regime separato con la propria autorità. Un rappresentante stabilito in uno Stato membro non ha legittimazione davanti all'ICO, quindi chi raggiunge entrambi i mercati ha bisogno di due nomine. Le emettiamo con un unico ordine, da 390 euro l'anno, con due certificati, due codici e due righe di testo per la privacy policy — perché una riga sola che nomina un solo soggetto sarebbe sbagliata davanti all'altra autorità.

9. Nominarvi ci rende responsabili in Europa di tutto?

No. Non crea uno stabilimento, non sposta la residenza fiscale e non estende il GDPR a trattamenti che ne erano già fuori. Dà ad autorità e interessati un indirizzo raggiungibile.

E l'articolo 27(5) è esplicito nel dire che le azioni possono comunque essere promosse direttamente contro di voi. Qualunque fornitore lasci intendere che la nomina sia uno scudo sta vendendo qualcosa che il regolamento non contiene.

10. Siamo una persona sola, non una società. Possiamo comunque?

Sì, ed è una novità recente, perché il presupposto di questo mercato non regge più. Una quota consistente dei beni che raggiungono i compratori europei arriva da persone fisiche e ditte individuali che vendono su marketplace senza un sito proprio.

L'onboarding accetta le persone fisiche: codice fiscale o numero identificativo nazionale al posto del numero di registro, il proprio nome al posto della ragione sociale, il canale di vendita al posto del sito. Il campo società non viene nemmeno richiesto.

11. Come facciamo a sapere che siete reali?

Controllateci come diciamo ai clienti di controllare chiunque. Europe Services SE è IČO 03571785 nel registro delle imprese ceco; REP27 LTD è 17385889 a Companies House. Entrambi pubblici. Anche il registro clienti è pubblico, quindi potete vedere quali aziende rappresentiamo davvero invece di crederci sulla parola. E il certificato di esempio sul sito ha un codice funzionante che risponde sulla stessa pagina pubblica del vostro.

Le due risposte che ci costano soldi

Alcune aziende non hanno bisogno di noi, e lo diciamo prima che paghino. Se siete già stabiliti in uno Stato membro, l'articolo 27 non vi riguarda affatto. Se vendete cosmetici, la persona responsabile che vi serve è quella del Regolamento 1223/2009, con il fascicolo informativo del prodotto e la notifica CPNP: un ruolo diverso, con un fornitore diverso. Se i vostri imballaggi rientrano nel PPWR, serve un rappresentante autorizzato in ogni Stato membro che raggiungete, non uno per l'Europa.

Le ultime due non le copriamo, e dirlo è molto più facile quando nessuno ha ancora pagato. È anche il motivo per cui i primi sette giorni sono gratuiti e senza carta: la rappresentanza è attiva da subito, il pagamento parte solo dall'ottavo giorno, e non conserviamo nulla con cui addebitarvi se decidete di andarvene.

Una domanda a voi

La cosa su cui continuo a ragionare è più ampia di questo obbligo. Quasi tutte le prove di conformità sono autodichiarate, il che rende la verifica dei fornitori un esercizio di lettura di quanto bene qualcuno si è documentato. L'articolo 27 è uno dei pochi punti in cui un terzo può verificare l'affermazione senza chiedere.

Quindi: quale parte della vostra verifica sui fornitori potrebbe essere controllata senza chiedere al fornitore? Scrivetelo nei commenti — la mia risposta onesta è più bassa di quanto vorrei.