En softwarevirksomhed uden kontor, datterselskab eller ansatte i Unionen står ikke uden for forordningen. Artikel 3, stk. 2, anvender den på behandling af personoplysninger om registrerede, der befinder sig i Unionen, foretaget af en dataansvarlig eller databehandler, der ikke er etableret i Unionen, når behandlingen vedrører udbud af varer eller tjenester til dem, uanset om de betaler, eller overvågning af deres adfærd, for så vidt den finder sted i Unionen. Et SaaS-produkt solgt til europæiske virksomheder, en gratis udgave brugt af europæiske privatpersoner, et analysescript, der følger europæiske besøgende: hvert af dem er et af de to. Og hvor artikel 3, stk. 2, gælder, følger artikel 27, stk. 1, i én sætning: den dataansvarlige eller databehandleren udpeger skriftligt en repræsentant i Unionen. Denne artikel læser artikel 27 bestemmelse for bestemmelse mod det katalog, StandardOS fører over forordningen, for den virksomhed, der skal udpege en, og for den europæiske kunde, der vil spørge, hvem det er.

Hvem pligten rammer: de to led i artikel 3, stk. 2

Det første led er udbud af varer eller tjenester til registrerede i Unionen, uanset om der kræves betaling, så et gratis produkt tæller. Betragtning 23 læser udbuddet ud fra hensigten: det sprog eller den valuta, der bruges, omtalen af kunder i Unionen, levering dertil; den blotte adgang til et websted er ikke nok. Det andet led er overvågning af adfærd i Unionen, som betragtning 24 læser som sporing af personer på internettet, profilering inklusive. Et produkt med en europæisk prisside, europæiske kunder i sine kundehistorier og et script til sessionsoptagelse på sit marketingsite er i begge. Repræsentantpligten rammer så virksomheden i den rolle, den har: dataansvarlig for sine egne kunde- og besøgsoplysninger og databehandler for de oplysninger, kunderne lægger i produktet, for artikel 27, stk. 1, nævner begge. Den virksomhed, der kun er omfattet af forordningen, fordi den behandler for en europæisk dataansvarlig, uden eget udbud eller egen overvågning, står et smallere sted, som Rådets retningslinjer om det territoriale anvendelsesområde drøfter, og den sikre læsning for en produktvirksomhed er, at dens eget udbud allerede sætter den i det første led.

Undtagelsen: tre betingelser, alle på én gang

Artikel 27, stk. 2, litra a), ophæver pligten, hvor behandlingen er lejlighedsvis, ikke omfatter behandling i stort omfang af særlige kategorier af oplysninger efter artikel 9, stk. 1, eller af oplysninger om straffedomme efter artikel 10, og sandsynligvis ikke indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder under hensyntagen til dens karakter, sammenhæng, omfang og formål. De tre er forbundet med "og": alle skal være opfyldt. Et produkt, som kunder bruger, er ikke lejlighedsvis behandling; det er virksomhedens forretning, hver dag, og den første betingelse fejler, før de to andre nås. Det er den samme læsning, som tærsklen for fortegnelsen over behandlingsaktiviteter bruger i artikel 30, stk. 5, hvor "lejlighedsvis" er det ord, der gør, at undtagelsen for 250 personer aldrig gælder for en softwarevirksomhed, og den gratis bestemmelse stiller her de samme to spørgsmål, om behandlingen er lejlighedsvis, og om den omfatter særlige kategorier i stort omfang, og besvarer repræsentanten ud fra dem. Artikel 27, stk. 2, litra b), fritager en offentlig myndighed eller et offentligt organ; en virksomhed er ikke et sådant.

Hvor og hvordan: fra artikel 27, stk. 3, til artikel 27, stk. 5

Repræsentanten skal være etableret i en af de medlemsstater, hvor de registrerede befinder sig, hvis oplysninger behandles i forbindelse med udbuddet eller overvågningen (artikel 27, stk. 3); med kunder i seks stater duer enhver af de seks, og den valgte stat skaber ingen ledende tilsynsmyndighed, for one-stop-shop-mekanismen i artikel 56 kræver en hovedvirksomhed, og en repræsentant er ikke en sådan. Repræsentanten skal være bemyndiget af den dataansvarlige eller databehandleren til, ud over eller i stedet for virksomheden, at blive kontaktet af tilsynsmyndigheder og registrerede om alle spørgsmål vedrørende behandlingen (27, stk. 4); betragtning 80 kalder det en skriftlig bemyndigelse og lader repræsentanten samarbejde med myndighederne om ethvert skridt til at sikre overholdelse, og artikel 58, stk. 1, litra a), giver hver tilsynsmyndighed beføjelse til at påbyde repræsentanten at give enhver oplysning, den har brug for. Udpegelsen berører ikke retlige skridt mod den dataansvarlige eller databehandleren selv (27, stk. 5): repræsentanten er en adresse, ikke et skjold, og betragtning 80 siger, at udpegelsen ikke berører virksomhedens eget ansvar. Rådets retningslinjer om det territoriale anvendelsesområde tilføjer én praktisk linje: rollen som repræsentant er ikke forenelig med rollen som ekstern databeskyttelsesrådgiver, så det samme firma kan ikke være begge dele.

Hvor navnet skal stå

Når repræsentanten er udpeget, optræder den tre steder, som forordningen nævner. Privatlivspolitikken: artikel 13, stk. 1, litra a), og artikel 14, stk. 1, litra a), lader den dataansvarlige oplyse identitet og kontaktoplysninger for den dataansvarlige og, hvor det er relevant, dennes repræsentant, så navnet kommer i politikken på indsamlingstidspunktet. Fortegnelsen over behandlingsaktiviteter: artikel 30, stk. 1, litra a), sætter repræsentantens navn og kontaktoplysninger i den dataansvarliges fortegnelse, artikel 30, stk. 2, litra a), i databehandlerens, og begge stykker åbner på samme måde, hver dataansvarlig eller databehandler "og, hvor det er relevant, den dataansvarliges repræsentant" eller databehandlerens fører en fortegnelse, så repræsentanten selv holder en kopi af fortegnelsen og fremlægger den for en myndighed på anmodning efter artikel 30, stk. 4. Databehandlervilkårene: en europæisk kundes tillæg vil spørge om repræsentanten ved siden af vilkårene efter artikel 28, stk. 3, fordi kundens egen fortegnelse skal bære den. Overtrædelser af artikel 27 hører under artikel 83, stk. 4, litra a), niveauet på 10 000 000 EUR eller 2 % af den samlede globale årlige omsætning, alt efter hvad der er højest.

Hvad man skal gøre med det

Besvar bestemmelsen: ingen etablering i Unionen, udbud eller overvågning, ikke lejlighedsvis, og repræsentanten er påkrævet med artikel 27, stk. 1, og artikel 3, stk. 2, som grundlag. Udpeg skriftligt en i en stat, hvor jeres brugere er, med bemyndigelsen efter artikel 27, stk. 4, skrevet ud; sæt dens navn og kontaktoplysninger i privatlivspolitikken og i fortegnelsen, og giv repræsentanten fortegnelsen. Læs derefter brudfrist-siden med repræsentanten for øje: en virksomhed uden etablering i Unionen har ingen ledende myndighed, og dens anmeldelse efter artikel 33 går til myndigheden i hver stat, hvis indbyggere er berørt, og det er den myndighed, repræsentanten kommer til at svare.