Una empresa de software sin oficina, filial ni personal en la Unión no está fuera del Reglamento. El artículo 3, apartado 2, lo aplica al tratamiento de datos personales de interesados que residen en la Unión por un responsable o encargado no establecido en la Unión, cuando el tratamiento está relacionado con la oferta de bienes o servicios a dichos interesados, paguen o no, o con el control de su comportamiento en la medida en que tenga lugar en la Unión. Un producto SaaS vendido a empresas europeas, un plan gratuito usado por particulares europeos, un script de analítica que sigue a visitantes europeos: cada uno es uno de los dos. Y donde se aplica el artículo 3, apartado 2, el artículo 27, apartado 1, sigue en una frase: el responsable o el encargado designará por escrito un representante en la Unión. Este artículo lee el artículo 27 disposición por disposición contra el catálogo que StandardOS mantiene del Reglamento, para la empresa que tiene que designarlo y para el cliente europeo que preguntará quién es.

A quién alcanza la obligación: las dos vertientes del artículo 3, apartado 2

La primera vertiente es la oferta de bienes o servicios a interesados en la Unión, independientemente de si se requiere un pago, de modo que un producto gratuito cuenta. El considerando 23 lee la oferta a partir de la intención: la lengua o la moneda utilizada, la mención de clientes en la Unión, la entrega allí; la mera accesibilidad de un sitio web no basta. La segunda vertiente es el control del comportamiento en la Unión, que el considerando 24 lee como el seguimiento de personas en internet, elaboración de perfiles incluida. Un producto con una página de precios europea, clientes europeos en sus casos de éxito y un script de grabación de sesiones en su sitio de marketing está en ambas. La obligación del representante recae entonces sobre la empresa en el rol que ocupa: responsable de sus propios datos de clientes y visitantes, y encargada de los datos que sus clientes introducen en el producto, ya que el artículo 27, apartado 1, nombra a ambos. La empresa que está bajo el Reglamento solo porque trata para un responsable europeo, sin oferta ni control propios, está en un lugar más estrecho que las directrices del Comité sobre el ámbito territorial examinan, y la lectura segura para una empresa de producto es que su propia oferta ya la sitúa en la primera vertiente.

La exención: tres condiciones, todas a la vez

El artículo 27, apartado 2, letra a), levanta la obligación cuando el tratamiento es ocasional, no incluye el tratamiento a gran escala de categorías especiales de datos del artículo 9, apartado 1, ni de datos relativos a condenas penales del artículo 10, y es improbable que entrañe un riesgo para los derechos y libertades de las personas físicas, teniendo en cuenta su naturaleza, contexto, alcance y fines. Las tres van unidas por "y": deben cumplirse todas. Un producto en uso por clientes no es un tratamiento ocasional; es el negocio de la empresa, cada día, y la primera condición falla antes de llegar a las otras dos. Es la misma lectura que usa el umbral del registro de actividades de tratamiento en el artículo 30, apartado 5, donde "ocasional" es la palabra que impide que la exención de 250 personas se aplique nunca a una empresa de software, y la determinación gratuita hace aquí las mismas dos preguntas, si el tratamiento es ocasional y si incluye categorías especiales a gran escala, y responde el representante a partir de ellas. El artículo 27, apartado 2, letra b), exime a una autoridad u organismo público; una empresa no lo es.

Dónde y cómo: del artículo 27, apartado 3, al artículo 27, apartado 5

El representante estará establecido en uno de los Estados miembros en que estén los interesados cuyos datos se tratan en relación con la oferta o el control (artículo 27, apartado 3); con clientes en seis Estados, cualquiera de los seis sirve, y el Estado elegido no crea una autoridad de control principal, porque la ventanilla única del artículo 56 necesita un establecimiento principal y un representante no lo es. El representante estará mandatado por el responsable o el encargado para que se dirijan a él, además de o en lugar de la empresa, las autoridades de control y los interesados sobre todas las cuestiones relativas al tratamiento (27, apartado 4); el considerando 80 lo llama un mandato escrito y hace cooperar al representante con las autoridades en cualquier acción para garantizar el cumplimiento, y el artículo 58, apartado 1, letra a), da a cada autoridad de control el poder de ordenar al representante que facilite cualquier información que necesite. La designación se entiende sin perjuicio de las acciones legales contra el propio responsable o encargado (27, apartado 5): el representante es una dirección, no un escudo, y el considerando 80 dice que la designación no afecta a la responsabilidad propia de la empresa. Las directrices del Comité sobre el ámbito territorial añaden una línea práctica: la función de representante no es compatible con la de delegado de protección de datos externo, así que el mismo despacho no puede ser ambos.

Adónde va el nombre

Una vez designado, el representante aparece en tres lugares que el Reglamento nombra. La política de privacidad: el artículo 13, apartado 1, letra a), y el artículo 14, apartado 1, letra a), hacen que el responsable facilite la identidad y los datos de contacto del responsable y, en su caso, de su representante, de modo que el nombre entra en la política en el momento de la recogida. El registro de actividades de tratamiento: el artículo 30, apartado 1, letra a), pone el nombre y los datos de contacto del representante en el registro del responsable, el artículo 30, apartado 2, letra a), en el del encargado, y ambos apartados se abren del mismo modo, cada responsable o encargado "y, en su caso, el representante del responsable" o del encargado llevando un registro, de modo que el propio representante conserva una copia del registro y la pone a disposición de una autoridad que la solicite conforme al artículo 30, apartado 4. Las cláusulas de encargo: la adenda de un cliente europeo pedirá el representante junto a las cláusulas del artículo 28, apartado 3, porque su propio registro tiene que recogerlo. Las infracciones del artículo 27 caen bajo el artículo 83, apartado 4, letra a), el tramo de 10 000 000 EUR o el 2 % del volumen de negocio anual mundial, la cuantía que sea mayor.

Qué hacer con ello

Responda a la determinación: sin establecimiento en la Unión, oferta o control, no ocasional, y el representante es obligatorio, con el artículo 27, apartado 1, y el artículo 3, apartado 2, como base. Designe uno por escrito en un Estado donde estén sus usuarios, con el mandato del artículo 27, apartado 4, explicitado; ponga su nombre y datos de contacto en la política de privacidad y en el registro, y entregue el registro al representante. Lea después la página del plazo de violación con el representante en mente: una empresa sin establecimiento en la Unión no tiene autoridad principal, y su notificación del artículo 33 va a la autoridad de cada Estado cuyos residentes resulten afectados, que es la autoridad a la que el representante responderá.