Een softwarebedrijf zonder kantoor, dochteronderneming of personeel in de Unie staat niet buiten de verordening. Artikel 3, lid 2, past haar toe op de verwerking van persoonsgegevens van betrokkenen die zich in de Unie bevinden door een niet in de Unie gevestigde verwerkingsverantwoordelijke of verwerker, wanneer de verwerking verband houdt met het aanbieden van goederen of diensten aan hen, of zij betalen of niet, of met het volgen van hun gedrag voor zover dat in de Unie plaatsvindt. Een SaaS-product dat aan Europese bedrijven wordt verkocht, een gratis versie die Europese particulieren gebruiken, een analysescript dat Europese bezoekers volgt: elk is een van de twee. En waar artikel 3, lid 2, geldt, volgt artikel 27, lid 1, in één zin: de verwerkingsverantwoordelijke of de verwerker wijst schriftelijk een vertegenwoordiger in de Unie aan. Dit artikel leest artikel 27 bepaling voor bepaling tegen de catalogus die StandardOS van de verordening bijhoudt, voor het bedrijf dat er een moet aanwijzen en voor de Europese klant die zal vragen wie het is.

Wie de plicht bereikt: de twee varianten van artikel 3, lid 2

De eerste variant is het aanbieden van goederen of diensten aan betrokkenen in de Unie, ongeacht of een betaling wordt verlangd, zodat een gratis product meetelt. Overweging 23 leest het aanbieden uit de bedoeling: de gebruikte taal of munt, de vermelding van klanten in de Unie, levering daar; de loutere toegankelijkheid van een website is niet genoeg. De tweede variant is het volgen van gedrag in de Unie, wat overweging 24 leest als het volgen van personen op het internet, profilering inbegrepen. Een product met een Europese prijspagina, Europese klanten in zijn klantverhalen en een sessie-opnamescript op zijn marketingsite valt onder beide. De vertegenwoordigersplicht treft het bedrijf dan in de rol die het vervult: verwerkingsverantwoordelijke voor zijn eigen klant- en bezoekersgegevens en verwerker van de gegevens die zijn klanten in het product zetten, want artikel 27, lid 1, noemt beide. Het bedrijf dat alleen onder de verordening valt omdat het voor een Europese verwerkingsverantwoordelijke verwerkt, zonder eigen aanbod of volgen, staat op een smallere plek die de richtsnoeren van het Comité over het territoriale toepassingsgebied bespreken, en de veilige lezing voor een productbedrijf is dat zijn eigen aanbod het al in de eerste variant plaatst.

De uitzondering: drie voorwaarden, allemaal tegelijk

Artikel 27, lid 2, punt a), heft de plicht op wanneer de verwerking incidenteel is, geen grootschalige verwerking omvat van bijzondere categorieën van gegevens als bedoeld in artikel 9, lid 1, of van gegevens over strafrechtelijke veroordelingen als bedoeld in artikel 10, en waarschijnlijk geen risico inhoudt voor de rechten en vrijheden van natuurlijke personen, rekening houdend met de aard, de context, de omvang en de doeleinden ervan. De drie zijn met "en" verbonden: alle moeten gelden. Een product dat klanten gebruiken is geen incidentele verwerking; het is de bedrijfsvoering, elke dag, en de eerste voorwaarde strandt voordat de andere twee worden bereikt. Dat is dezelfde lezing die de drempel voor het verwerkingsregister in artikel 30, lid 5, gebruikt, waar "incidenteel" het woord is dat de uitzondering van 250 personen nooit op een softwarebedrijf laat slaan, en de gratis bepaling stelt hier dezelfde twee vragen, of de verwerking incidenteel is en of zij grootschalig bijzondere categorieën omvat, en beantwoordt daaruit de vertegenwoordiger. Artikel 27, lid 2, punt b), stelt een overheidsinstantie of overheidsorgaan vrij; een bedrijf is dat niet.

Waar en hoe: artikel 27, lid 3, tot en met artikel 27, lid 5

De vertegenwoordiger is gevestigd in een van de lidstaten waar de betrokkenen zijn van wie de gegevens in verband met het aanbod of het volgen worden verwerkt (artikel 27, lid 3); met klanten in zes staten volstaat elk van de zes, en de gekozen staat schept geen leidende toezichthoudende autoriteit, want het éénloketmechanisme van artikel 56 vergt een hoofdvestiging en een vertegenwoordiger is er geen. De vertegenwoordiger wordt door de verwerkingsverantwoordelijke of verwerker gemachtigd om naast of in plaats van het bedrijf te worden aangesproken door toezichthoudende autoriteiten en betrokkenen over alle aangelegenheden in verband met de verwerking (27, lid 4); overweging 80 noemt dat een schriftelijke machtiging en laat de vertegenwoordiger met de autoriteiten samenwerken bij elke maatregel om naleving te waarborgen, en artikel 58, lid 1, punt a), geeft elke toezichthoudende autoriteit de bevoegdheid de vertegenwoordiger te gelasten alle informatie te verstrekken die zij nodig heeft. De aanwijzing laat rechtsvorderingen tegen de verwerkingsverantwoordelijke of verwerker zelf onverlet (27, lid 5): de vertegenwoordiger is een adres, geen schild, en overweging 80 zegt dat de aanwijzing de eigen verantwoordelijkheid of aansprakelijkheid van het bedrijf niet raakt. De richtsnoeren van het Comité over het territoriale toepassingsgebied voegen één praktische regel toe: de rol van vertegenwoordiger is niet verenigbaar met die van externe functionaris voor gegevensbescherming, dus hetzelfde kantoor kan niet beide zijn.

Waar de naam heen gaat

Eenmaal aangewezen verschijnt de vertegenwoordiger op drie plaatsen die de verordening noemt. De privacyverklaring: artikel 13, lid 1, punt a), en artikel 14, lid 1, punt a), laten de verwerkingsverantwoordelijke de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van zijn vertegenwoordiger verstrekken, zodat de naam bij de verzameling in de verklaring komt. Het verwerkingsregister: artikel 30, lid 1, punt a), zet de naam en contactgegevens van de vertegenwoordiger in het register van de verwerkingsverantwoordelijke, artikel 30, lid 2, punt a), in dat van de verwerker, en beide leden openen op dezelfde manier, elke verwerkingsverantwoordelijke of verwerker "en, in voorkomend geval, de vertegenwoordiger van de verwerkingsverantwoordelijke" of van de verwerker houdt een register bij, zodat de vertegenwoordiger zelf een kopie van het register bijhoudt en het op verzoek aan een autoriteit overlegt op grond van artikel 30, lid 4. De verwerkersvoorwaarden: het addendum van een Europese klant zal naast de voorwaarden van artikel 28, lid 3, om de vertegenwoordiger vragen, omdat zijn eigen register die moet dragen. Inbreuken op artikel 27 vallen onder artikel 83, lid 4, punt a), de categorie van 10 000 000 EUR of 2 % van de wereldwijde jaaromzet, indien dit hoger is.

Wat ermee te doen

Beantwoord de bepaling: geen vestiging in de Unie, aanbieden of volgen, niet incidenteel, en de vertegenwoordiger is vereist, met artikel 27, lid 1, en artikel 3, lid 2, als grond. Wijs er schriftelijk een aan in een staat waar uw gebruikers zijn, met de machtiging van artikel 27, lid 4, uitgeschreven; zet zijn naam en contactgegevens in de privacyverklaring en in het register, en geef de vertegenwoordiger het register. Lees dan de meldtermijnpagina met de vertegenwoordiger in gedachten: een bedrijf zonder vestiging in de Unie heeft geen leidende autoriteit, en zijn melding op grond van artikel 33 gaat naar de autoriteit van elke staat waarvan inwoners zijn getroffen, en dat is de autoriteit die de vertegenwoordiger te woord zal staan.