O princípio: a obrigação de designar um representante
O artigo 27, parágrafo 1, do RGPD impõe ao responsável pelo tratamento ou ao subcontratado abrangido pelo artigo 3, parágrafo 2 — ou seja, que não esteja estabelecido na União, mas cujas atividades de tratamento tenham como alvo pessoas afetadas localizadas no território da União — a designar, por escrito, um representante estabelecido em um dos Estados-Membros onde se encontram as pessoas afetadas pelo tratamento.
Essa obrigação visa garantir às autoridades de fiscalização e aos titulares de dados um interlocutor identificável e acessível no território europeu, mesmo que a entidade responsável pelo tratamento esteja localizada fora da União e possa, por isso, escapar, na prática, a um controle direto.
As exceções previstas no texto
O artigo 27, parágrafo 2, do RGPD isenta dessa obrigação em dois casos:
- quando o tratamento for ocasional, não envolver o tratamento em grande escala de categorias específicas de dados (dados sensíveis nos termos do artigo 9º) nem de dados relativos a condenações penais e infrações (artigo 10º), e não for suscetível de gerar um risco para os direitos e liberdades das pessoas físicas, tendo em conta a natureza, o contexto, do alcance e das finalidades do tratamento;
- quando o responsável pelo tratamento ou o subcontratado for uma autoridade pública ou um órgão público.
Esses critérios devem ser avaliados de forma cumulativa e rigorosa: o caráter ocasional do tratamento, por si só, não é suficiente para isentar da obrigação se o tratamento envolver, mesmo que pontualmente, dados sensíveis em grande escala ou representar um risco para os titulares dos dados.
As atribuições do representante
O representante não é um mero intermediário postal. Nos termos do artigo 27, parágrafo 4, ele é designado pelo responsável pelo tratamento ou pelo subcontratado para ser a pessoa a quem as autoridades de controle e os titulares dos dados podem se dirigir, além ou em vez da entidade representada, para todas as questões relativas ao tratamento, com o objetivo de garantir o cumprimento do RGPD. Nessa qualidade, ele constitui um ponto de contato e de interface com a CNIL ou qualquer outra autoridade de controle competente, bem como com as pessoas que desejam exercer seus direitos.
É importante ressaltar que a designação de um representante não transfere a responsabilidade do controlador ou do processador: o artigo 27, parágrafo 5, especifica expressamente que essa designação não prejudica as ações judiciais que possam ser movidas contra a própria entidade representada.
Representante e delegado de proteção de dados: duas funções distintas
O representante, na acepção do artigo 27, não deve ser confundido com o delegado de proteção de dados (DPO) previsto nos artigos 37 a 39 do RGPD. O primeiro constitui um ponto de referência territorial que permite a aplicação efetiva do regulamento a uma entidade não estabelecida na União; o segundo exerce funções de assessoria, controle interno e cooperação com a autoridade de controle, independentemente da localização do responsável pelo tratamento. Uma mesma empresa não estabelecida na União pode, assim, ser obrigada a designar tanto um representante quanto, se os critérios do artigo 37 forem atendidos, um encarregado da proteção de dados — podendo essas duas funções, sob certas condições, ser exercidas por prestadores de serviços distintos.
As consequências da falta de designação
O descumprimento do artigo 27.º constitui uma violação do RGPD passível de acarretar uma multa administrativa que pode chegar, nos termos do artigo 83.º, parágrafo 4, do RGPD, a 10 milhões de euros ou, no caso de uma empresa, a 2% de seu faturamento anual global total do exercício anterior, sendo considerado o valor mais elevado. Além do risco financeiro, a ausência de um representante também priva a empresa de um ponto de contato estruturado para lidar com as solicitações das autoridades de fiscalização e dos titulares de dados, o que pode complicar a gestão de uma fiscalização ou de um litígio.
Como garantir a conformidade
A conformidade com o artigo 27º pressupõe, na prática:
- determinar se a empresa está efetivamente sujeita ao âmbito de aplicação territorial do RGPD nos termos do artigo 3º, parágrafo 2;
- verificar se alguma das exceções previstas no artigo 27, parágrafo 2, é aplicável;
- identificar o Estado-Membro de designação, com base na localização das pessoas afetadas pelo tratamento;
- formalizar por escrito o mandato conferido ao representante, especificando o âmbito de sua missão;
- publicar os dados de contato do representante, à semelhança dos do delegado de proteção de dados, para que fiquem acessíveis aos titulares dos dados e às autoridades de fiscalização.
Conclusão
O artigo 27 do RGPD constitui uma obrigação por si só, distinta da designação de um delegado de proteção de dados, e cujo descumprimento expõe a empresa a sanções significativas. As empresas não estabelecidas na União Europeia, mas que atuam no mercado europeu — especialmente os grupos internacionais com clientes ou parceiros na França — têm, portanto, interesse em verificar imediatamente sua situação em relação a esse texto.
O escritório auxilia empresas francesas e grupos internacionais na análise de sua sujeição ao RGPD e pode ser nomeado representante nos termos do artigo 27.
Texto de referência: Artigo 27 do RGPD — CNIL, Capítulo IV do regulamento europeu sobre proteção de dados
Para aprofundar o assunto : Como abrir uma empresa na França sendo estrangeiro.