La riscoperta della figura del rappresentante del titolare per effetto della Brexit

A partire dal primo gennaio 2021, per effetto della Brexit, il Regolamento EU 2016/679 più comunemente noto come “GDPR” non è più direttamente applicabile sul territorio del Regno Unito.  Ciononostante, il governo britannico ha incorporato, pressoché integralmente, il GDPR all’interno del proprio ordinamento giuridico e – fortunatamente – per le aziende che già rispettavano il  GDPR prima del 1° gennaio 2021 l’impatto pratico è stato minimo.

Ebbene, nonostante la quasi totalità delle norme del GDPR sia stata traslata con estrema facilità dal legislatore Britannico all’interno del  c.d. “GDPR Inglese”, sono comunque rimasti alcuni nodi da sciogliere in tema di obblighi in capo ai titolari del trattamento.

Nello specifico, tra le principali ripercussioni della Brexit sulla compliance con i regolamenti sulla protezione dei dati, una menzione particolare merita l’obbligo di nominare un rappresentante del titolare nell’UE, nel Regno Unito o in entrambi i territori.

L’obbligo di nominare un rappresentante

Forse non tutti sanno che l’articolo 27 del GDPR, al ricorrere di determinate condizioni, impone la nomina di un rappresentante europeo alle aziende con sede al di fuori dell’UE  e che effettuano attività di trattamento di dati di cittadini europei.

Il ruolo del rappresentante è quello di fungere da punto di contatto tra il titolare del trattamento, situato al di fuori del territorio dell’Unione, e le autorità nazionali di protezione dei dati e gli interessati.

Essendo un obbligo imposto solamente ad aziende non europee, non sorprende che, all’interno dell’Unione Europea, a tale imposizione normativa non fosse mai stata data particolare importanza. Tuttavia, con l’implementazione da parte del Regno Unito della propria versione del GDPR, che prevede lo stesso obbligo in un contesto solo britannico, tale obbligo sta iniziando ad avere una grande rilevanza anche per le aziende con sede in UK e con sede all’interno dell’Unione.

Nello specifico, ad oggi, ci sono due disposizioni normative che potrebbero obbligare le aziende a nominare un rappresentante nell’UE, nel Regno Unito, o anche in entrambi i territori.

L’articolo 27 del “GDPR del Regno Unito” e l’articolo 27 del GDPR dell’UE impongono ai titolari di nominare un rappresentante se questi  –  senza avere uno stabilimento nella rispettiva regione di interesse:

1. a) offrono beni o servizi agli interessati; oppure
2. b) effettuano attività di monitoraggio del comportamento degli interessati.

In base alle linee guida dell’EDPB (linea guida 3/2018), ci sono diversi fattori che devono essere considerati al fine di determinare se un’azienda sta offrendo i suoi beni o servizi a individui di un determinato territorio. Alcuni di questi fattori sono:

•  usare le lingue di una regione specifica o offrire pagamenti nella valuta di tale regione;
• utilizzare annunci su Google o Facebook per rivolgersi a un determinato mercato, o qualsiasi altra attività di marketing diretta ai clienti di tale mercato;
• l’uso di domini di primo livello in tale mercato;
• offrire la consegna di merci a individui nella rispettiva regione.

Ne consegue che le aziende dell’UE che fino ad ora non hanno mai dovuto pensare alla necessità di nominare un rappresentante dovrebbero valutare se si rivolgono a individui del Regno Unito e se, pertanto, hanno bisogno di un rappresentante in tale territorio. Lo stesso vale per le aziende del Regno Unito che non hanno uno stabilimento all’interno dell’Unione europea le quali dovrebbero valutare se rientrano nell’obbligo di nominare un rappresentante europeo ai sensi dell’articolo 27 del GDPR, ora che il Regno Unito è diventato a tutti gli effetti un “paese terzo”.

Da ultimo occorre fare una breve menzione in merito alle aziende con sede al di fuori dell’UE e del Regno Unito – che idealmente erano già a conoscenza di questo obbligo ai sensi del GDPR prima della Brexit – e che ora dovrebbero valutare attentamente se hanno bisogno di nominare un rappresentante britannico ai sensi delle nuove disposizioni del Regno Unito. In ogni caso, al fine di essere perfettamente conformi ai due articoli 27, potrebbero aver bisogno di nominare due rappresentanti: uno al di qua e uno al di là della manica.

MepLaw