Przedstawiciel administratora lub podmiotu przetwarzającego (art. 27)

RODO ma zastosowanie nie tylko dla podmiotów na terytorium EOG. Jeżeli czynności przetwarzania administratora lub podmiotu przetwarzającego wiąże się z:

1. oferowaniem towarów lub usług takim osobom, których dane dotyczą, w Unii Europejskiej;
2. monitorowaniem zachowania osób, o ile do zachowania tego dochodzi w Unii Europejskiej;

– to w takim przypadku gdy nie posiada on swojego przedstawiciela w Unii Europejskiej, ma on obowiązek go wyznaczyć.

Wyjątkami od tego obowiązku są przypadki:

1. przetwarzania, które ma charakter sporadyczny, nie obejmuje – na dużą skalę – przetwarzania szczególnych kategorii danych osobowych, ani przetwarzania danych osobowych dotyczących wyroków skazujących i czynów zabronionych , i jest mało prawdopodobne, by ze względu na swój charakter, kontekst, zakres i cele powodowało ryzyko naruszenia praw lub wolności osób fizycznych;
2. jeśli dotyczy to organu lub podmiotu publicznego.

Dodatkowo jeśli istnieje obowiązek powołania przedstawiciela na mocy RODO, to musi mieć on siedzibę w państwie członkowskim, w którym przebywają osoby, których dane są przetwarzane. Organ nadzoru podczas postępowania skargowego może w jego trakcie zobowiązać daną stronę do powołania przedstawiciela, jeżeli stwierdzi spełnienie przesłanek, do jego powołania.

Zadania przedstawiciela to m.in.:

1. wykonywanie zadań zgodnie z upoważnieniem otrzymanym od administratora;
2. prowadzenie przedstawicielstwa w kraju członkowskim dla osób, których dane osobowe są przetwarzane w związku z oferowaniem im towarów lub usług lub których zachowanie jest monitorowane;
3. zapewnienie odpowiedniego poziomu bezpieczeństwa przetwarzanych danych zgodnie z podstawowymi zasadami określonymi w RODO;
4. reprezentowanie administratora przed organami nadzoru.