Brexit y doble representante: ¿necesito uno en UK y otro en la UE?

Imagina que tienes una casa en dos países distintos. En cada una, necesitas un vecino que reciba tus cartas cuando no estás. Pues con el GDPR y el UK-GDPR pasa exactamente eso: si tu empresa está fuera del Reino Unido y de la UE, y tratas datos de personas en ambos territorios, necesitas un representante en cada uno. No es un capricho burocrático, es la ley.

¿Qué ha cambiado con el Brexit?

Antes del Brexit, el Reino Unido formaba parte de la UE, así que un solo representante en la UE valía para todo el Espacio Económico Europeo (EEE). Pero desde el 1 de enero de 2021, el Reino Unido es un país tercero a efectos de protección de datos. Esto significa que el GDPR europeo y el UK-GDPR son dos regímenes distintos, cada uno con su propia exigencia de representante.

Si tu empresa está establecida fuera del Reino Unido y fuera de la UE, y ofreces bienes o servicios a personas en el Reino Unido, o supervisas su comportamiento, estás obligado a nombrar un representante en el Reino Unido según el artículo 27 del UK-GDPR. Y si también tratas datos de personas en la UE, necesitas otro representante en la UE bajo el artículo 27 del GDPR europeo.

Featured Snippet: ¿Cuándo necesito un representante en UK y otro en la UE?

Necesitas un representante en el Reino Unido si tu empresa no está establecida en el Reino Unido pero tratas datos de personas que están allí, y no tienes un establecimiento en el Reino Unido. Lo mismo aplica para la UE: si no tienes presencia en la UE pero tratas datos de personas en la UE, necesitas un representante en la UE. Si cumples ambas condiciones, necesitas dos representantes.

Excepciones que te salvan

No todo el mundo necesita representante. Si tu tratamiento de datos es ocasional, no incluye categorías especiales de datos (como salud, religión, etc.) ni datos de condenas penales, y es poco probable que suponga un riesgo para los derechos y libertades de las personas, puedes estar exento. Pero ojo: la exención es muy restrictiva. En la práctica, la mayoría de las empresas que tratan datos de forma regular no se libran.

Además, si tu empresa tiene un establecimiento en el Reino Unido (por ejemplo, una sucursal), ese establecimiento actúa como tu representante de facto, y no necesitas nombrar uno adicional. Lo mismo para la UE: si tienes una oficina en cualquier país de la UE, esa oficina es tu representante.

¿Puedo nombrar al mismo representante para ambos?

Técnicamente, sí, pero no es recomendable. El representante debe estar establecido en el territorio donde se aplica la ley. Es decir, para el UK-GDPR, el representante debe estar en el Reino Unido. Para el GDPR de la UE, debe estar en la UE. Una misma persona jurídica podría tener oficinas en ambos lugares y actuar como representante para ambos regímenes, pero entonces estarías hablando de dos representantes distintos (uno en UK y otro en la UE), aunque sean de la misma empresa. No puedes tener un único representante en, digamos, Irlanda que cubra también el Reino Unido, porque el UK-GDPR exige presencia física en el Reino Unido.

Así que, a efectos prácticos, necesitas dos representantes separados, a menos que tu empresa tenga un establecimiento en uno de los territorios que ya cumpla esa función.

Consecuencias de no nombrar representante

No nombrar representante cuando es obligatorio puede costarte multas de hasta 10 millones de euros o el 2% de tu facturación anual global, lo que sea mayor, bajo el GDPR. Bajo el UK-GDPR, las multas son similares: hasta 17,5 millones de libras o el 4% de la facturación global. Además, sin representante, las autoridades de protección de datos pueden dirigir sus investigaciones directamente contra ti, lo que complica la defensa.

Así que, si tu negocio opera en ambos lados del Canal de la Mancha, no escatimes: nombra a tus dos representantes. Es como tener un seguro: esperas no usarlo, pero si pasa algo, te alegras de tenerlo.

FAQ