¿Necesitas un representante de la UE? El árbol de decisiones en siete preguntas

Es la pregunta que más nos hacen, y casi nunca es la pregunta que la gente cree estar haciendo. Preguntan: ¿debemos designar un representante de la UE? Lo que realmente preguntan es: ¿qué tan grave es si no lo hacemos?

Ambas las dos preguntas tienen respuesta, y la primera es más corta de lo que parece. El Artículo 27 del RGPD es una de las pocas disposiciones del reglamento que se reduce a una serie de preguntas de sí/no. Sin ponderación, sin prueba de razonabilidad, sin margen para interpretación en la mayoría de los casos. O caes bajo su ámbito o no.

Lo que complica la pregunta es que las empresas empiezan por el lugar equivocado. Comienzan con el artículo 27, mientras que el artículo 27 solo es relevante una vez que el artículo 3 ha determinado que el RGPD es de aplicación en tu caso. Quien invierte este orden, termina con una respuesta que casualmente coincide o casualmente no.

A continuación, encontrarás siete preguntas en el orden correcto. Prepárate para dedicar un cuarto de hora y anota qué herramientas usas mientras lees — ahí están las sorpresas.

Pregunta 1: ¿Procesas datos personales de personas que se encuentren en la UE?

Presta atención a la redacción, porque cada palabra tiene su peso.

«Personas que se encuentren en la UE» — no ciudadanos de la UE. La nacionalidad no importa. Un estadounidense en viaje de negocios en Ámsterdam que completa un formulario en tu sitio web, sí está incluido. Un belga que reside en Ciudad Ho Chi Minh y visita tu sitio desde allí, no está incluido. El criterio es la presencia física en el momento del procesamiento, no el pasaporte ni la residencia.

«Datos personales» es más amplio de lo que la mayoría de las empresas asumen. Una dirección de correo electrónico es un dato personal. Una dirección IP también lo es, por lo general. Una ID de cookie asociada a un dispositivo, habitualmente también. Un contacto empresarial en un cliente — nombre, puesto, número de teléfono — es un dato personal, incluso en el ámbito B2B. El GDPR no reconoce excepciones para B2B. Esta suposición suele costar a las empresas medio día de reajustes.

Responde «no» y habrás terminado. Responde «no estoy seguro, pero sí tenemos Google Analytics activado» y la respuesta es sí.

Pregunta 2: ¿Tienes un establecimiento en la Unión Europea?

El artículo 27 solo aplica a organizaciones sin establecimiento en la Unión. Si tienes uno, la obligación desaparece —aunque probablemente caigas bajo el artículo 3(1) y se apliquen otras obligaciones. No estás menos regulado, estás regulado de otra manera.

"Establecimiento" es un concepto fáctico, no un etiquetado jurídico. Se refiere a una estructura estable con actividades reales y efectivas —una oficina, personal, una infraestructura duradera—. Un apartado de correos no es un establecimiento. Tampoco lo es una filial que solo exista sobre el papel.

Dos casos que suelen fallar:

• Un empleado que trabaja desde casa en España. Eso ya puede ser una establecimiento, dependiendo de lo que esa persona haga y de la durabilidad del arreglo. Esto no es una discusión teórica: determina qué artículo se aplica a ti.
• Una empresa hermana europea dentro del mismo grupo. No es un establecimiento de tu entidad. Las relaciones corporativas no resuelven esto por sí solas —más detalles sobre esto en ¿Basta tu distribuidor o socio del grupo?.

Pregunta 3: ¿Ofreces bienes o servicios a personas en la UE?

Aquí comienza el trabajo real, porque esta es la pregunta en la que las empresas suelen engañarse más a sí mismas.

El criterio no es si los europeos pueden comprar en tu empresa. Se trata de si te diriges al mercado europeo. Una web accesible no es suficiente; lo que importa es la orientación. El European Data Protection Board enumera en sus líneas directrices sobre el ámbito territorial de aplicación una serie de indicadores, basados en jurisprudencia del Tribunal de Justicia:

• Mencionas uno o más Estados miembros de la UE por su nombre, o te refieres a clientes o usuarios europeos.
• Tu sitio web está disponible en un idioma que no es habitual en tu país, pero sí en la UE.
• Mostrar precios en euros o aceptar pagos en euros.
• Utilizas un dominio de país de un Estado miembro — .de, .fr, .nl, .be.
• Entregas a direcciones de la UE o mencionas condiciones de entrega europeas.
• Publicitas o compras palabras clave dirigidas a usuarios europeos.
• Mencionas clientes de referencia europeos o un número de teléfono europeo.

Ninguno de estos puntos es decisivo por sí solo, y se evalúan en conjunto. Pero marcar tres o cuatro y mantener que no te diriges a Europa es una postura que no vas a ganar.

La respuesta tampoco tiene que ser de pago. Si ofreces una versión de prueba gratuita, una newsletter gratuita o una herramienta gratuita a usuarios europeos, eso es un servicio.

Pregunta 4: ¿Monitoreas el comportamiento de personas en la UE?

Esta es la pregunta que la mayoría de las empresas omite, y la que con más frecuencia se responde con un «sí» sin que nadie se dé cuenta.

La monitorización significa seguir el comportamiento que ocurre dentro de la Unión. Concretamente:

• Analíticas que siguen a visitantes individuales a través de las páginas.
• Pixeles de publicidad de redes sociales o redes publicitarias.
• Retargeting o remarketing.
• Grabaciones de sesiones y mapas de calor.
• Perfilado de comportamiento para recomendaciones o fijación de precios.
• Apps que registran ubicación o uso de funciones.

Si ejecutas alguno de estos casos y tienes visitantes europeos, monitoreas su comportamiento en la Unión. Eso es suficiente para caer bajo el artículo 3(2), incluso si no vendes ningún producto a un europeo.

Este es el escenario más común que encontramos: una empresa convencida de que no tiene nada que ver con Europa, pero con una pila de marketing que lleva cuatro años rastreando visitantes europeos.

Pregunta 5: ¿Cae bajo la excepción del artículo 27, apartado 2?

Existe una excepción. Es más estrecha de lo que parece, y el EDPB la interpreta de manera estricta y restrictiva.

La obligación no aplica cuando se cumplen simultáneamente las tres condiciones siguientes:

1. El procesamiento es ocasional. No regular, no estructural, no parte de tu actividad empresarial habitual. Una tienda online que recibe pedidos durante todo el año no procesa de forma ocasional. Una empresa que visita una vez al año una feria comercial en Alemania y recoge tarjetas de visita, posiblemente sí.
2. No se procesan a gran escala categorías especiales de datos personales según lo dispuesto en el artículo 9, apartado 1, ni datos de condena según lo dispuesto en el artículo 10. Las categorías especiales incluyen, entre otras, datos de salud, datos biométricos y datos sobre convicciones religiosas o políticas.
3. El tratamiento probablemente no entraña un riesgo para los derechos y libertades de las personas físicas, teniendo en cuenta la naturaleza, el contexto, el alcance y los fines.

Las condiciones son acumulativas. Si fallas en una de ellas, la excepción desaparece.

En la práctica, casi cualquier empresa exportadora o que vende en línea tropieza con la primera condición. Si tienes clientes europeos y los atiendes durante todo el año, tu procesamiento no es ocasional — por pequeño que seas. La excepción no está pensada para pequeñas empresas; está pensada para procesamientos esporádicos.

Lo que haces: evalúa las tres condiciones por separado, escribe tu razonamiento para cada una y guarda ese documento. Si llegas a la conclusión de que aplica la excepción, esa justificación por escrito es exactamente lo que necesitarás si alguien lo solicita. Una conclusión sin fundamentación no es una conclusión.

Pregunta 6: ¿Eres una institución u órgano público?

La segunda excepción del artículo 27, apartado 2, aplica a instituciones y órganos públicos. Breve, y para la mayoría de los lectores de este artículo no es relevante — pero debe incluirse en el árbol de decisiones, porque quien la omita se perderá la única otra base en la que la obligación desaparece.

Una empresa pública que opera comercialmente no es una autoridad pública en este sentido. En caso de duda: se trata de la naturaleza de la tarea, no de quién posea las acciones.

Pregunta 7: ¿A quién contratas, dónde y cómo?

Si has respondido «sí» a la pregunta 1, «no» a la pregunta 2, «sí» a la pregunta 3 o 4, y «no» a la pregunta 5 y 6, entonces deberás designar un representante. Quedan tres decisiones prácticas por tomar.

Sí. El representante debe estar establecido en un Estado miembro donde se encuentren los interesados a quienes ofrezcas bienes o servicios, o cuyo comportamiento monitorees. Si atiendes a varios Estados miembros — lo cual es casi siempre el caso — eliges uno. En la práctica, eliges según accesibilidad, idioma y la autoridad supervisora con la que interactúes.

Así. Por escrito. El artículo 27, apartado 1, no deja espacio para interpretaciones: un mandato escrito en el que se defina el rol. Un intercambio de correos donde alguien diga «vale» no constituye un mandato.

Visible. Los datos de tu representante deben ser accesibles para los interesados. En la práctica, esto significa: en tu política de privacidad, con nombre y dirección, fácilmente localizables sin necesidad de buscar. Un representante designado que no aparece en ningún lugar no resuelve el problema — es exactamente el tipo de deficiencia que destaca en la lista de preguntas de un comprador europeo.

El representante también mantiene el registro de actividades de tratamiento que, en ese carácter, debe poder presentarse, y actúa como punto de contacto tanto para los interesados como para los supervisores.

Los tres resultados posibles

Resultado A — no necesitas un representante.

No procesas datos de personas en la UE, o tienes una sede en la Unión, o demuestras estar bajo una excepción.

Lo que estás haciendo ahora: anota el motivo, con la fecha, y establece un momento de revisión — anual, o antes si modificas tu mercado o tu *marketing stack*. Esta conclusión puede volverse obsoleta. Una campaña europea, un nuevo *pixel*, un distribuidor alemán y la respuesta cambia.

Resultado B — necesitas uno y no lo tienes

Este es el resultado más común, y la buena noticia es que es la carencia más económica que puedes tener en tu lista. La contratación puede realizarse en unos pocos días laborables. El coste anual para un servicio estándar oscila entre cientos y miles de euros —explicamos de dónde proviene esa diferencia en ¿Cuánto cuesta un representante de la UE en 2026—.

Es exactamente por eso que el defecto resulta tan grave cuando está abierto. Es pequeño, visible, económico de resolver y completamente bajo tu control. Un equipo de cumplimiento que lo encuentre sacará conclusiones sobre el resto de tu documentación.

Resultado C — crees que tienes uno, pero no lo tienes.

El resultado subestimado. Tienes un distribuidor europeo, un despacho de abogados por suscripción, un agente comercial o una sociedad del grupo en Irlanda, y en algún momento alguien dijo que eso es suficiente.

Esto no suele ser así, y la diferencia es más clara de lo que parece. Hemos escrito un artículo aparte sobre esto, incluyendo los casos en los que una entidad grupal sí puede serlo.

Lo que un representante no resuelve por ti

Aquí es donde las empresas se pierden después de haberlo hecho bien.

Nombrar un representante no te hace conforme con el RGPD. Es una de las muchas obligaciones. Aún necesitas una base jurídica para cada tratamiento, acuerdos con tus proveedores como responsables del tratamiento, un registro de actividades de tratamiento, un proceso funcional para solicitudes de los interesados, un protocolo para fugas de datos y una estructura justificable para transferencias fuera de Europa.

Un representante no asume en ningún caso tu responsabilidad. El considerando 80 del reglamento establece que el representante debe estar sujeto a procedimientos de ejecución en caso de incumplimiento por parte del responsable del tratamiento o del encargado del tratamiento. Todavía se debate sobre su alcance exacto — la EDPB se limita a la posibilidad de que los supervisores puedan hacer cumplir las normas a través del representante, sin asumir la responsabilidad plena en tu lugar. Lo que sí está claro: sigues siendo el responsable del tratamiento, y las obligaciones siguen siendo tuyas.

Lo que sí resuelve: abre la puerta. Sin representante designado, cada conversación con un comprador europeo comienza con una deficiencia. Con representante, la conversación comienza sobre tu producto.

¿Dónde podemos ayudarte?

Chuyenso está establecido en Bélgica — dentro del mercado europeo, bajo las reglas europeas. Nuestro fundador está certificado como EADPP bajo el marco del GDPR europeo, con quince años de experiencia empresarial y más de cien clientes en estrategia, desarrollo, alojamiento y datos. Asesoramos a empresas fuera de Europa que desean vender en Europa sin que el expediente de cumplimiento retrase el trato.

Actuamos como representante designado en la Unión Europea: una dirección belga en tu declaración de privacidad, un mandato en papel, un punto de contacto accesible para los interesados y las autoridades supervisoras, y el registro que debes poder presentar en ese carácter.

Sesión estratégica — 60 minutos, €295. Una pregunta, analizada a fondo, con un resumen escrito y tres acciones concretas en 48 horas. Ideal si, tras estas siete preguntas, quieres que alguien revise tu razonamiento antes de tomar una decisión.

Análisis de exposición europea — tres sesiones en tres semanas, €1.950. Mapeo completo de tu exposición europea, brechas clasificadas por riesgo y por ingresos en juego, un plan de 90 días y un resumen de cumplimiento que puedes enviar directamente a un comprador europeo. Si optas por un suscripción en 30 días, descontamos este importe.

O agenda una sesión de conocimiento gratuita de 25 minutos. Revisamos juntos las siete preguntas y te diremos con honestidad si esto es un problema para ti o no. A veces la respuesta es «menos de lo que pensabas». Eso es lo que te diremos.

Chuyenso — literalmente: transformación digital. Ayudamos a empresas fuera de Europa a estar preparadas para el mercado europeo: jurídicamente, técnicamente y comercialmente.

---

Fuentes: Artículo 27 GDPR — texto completo · Líneas directrices EDPB 3/2018 sobre el ámbito territorial de aplicación · Consideración 80 — designación de un representante · Representantes según el Artículo 27 del GDPR (IAPP)

Información general, no asesoramiento jurídico.