Il rappresentante deve essere nominato quando il titolare di trattamento dei dati personali non è stabilito nell’Unione Europea.
Per determinare se un soggetto è stabilito o meno nell'UE si deve fare riferimento al luogo dove questi ha la stabile organizzazione, vale a dire dove svolge le principali attività di trattamento. Per esempio, se un soggetto extra UE ha un sito web che si rivolge a cittadini dell’Unione Europea ma non ha alcuna sede fisica presente in Europa o ha semplicemente un magazzino per la sola consegna di merci, il soggetto straniero dovrà nominare un rappresentante a meno che non si trovi nelle situazioni in cui il GDPR non prevede l'obbligatorietà della nome del rappresentante.
La nomina del rappresentante è obbligatoria quando:
- tratta dati personali di interessati che si trovano nell’Unione in modo continuativo
- le attività di trattamento sono relative all’offerta di beni o alla prestazione di servizi a cittadini europei
- le attività consistono nel monitoraggio del comportamento dei cittadini europei (ad esempio il controllo del comportamento degli utenti con lo scopo di profilare le loro abitudini e i loro comportamenti).
La nomina del rappresentante non è obbligatoria quando:
- i dati personali degli interessati europei vengono elaborati solo occasionalmente
- il trattamento non include il trattamento su larga scala di categorie speciali di dati o dati giudiziari o dati relativi a condanne penali
- il trattamento non comporta un rischio per i diritti e le libertà degli interessati
- il titolare è un'autorità o un organismo pubblico.
