Il Regolamento UE 2016/679, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali introduce la figura del rappresentante che, all’art. 4, paragrafo 1, è definito nei termini seguenti:

“17) «rappresentante»: la persona fisica o giuridica stabilita nell’Unione che, designata dal titolare del trattamento o dal responsabile del trattamento per iscritto ai sensi dell’articolo 27, li rappresenta per quanto riguarda gli obblighi rispettivi a norma del presente regolamento”.

L’art. 27 del Regolamento UE 2016/679, rubricato “Rappresentanti di titolari del trattamento o dei responsabili del trattamento non stabiliti nell’Unione”, ai paragrafi 1 e 2 dispone quanto segue:

1. Ove si applichi l’articolo 3, paragrafo 2, il titolare del trattamento o il responsabile del trattamento designa per iscritto un rappresentante nell’Unione. 2. L’obbligo di cui al paragrafo 1 del presente articolo non si applica: a) al trattamento se quest’ultimo è occasionale, non include il trattamento, su larga scala, di categorie particolari di dati di cui all’articolo 9, paragrafo 1, o di dati personali relativi a condanne penali e a reati di cui all’articolo 10, ed è improbabile che presenti un rischio per i diritti e le libertà delle persone fisiche, tenuto conto della natura, del contesto, dell’ambito di applicazione e delle finalità del trattamento; oppure b) alle autorità pubbliche o agli organismi pubblici.

L’art. 3, paragrafo 2, del citato Regolamento, rubricato “Ambito di applicazione territoriale” dispone quanto segue:

2. Il presente regolamento si applica al trattamento dei dati personali di interessati che si trovano nell’Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell’Unione, quando le attività di trattamento riguardano: a) l’offerta di beni o la prestazione di servizi ai suddetti interessati nell’Unione, indipendentemente dall’obbligatorietà di un pagamento dell’interessato; oppure b) il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all’interno dell’Unione.

Dal predetto dato normativo emerge che, nell’ipotesi di offerta di beni o servizi (art. 3, par. 2, lett. a), il GDPR si applica anche a soggetti (titolare del trattamento o responsabile del trattamento) che non siano stabiliti nell’Unione. Pertanto, in questo caso, se il titolare o il responsabile del trattamento sono stabiliti fuori dall’Unione e offrono beni o servizi a interessati che si trovano nell’Unione, essi sono tenuti ad applicare il Regolamento UE 2016/679. Nel caso di offerta di beni o servizi a interessati che si trovano nell’Unione, la non obbligatorietà della nomina del rappresentante ai sensi dell’art. 27, paragrafo 2, lettera a) del GDPR sussiste unicamente quando si verificano contestualmente tutte le seguenti condizioni:

  • il trattamento dei dati personali è occasionale;
  • non è incluso il trattamento su larga scala di categorie particolari di dati o dati personali relativi a condanne penali e a reati;
  • è improbabile che il trattamento presenti un rischio per i diritti e le libertà delle persone fisiche, tenuto conto della natura, del contesto, dell’ambito di applicazione e delle finalità del trattamento.

Qualora sussistano tutte le predette condizioni non si è tenuti alla nomina del rappresentante.

Tuttavia, potrebbero esistere fattispecie nelle quali siano presenti solo alcune (ma non tutte le) condizioni indicate dal citato articolo 27, paragrafo 2, lettera a).

Ad esempio potrebbe verificarsi solo la condizione “il trattamento dei dati personali non è occasionale”, oppure unicamente le condizioni “non è incluso il trattamento su larga scala di categorie particolari di dati o dati personali relativi a condanne pannelli e a reati” e “è improbabile che il trattamento presenti un rischio per i diritti e le libertà delle persone fisiche, tenuto conto della natura, del contesto, dell’ambito di applicazione e delle finalità del trattamento”).

In questi casi, potrebbe sorgere il dubbio se la nomina del rappresentante sia comunque obbligatoria.

Dalla interpretazione letterale della norma, anche in relazione al considerando n. 80, si evince che le condizioni devono sussistere cumulativamente, ossia tutte, affinché non sia obbligatorio nominare il rappresentante.

Un maggiore approfondimento dei criteri ermeneutici evidenzia come il legislatore comunitario non ha utilizzato disgiuntive tra una condizione e l’altra, ma - al contrario - ha indicato le singole ipotesi elencandole separate solo da virgole.

Più specificamente, per l’ultima condizione (“ed è improbabile …”), è addirittura utilizzata la congiunzione “ed” a conferma che deve coesistere anche quest’ultima.

La versione inglese del GDPR depone nello stesso senso, così come la tecnica di normazione utilizzata dal legislatore comunitario nell’intero testo del Regolamento UE 2016/679, posto che - ove si è voluta precisare la sussistenza di condizioni specifiche - le singole ipotesi sono state indicate espressamente mediante elenco di lettere (a, b, c, ecc.). Del resto, tale interpretazione è confermata dalla presenza, nell’art. 27, paragrafo 2, della lettera b) e ciò attesta che il legislatore comunitario ha voluto concentrare nella lettera a) un’unica condizione sebbene composta da più ipotesi.

Pertanto, anche in assenza di una sola delle condizioni previste dalla citata lettera a) dell’articolo 27, paragrafo 2, o in presenza solo di alcune di esse ma non di tutte, la nomina del rappresentante è obbligatoria.