Respuesta breve: Una empresa que no está establecida en la Unión Europea puede necesitar designar por escrito un representante RGPD en la UE cuando ofrece bienes o servicios a personas que se encuentran en la Unión o monitoriza su comportamiento. La accesibilidad de una web desde Europa no basta por sí sola y el mandato no elimina la responsabilidad de la empresa.
El artículo 27 RGPD es especialmente relevante para empresas de Estados Unidos, Reino Unido, Suiza, Canadá, Latinoamérica, Asia y otros países que venden software, suscripciones, servicios online o productos a personas en Europa. También puede afectar a plataformas que analizan el comportamiento de usuarios europeos aunque no tengan una oficina en la Unión.
Si buscas una valoración práctica o un representante establecido en España para un servicio dirigido al mercado español, consulta nuestro servicio de representante RGPD en España para empresas fuera de la UE. Este artículo explica cuándo puede existir la obligación, qué debe contener el mandato y qué límites conviene dejar documentados.
¿Tu empresa internacional necesita un representante en la UE?
Revisamos el ámbito territorial, el producto digital, los mercados objetivo y el circuito de atención a derechos y autoridades.
¿Qué dice el artículo 27 del RGPD?
Cuando se aplica el artículo 3.2 del RGPD, el responsable o encargado del tratamiento que no está establecido en la Unión debe designar por escrito un representante en la Unión. El análisis parte de la actividad de tratamiento y de las personas cuyos datos se tratan, no solo del país donde está registrada la sociedad.
Oferta de bienes o servicios
La empresa ofrece productos o servicios a personas que se encuentran en la Unión, aunque no exista un pago directo por parte de ellas.
Monitorización de comportamiento
La empresa observa, analiza o perfila el comportamiento de personas en Europa dentro del contexto de su actividad digital.
Excepciones limitadas
El artículo 27.2 excluye determinados tratamientos ocasionales y de bajo riesgo, además de autoridades y organismos públicos.
La empresa debe poder explicar por qué el RGPD se aplica o por qué considera documentadamente que la obligación de designar representante no concurre. Una conclusión genérica como «la web es global» o «solo tenemos pocos usuarios» no sustituye al análisis de naturaleza, contexto, alcance, frecuencia, volumen y riesgo.
¿Cuándo puede estar dirigida una oferta a personas de la UE?
El EDPB señala que una página web accesible desde la Unión no demuestra por sí sola que la empresa dirija su oferta a personas europeas. Sin embargo, la combinación de varios indicios puede cambiar la conclusión:
- Publicidad o campañas específicamente dirigidas a Estados miembros.
- Idioma, moneda, precios, impuestos o condiciones adaptadas a mercados europeos.
- Envíos, soporte o contratación expresamente disponibles para clientes de la UE.
- Referencias a consumidores, profesionales o usuarios localizados en Europa.
- Registro de cuentas, aplicación o marketplace diseñado para captar usuarios europeos.
Ejemplos habituales
Un SaaS estadounidense que permite contratar suscripciones desde España puede quedar dentro del análisis del artículo 3.2. También una aplicación canadiense que ofrece cuentas a usuarios de la Unión, un marketplace asiático que entrega en varios Estados miembros o una plataforma de publicidad que perfila a usuarios europeos. La respuesta final depende de cómo esté configurado el producto y del tratamiento real.
¿Dónde debe estar establecido el representante?
El artículo 27.3 exige que el representante esté establecido en uno de los Estados miembros donde se encuentren las personas cuyos datos se tratan en relación con la oferta de bienes o servicios o con la monitorización de su comportamiento. Por eso no es técnicamente correcto presentar España como ubicación obligatoria para cualquier actividad europea.
España puede ser una opción adecuada cuando el mercado español tiene peso, la empresa dirige allí una parte relevante de su servicio o necesita un interlocutor jurídico en español. Si la actividad se concentra en varios países, el mandato debe valorar la accesibilidad real y la cobertura necesaria para las personas interesadas de esos Estados.
¿Qué debe incluir el mandato escrito?
No debería limitarse a indicar un nombre y una dirección. Debe explicar qué tratamientos cubre, quién debe responder, cómo se reciben las solicitudes y qué ocurre cuando llega una comunicación urgente de una autoridad.
- Identidad y datos de contacto del responsable o encargado no establecido en la Unión.
- Identidad, dirección y medios de contacto del representante.
- Tratamientos, productos, mercados y entidades cubiertos.
- Canales para derechos, consultas, reclamaciones y notificaciones.
- Plazos de respuesta, documentación disponible y responsables de escalado.
- Procedimiento ante brechas, requerimientos y cambios relevantes del servicio.
- Coordinación con políticas de privacidad, registro de actividades, contratos y proveedores.
Funciones del representante del artículo 27
El representante puede ser contactado por las autoridades de control y por las personas interesadas sobre las cuestiones relacionadas con el tratamiento, dentro del mandato recibido. En la práctica, el servicio puede incluir:
Canalizar solicitudes
Recibir y trasladar derechos, consultas y reclamaciones al equipo responsable en el tercer país.
Cooperar con autoridades
Coordinar la recepción de requerimientos y la entrega ordenada de información y evidencias.
Conservar trazabilidad
Registrar comunicaciones, plazos, documentos y decisiones para que el circuito sea verificable.
El representante no se convierte automáticamente en responsable del tratamiento, ni decide por sí solo los fines y medios. La designación tampoco impide que puedan ejercitarse acciones contra el responsable o encargado. El alcance contractual debe evitar tanto las promesas genéricas como la falsa impresión de que el cliente deja de ser responsable por nombrar un representante.
Representante RGPD, DPO y filial: diferencias
| Figura | Para qué sirve | Qué no debe confundirse |
|---|---|---|
| Representante del artículo 27 | Punto de contacto designado por escrito para determinados responsables o encargados no establecidos en la UE. | No es una filial y no elimina la responsabilidad del responsable o encargado. |
| DPO o DPD | Asesora, supervisa y coopera con independencia conforme a los artículos 37 a 39. | No es una etiqueta alternativa al representante; el EDPB advierte de la incompatibilidad entre funciones en ciertos casos. |
| Establecimiento europeo | Presencia empresarial propia que puede determinar el ámbito territorial del artículo 3.1. | No aparece automáticamente por designar un representante. |
Lo que el artículo 27 no resuelve
Nombrar un representante no convierte una transferencia internacional en lícita. Si la empresa usa proveedores o aloja datos fuera del Espacio Económico Europeo, debe analizar por separado el capítulo V del RGPD, las decisiones de adecuación, las cláusulas contractuales y las medidas complementarias que resulten aplicables.
Tampoco sustituye la información de privacidad, la gestión de derechos, el análisis de riesgos, la seguridad, la gestión de brechas, la documentación de proveedores ni las decisiones sobre si procede un DPO. La representación debe integrarse en el programa de cumplimiento y no funcionar como una dirección nominal aislada.
Checklist de decisión
- ¿La empresa tiene establecimiento en la Unión?
- ¿Ofrece productos o servicios a personas que se encuentran en la UE?
- ¿Monitoriza, perfila o personaliza el comportamiento en Europa?
- ¿Qué datos se tratan, con qué frecuencia, volumen y riesgo?
- ¿Concurren y están documentadas las excepciones del artículo 27.2?
- ¿Dónde están las personas cuyos datos se tratan y dónde conviene establecer el representante?
- ¿El mandato define canales, plazos, funciones y escalado?
- ¿La política de privacidad identifica correctamente el representante?
- ¿Se han revisado proveedores y transferencias internacionales?
Preguntas frecuentes
¿Una LLC estadounidense necesita siempre representante RGPD?
No. Debe analizarse si el artículo 3.2 se aplica y si concurre alguna excepción del artículo 27.2. La respuesta depende del producto, los usuarios, el seguimiento y el riesgo.
¿Basta con que la web pueda abrirse desde España?
No. La accesibilidad global de una web no prueba por sí sola una oferta dirigida. Hay que valorar la configuración comercial y el tratamiento real.
¿El representante del artículo 27 es un DPO?
No. El representante actúa como punto de contacto bajo mandato escrito; el DPO tiene funciones propias de asesoramiento y supervisión con garantías de independencia.
¿Nombrar representante crea una empresa en la Unión?
No. La designación no crea por sí misma un establecimiento europeo ni una filial, aunque la empresa pueda necesitar otra estructura por razones comerciales o regulatorias.
Fuentes oficiales
- Reglamento (UE) 2016/679 en EUR-Lex, artículos 3, 27, 28 y considerando 80.
- EDPB, Guidelines 3/2018 sobre el ámbito territorial, versión final.
- AEPD, garantías para transferencias internacionales, consultada el 21 de octubre de 2026.
Analiza tu obligación del artículo 27
Cuéntanos dónde está establecida tu empresa, a quién presta servicios y qué datos trata en Europa.