Respuesta breve: Una empresa establecida fuera de la Unión Europea puede necesitar un representante RGPD en la UE cuando ofrece bienes o servicios a personas que se encuentran en la Unión o monitoriza su comportamiento. En ese caso, el artículo 27 exige una designación escrita, salvo excepciones concretas. ScandoUp puede revisar el caso y actuar como punto de contacto desde España cuando el análisis territorial lo permita.
Si tu empresa está constituida en Estados Unidos, Reino Unido, Suiza, Canadá, Latinoamérica, Asia u otro país fuera de la Unión y está preparando su entrada en el mercado europeo, la cuestión no es solo si tu web funciona en España. Hay que analizar qué servicio ofreces, a quién te diriges, qué datos tratas, cómo monitorizas a tus usuarios y qué personas se encuentran en la Unión.
En ScandoUp Global Legal ayudamos a empresas digitales internacionales a valorar el artículo 27 RGPD, documentar su posición y establecer un circuito operativo para atender derechos, consultas y requerimientos de autoridades. El representante no sustituye a tu empresa ni convierte automáticamente el mandato en una filial europea: su función debe quedar definida por escrito y coordinarse con el resto del cumplimiento.
Comprueba si tu empresa necesita representante en la UE
Revisamos país de establecimiento, mercado objetivo, tratamiento y alcance del mandato antes de proponerte una solución.
¿Qué es un representante RGPD conforme al artículo 27?
Es una persona física o jurídica establecida en la Unión que el responsable o encargado del tratamiento designa mediante un mandato escrito. Su función es servir de interlocutor, dentro del alcance pactado, frente a las autoridades de control y frente a las personas interesadas en cuestiones relacionadas con los tratamientos sujetos al RGPD.
El artículo 27 no impone que el representante esté siempre en España. El representante debe estar establecido en uno de los Estados miembros donde se encuentren las personas cuyos datos se tratan en relación con la oferta de bienes o servicios o con la monitorización de su comportamiento. Si el mercado español es relevante y el servicio se dirige a personas en España, ScandoUp puede valorar la idoneidad de prestar el servicio desde España y coordinar el mandato con la cobertura que necesites.
¿Cuándo puede necesitarlo una empresa de fuera de la UE?
Oferta dirigida a Europa
Vendes SaaS, suscripciones, formación, comercio electrónico o servicios online a personas que se encuentran en la Unión, aunque el contrato se firme desde un tercer país.
Monitorización de usuarios
Analizas comportamiento, personalizas contenido, realizas publicidad comportamental o creas perfiles sobre personas que utilizan tu servicio en Europa.
Producto digital internacional
Tu aplicación, marketplace o plataforma admite registros europeos, usa analítica, soporte o proveedores que implican tratamientos de datos personales.
La mera accesibilidad de una página web desde la Unión no basta por sí sola. La evaluación debe considerar indicios como idioma, moneda, publicidad dirigida, envíos, referencias a mercados europeos, posibilidad de contratar desde la UE y diseño real del producto. La existencia de un representante tampoco crea por sí misma un establecimiento de la empresa en la Unión.
Qué revisamos antes de aceptar el mandato
Antes de preparar una propuesta analizamos la entidad que decide los fines y medios, el papel de posibles encargados, los mercados objetivo, las categorías de datos, el volumen, los canales de contacto, los proveedores y la forma en que se gestionan derechos y reclamaciones.
- País de constitución y ausencia o existencia de establecimiento en la Unión.
- Usuarios, clientes y mercados a los que se dirige el producto.
- Registro, contratación, analítica, publicidad, soporte y otros puntos de recogida de datos.
- Tipo de datos, escala, duración, riesgo y posible tratamiento de categorías especiales.
- Política de privacidad, información del representante y canales de contacto publicados.
- Contratos con proveedores, subencargados y transferencias internacionales.
Qué puede incluir el servicio de representación
Mandato escrito
Definición del responsable o encargado, tratamientos cubiertos, alcance de la representación, contactos, plazos y escalado.
Canal operativo
Recepción y canalización de solicitudes de derechos, consultas de interesados y comunicaciones de autoridades.
Coordinación de cumplimiento
Conexión con privacidad, contratos, gestión de incidentes, registro de actividades y revisión de proveedores.
El representante puede actuar junto al responsable o encargado, o en su lugar, en las cuestiones cubiertas por el mandato. Eso no significa que asuma automáticamente los fines y medios del tratamiento ni la responsabilidad general de la empresa. El acuerdo debe dejar claro qué se incluye, qué no se incluye y qué debe aportar el cliente para que la respuesta sea posible.
Representante RGPD, DPO o filial europea: no son lo mismo
| Figura | Finalidad | Qué no resuelve por sí sola |
|---|---|---|
| Representante del artículo 27 | Punto de contacto designado por escrito para determinados responsables o encargados no establecidos en la UE. | No elimina la responsabilidad del cliente ni convierte el mandato en una filial. |
| DPO o DPD | Asesoramiento, supervisión y cooperación con independencia conforme a los artículos 37 a 39. | No es un sustituto automático del representante; el EDPB advierte de la incompatibilidad entre ambas funciones en ciertos supuestos. |
| Filial o establecimiento | Presencia empresarial propia con funciones, personal, contratos y decisiones en la Unión. | No es necesaria únicamente por designar un representante. |
El representante no sustituye las transferencias internacionales
Una empresa estadounidense o de otro tercer país puede necesitar representante y, además, tener que analizar transferencias internacionales. El mandato del artículo 27 no autoriza por sí solo a enviar datos a un proveedor fuera del Espacio Económico Europeo. Hay que revisar decisiones de adecuación, garantías aplicables, cláusulas contractuales, medidas complementarias y el contexto del tratamiento cuando corresponda.
Checklist para una empresa extranjera
- Identificar si la empresa tiene establecimiento en la Unión.
- Mapear usuarios o clientes que se encuentran en la UE.
- Documentar si existe oferta dirigida o monitorización de comportamiento.
- Valorar las excepciones del artículo 27.2 con hechos y riesgos concretos.
- Elegir un representante accesible en un Estado miembro adecuado.
- Firmar un mandato con funciones, canales, plazos y escalado.
- Actualizar política de privacidad, registros y procedimientos de derechos.
- Coordinar representante, proveedores, brechas y transferencias internacionales.
Preguntas frecuentes
¿Una LLC de Estados Unidos necesita siempre un representante RGPD?
No. Depende de si el tratamiento entra en el artículo 3.2 y de si concurren las excepciones del artículo 27.2. Una web accesible desde Europa no basta por sí sola; hay que analizar el producto y la actividad real.
¿El representante debe estar en España?
No necesariamente. El RGPD exige que esté establecido en un Estado miembro donde se encuentren las personas cuyos datos se tratan en relación con la oferta o la monitorización. España puede ser adecuada cuando el mercado español es relevante, pero el encaje debe revisarse caso por caso.
¿El representante es lo mismo que un DPO?
No. El representante es un punto de contacto bajo mandato escrito; el DPO desarrolla funciones de asesoramiento y supervisión con garantías de independencia. No conviene presentar una figura como sustituta automática de la otra.
¿Nombrar representante legaliza las transferencias a Estados Unidos?
No. La representación y las transferencias internacionales son cuestiones distintas. Los flujos de datos deben contar con su propia base y garantías conforme al capítulo V del RGPD.
Fuentes oficiales
- Reglamento (UE) 2016/679 en EUR-Lex, artículos 3, 27, 28 y considerando 80.
- EDPB, Guidelines 3/2018 sobre el ámbito territorial del RGPD, versión final tras consulta pública.
- AEPD, garantías para transferencias internacionales, consultada el 21 de octubre de 2026.
Valora tu obligación del artículo 27 RGPD
Cuéntanos dónde está establecida tu empresa, qué producto ofrece y qué personas utilizan el servicio en Europa.