Respuesta breve: Una empresa de Estados Unidos puede necesitar un representante RGPD en la Unión si ofrece servicios a personas que se encuentran en Europa o monitoriza su comportamiento. No basta con tener una web accesible desde España. Hay que analizar el producto, la contratación, los usuarios, los datos y las excepciones del artículo 27.2.
Para una LLC, una corporation o una startup estadounidense que prepara su entrada en España o en otros Estados miembros, la pregunta suele aparecer cuando el producto ya está listo: SaaS, aplicación móvil, marketplace, e-commerce, plataforma de reservas, servicios profesionales o herramienta de analítica. En ese momento conviene resolver la representación antes de lanzar campañas, cerrar contratos o publicar una política de privacidad incompleta.
ScandoUp ofrece un servicio de representante RGPD en España para empresas fuera de la UE y puede revisar si el mandato encaja con el mercado español y con la distribución real de las personas cuyos datos se tratan.
¿Vas a lanzar un producto digital en España?
Revisamos tu caso antes de que el cumplimiento se convierta en un bloqueo comercial o contractual.
Cuándo puede aplicar el artículo 27 a una empresa estadounidense
El punto de partida es el artículo 3.2 del RGPD. Si una empresa no está establecida en la Unión y sus tratamientos están relacionados con la oferta de bienes o servicios a personas que se encuentran en la Unión o con la monitorización de su comportamiento dentro de la Unión, debe analizar la designación escrita de un representante, salvo que concurra una excepción.
Vendes a clientes europeos
Admites suscripciones, pedidos, reservas, cuentas o pagos de personas localizadas en España u otros Estados miembros.
Analizas usuarios en la UE
Utilizas perfiles, personalización, publicidad comportamental, identificadores online o analítica vinculada al comportamiento.
Tu producto se adapta a Europa
Usas idioma, moneda, publicidad, soporte o condiciones específicas para captar usuarios europeos.
La mera accesibilidad internacional del sitio no es suficiente. Pero tampoco conviene reducir el análisis a si existe una oficina en Madrid o una sociedad europea. Lo relevante es el tratamiento real y los indicios que muestran a quién se dirige el servicio.
Preguntas que debe responder la LLC antes de contratar
- ¿Qué entidad decide los fines y medios del tratamiento?
- ¿Hay una entidad, trabajador o establecimiento que opere en la Unión?
- ¿Qué personas se encuentran en España o en otros Estados miembros?
- ¿El producto permite contratar, registrarse o recibir soporte desde Europa?
- ¿Se monitoriza el comportamiento mediante analítica, perfiles o publicidad?
- ¿Qué datos se tratan y con qué volumen, frecuencia y nivel de riesgo?
- ¿El tratamiento puede acogerse a la excepción del artículo 27.2?
- ¿Qué proveedores y transferencias internacionales intervienen?
Este cuestionario evita dos errores opuestos: nombrar un representante por inercia sin analizar el alcance o ignorar la obligación porque la compañía no tiene oficina física en la UE.
Qué debe preparar una empresa de Estados Unidos
1. Mapa del producto y de los tratamientos
Hay que identificar registro, onboarding, facturación, soporte, marketing, cookies, analítica, subencargados, alojamiento, herramientas de atención y cualquier tratamiento realizado en nombre de la empresa.
2. Análisis de mercado y territorialidad
Debe conservarse la explicación de por qué la oferta se dirige o no a personas en la Unión. Idioma, moneda, campañas, entregas, dominios, condiciones de venta y segmentación son elementos que deben leerse conjuntamente.
3. Mandato escrito y punto de contacto
El mandato debe identificar al representante, describir el tratamiento cubierto, establecer canales, plazos, escalado y documentación. Una dirección nominal sin un circuito de respuesta no ofrece la accesibilidad que persigue el artículo 27.
4. Política de privacidad y derechos
La información al usuario debe ser coherente con el mandato y permitir que las personas interesadas sepan a quién dirigirse. También debe existir un flujo interno para responder dentro de plazo.
¿El representante es obligatorio si la empresa ya tiene un DPO?
No necesariamente son la misma figura. El DPO tiene funciones propias de asesoramiento, supervisión y cooperación con garantías de independencia. El representante actúa como punto de contacto de determinados responsables o encargados no establecidos en la Unión bajo un mandato escrito. El EDPB considera que la función de representante no es compatible con la de DPO externo en ciertos supuestos por la diferencia entre mandato e independencia.
| Cuestión | Representante del artículo 27 | DPO o DPD |
|---|---|---|
| Quién lo necesita | Responsable o encargado no establecido en la UE cuando aplica el artículo 3.2, salvo excepciones. | Organizaciones que deben designarlo por su actividad, escala o tratamiento, o que lo contratan voluntariamente. |
| Base | Mandato escrito. | Artículos 37 a 39 y garantías de independencia. |
| Función | Interlocución con interesados y autoridades dentro del alcance pactado. | Asesoramiento, supervisión y cooperación. |
| Responsabilidad | No elimina la responsabilidad de la empresa estadounidense. | No sustituye las obligaciones generales de la organización. |
Representante y transferencias a Estados Unidos
Nombrar representante no autoriza por sí solo el acceso desde Estados Unidos a datos personales de personas en Europa. Las transferencias internacionales deben analizarse de forma separada: decisión de adecuación cuando proceda, marco aplicable, cláusulas contractuales, medidas complementarias y evaluación del contexto. La representación es una pieza del cumplimiento, no un sustituto del capítulo V del RGPD.
Checklist de lanzamiento para una empresa estadounidense
- Define la entidad responsable y los proveedores implicados.
- Documenta por qué el producto se dirige o no a la UE.
- Valora artículo 27.2 con hechos, escala y riesgo.
- Firma el mandato antes de presentar al representante en la política de privacidad.
- Prepara procedimientos para derechos, reclamaciones y autoridades.
- Revisa proveedores, DPA y transferencias internacionales.
- Establece un canal de escalado ante incidentes y cambios del producto.
Preguntas frecuentes
¿Una LLC de Carolina del Sur necesita representante RGPD?
Puede necesitarlo si ofrece servicios a personas en la UE o monitoriza su comportamiento y no concurre una excepción. La constitución en Carolina del Sur no resuelve por sí sola el análisis territorial.
¿Basta con poner un email europeo en la política de privacidad?
No siempre. El representante debe estar establecido en la Unión y existir un mandato escrito con alcance y funciones. Un email sin circuito operativo puede ser insuficiente.
¿El representante tiene que vivir en España?
No en todos los casos. El RGPD vincula el establecimiento del representante a los Estados miembros donde se encuentren las personas cuyos datos se tratan. España puede ser adecuada si el mercado español es relevante.
¿El representante arregla las transferencias entre EE. UU. y la UE?
No. Las transferencias y sus garantías deben revisarse por separado.
Fuentes oficiales
Revisa el artículo 27 antes de lanzar tu servicio
Cuéntanos dónde está constituida tu empresa y cómo funciona tu producto digital.