Respuesta breve: Una empresa que no está establecida en la Unión Europea puede tener que designar por escrito un representante en la UE si ofrece bienes o servicios a personas que se encuentran en la Unión o monitoriza su comportamiento. La obligación deriva del artículo 27 RGPD y no sustituye la responsabilidad de la empresa.
El artículo 27 del Reglamento General de Protección de Datos afecta especialmente a empresas tecnológicas, plataformas, comercios electrónicos, proveedores SaaS y grupos internacionales que operan con clientes o usuarios en Europa sin contar con un establecimiento propio en la Unión. La designación de un representante permite a las autoridades de protección de datos y a las personas interesadas disponer de un punto de contacto accesible.
Esta obligación no debe confundirse con tener un delegado de protección de datos (DPO), ni con abrir una filial europea. Nuestro servicio de abogados de protección de datos para empresas revisa el ámbito territorial, el mandato, la información de privacidad y la coordinación con el responsable o encargado del tratamiento.
¿Qué exige el artículo 27 RGPD?
Cuando se aplica el artículo 3.2 del RGPD, el responsable o encargado del tratamiento no establecido en la Unión debe designar por escrito un representante en la Unión. El artículo 3.2 se refiere, en particular, a dos situaciones:
- La oferta de bienes o servicios a personas que se encuentran en la Unión, aunque no se les cobre directamente.
- La monitorización del comportamiento de personas en la Unión, cuando ese comportamiento tenga lugar dentro de la Unión.
La evaluación debe hacerse sobre el tratamiento concreto. No basta con mirar el país donde está constituida la empresa: hay que analizar a quién se dirige el servicio, qué datos se tratan, cómo se configura la actividad y si existe o no un establecimiento de la empresa en la UE que determine los fines y medios del tratamiento.
¿Cuándo debe una empresa nombrar representante en la Unión?
Empresas de fuera de la UE que venden a clientes europeos
Una empresa establecida, por ejemplo, en Estados Unidos, Canadá, Australia o Asia puede quedar sometida al RGPD si dirige su oferta a personas que se encuentran en la Unión. La existencia de una web accesible desde Europa no es, por sí sola, suficiente. Deben valorarse elementos como el idioma, la moneda, la publicidad dirigida, el envío a Estados miembros, la posibilidad de contratar desde la UE o la referencia expresa a usuarios europeos.
Plataformas y servicios digitales
Un proveedor SaaS o una plataforma online puede necesitar representante si presta servicios a usuarios de la Unión desde un tercer país y trata sus datos en ese contexto. El análisis debe cubrir el registro de cuentas, la analítica, la personalización, los identificadores online, el soporte y los subencargados.
Monitorización del comportamiento
La obligación también puede aparecer cuando una empresa observa o analiza el comportamiento de personas en Europa. Son ejemplos posibles la elaboración de perfiles, la publicidad comportamental, la personalización basada en actividad, el seguimiento de navegación o la medición sistemática de usuarios. La calificación depende del tratamiento real y de su finalidad, no solo de la etiqueta comercial del producto.
¿Qué debe contener la designación?
La designación debe constar por escrito y estar respaldada por un mandato suficientemente claro. Como mínimo, conviene documentar:
- La identidad y los datos de contacto del responsable o encargado no establecido en la Unión.
- La identidad, dirección y medios de contacto del representante en la UE.
- El alcance del mandato y los tratamientos cubiertos.
- La forma de atender consultas de interesados y requerimientos de autoridades.
- Los plazos, canales y responsables para escalar incidentes, derechos y reclamaciones.
- La coordinación con el registro de actividades, las políticas de privacidad, los contratos y la gestión de brechas.
El representante debe poder ser contactado con facilidad. Sus datos deben aparecer de forma coherente en la información que se ofrece a las personas interesadas cuando resulte necesario para hacer efectivo el ejercicio de sus derechos. Una dirección meramente nominal o un buzón que nadie atiende no cumple la finalidad práctica del artículo.
Funciones del representante RGPD
El artículo 27.4 permite que las autoridades de control y los interesados se dirijan al representante, junto al responsable o encargado, o en su lugar, sobre las cuestiones relacionadas con el tratamiento. En la práctica, el mandato puede incluir:
- Recibir y canalizar solicitudes de derechos, consultas y reclamaciones.
- Cooperar con la autoridad de control cuando solicite información.
- Facilitar documentación sobre tratamientos, medidas y proveedores.
- Coordinar respuestas y evidencias con la empresa no establecida en la UE.
- Activar el circuito interno ante una brecha o un requerimiento urgente.
- Mantener trazabilidad de comunicaciones y actuaciones realizadas bajo el mandato.
El representante no decide necesariamente los fines y medios del tratamiento ni se convierte por ese solo hecho en responsable. La empresa que realiza el tratamiento mantiene su responsabilidad y obligaciones conforme al RGPD. Además, el artículo 27.5 deja claro que la designación no impide que puedan ejercitarse acciones contra el propio responsable o encargado.
Excepciones del artículo 27.2 RGPD
La obligación no se aplica cuando el tratamiento es ocasional, no incluye el tratamiento a gran escala de categorías especiales de datos del artículo 9 ni de datos relativos a condenas e infracciones penales del artículo 10, y es improbable que entrañe un riesgo para los derechos y libertades de las personas. También quedan fuera las autoridades y organismos públicos.
Estas excepciones deben documentarse con prudencia. Una empresa no debería limitarse a declarar que su actividad es ocasional sin explicar la frecuencia, el volumen, el tipo de datos, el contexto y el riesgo. Tampoco conviene confundir la ausencia de datos especialmente protegidos con la ausencia automática de obligación.
Representante RGPD y DPO: diferencias esenciales
| Representante del artículo 27 | DPO o delegado de protección de datos |
|---|---|
| Punto de contacto de ciertas empresas no establecidas en la UE. | Función de asesoramiento, supervisión y cooperación prevista en los artículos 37 a 39. |
| Se designa mediante mandato escrito conforme al artículo 27. | Se designa cuando es obligatorio o cuando la organización decide contar con él. |
| Puede atender consultas de interesados y autoridades bajo el mandato. | Debe actuar con independencia y evitar conflictos de intereses. |
| No convierte por sí mismo a la empresa en una entidad establecida en la UE. | No asume la responsabilidad del cumplimiento que corresponde a la organización. |
Checklist para empresas de fuera de la Unión
- Mapear clientes, usuarios y personas cuyos datos se tratan en la UE.
- Analizar si existe oferta dirigida o monitorización de comportamiento en Europa.
- Determinar si hay un establecimiento en la Unión y cómo afecta al análisis territorial.
- Revisar las excepciones del artículo 27.2 con una justificación documentada.
- Seleccionar un representante establecido en la UE y comprobar su accesibilidad.
- Firmar un mandato escrito con funciones, canales, plazos y escalado.
- Actualizar política de privacidad, registros, contratos y procedimientos de derechos.
- Coordinar el mandato con la gestión de brechas y las transferencias internacionales.
- Revisar periódicamente si cambian el producto, los mercados o el volumen de datos.
Preguntas frecuentes
¿Nombrar un representante crea una filial en la Unión?
No. La designación del representante no crea por sí sola un establecimiento de la empresa en la Unión ni elimina la responsabilidad del responsable o encargado.
¿El representante del artículo 27 es lo mismo que un DPO?
No. El representante es un punto de contacto para empresas no establecidas en la UE; el DPO desempeña funciones de asesoramiento y supervisión con el régimen de independencia previsto en el RGPD.
¿Basta con tener una web accesible desde España?
No necesariamente. La accesibilidad global de una web no demuestra por sí sola que exista una oferta dirigida a personas de la Unión. Deben analizarse las circunstancias concretas del servicio y del tratamiento.
Fuentes oficiales
- Reglamento (UE) 2016/679 en EUR-Lex, artículos 3, 27 y 28, consultado el 25 de septiembre de 2026.
- EDPB, Guidelines 3/2018 sobre el ámbito territorial del RGPD, apartado relativo al representante del artículo 27, consultadas el 25 de septiembre de 2026.
¿Tu empresa necesita representante RGPD en la Unión?
ScandoUp Global Legal analiza el ámbito territorial, el mandato, la información a interesados y la coordinación operativa con empresas internacionales.
Autor: Álvaro Ruipérez Candón, área de derecho digital de ScandoUp Global Legal. Contacto: arc@scandoup.com.
Actualizado el 25 de septiembre de 2026. Contenido meramente informativo; no constituye asesoramiento jurídico para un caso concreto.