GDPR 第27条要求向欧盟境内人员提供商品或服务，或监测欧盟境内人员行为的非欧盟控制者和处理者，以书面形式指定一名代表，该代表须设立于这些数据主体所在的某一欧盟成员国。该代表是监管机构和数据主体的单一联系点。

有两项狭窄的豁免：（1）偶发性、低风险且不涉及特殊类别和刑事定罪数据的处理；（2）公共机关和机构。误解这些豁免是非欧盟企业所犯的代价最高的错误。

未能指定代表是第83条第(4)款项下的第4类违规行为——罚款高达1000万欧元或全球年营业额的2%，以较高者为准。自2021年以来，多个监管机构（CNIL、汉堡数据保护机构、西班牙AEPD）已积极开展执法。

GDPR 第27条第(1)款规定：

"在第3条第(2)款适用的情况下，控制者或处理者应以书面形式指定一名在欧盟境内的代表。"

这一短句创设了一项重大的运营义务。第3条第(2)款——域外适用范围条款——在处理涉及以下情形时适用：(a) 向欧盟境内数据主体提供商品或服务，或 (b) 监测数据主体在欧盟境内的行为。

因此，代表是非欧盟处理活动的一种结构性附属：欧盟境内的信箱、联系点和问责挂钩。他们处于您的非欧盟运营与欧盟27个国家监管机构之间。

如果您符合以下全部四项条件，则需要代表：

1. 您未在欧盟设立机构（在任何欧盟成员国均无通过稳定安排实际开展活动的实体、分支机构或子公司）。
2. 您处理可识别自然人的个人数据。
3. 您要么：向欧盟境内人员提供商品或服务（付费或免费），要么监测其行为（追踪、画像、行为广告、指纹识别）。
4. 您不属于第27条第(2)款项下的豁免对象。

实践中有两点澄清至关重要：

• 定向，而非可访问性。序言第23条和欧盟法院 Pammer/Hotel Alpenhof 案明确指出，您的网站仅可供欧盟用户访问并不足够。触发第3条第(2)款(a)项的是定向行为——接受欧元、使用欧盟语言、向欧盟发货、提供欧盟支持、付费欧盟广告、欧盟引荐。
• 监测的范围比您想象的更广。序言第24条囊括了用于行为广告目的的画像、偏好预测、行为指纹识别，以及大多数区分独立用户的分析部署——即便在服务器端。

第27条第(2)款规定了两项狭窄的豁免：

3.1 偶发性、低风险、无第9/10条数据

符合以下条件的处理可获豁免：(a) 偶发性，(b) 不大规模包含第9条项下的特殊类别数据或第10条项下的刑事定罪数据，以及 (c) 考虑到性质、情境、范围和目的，不太可能对自然人的权利和自由造成风险。

三项条件必须全部满足。EDPB 第3/2018号指南对"偶发性"的解释十分严格——其指一次性或零星的活动，绝非常规业务运营。持续追踪、定期分析或任何持续的数据流动很少符合条件。

3.2 公共机关和机构

公共机关和公共机构无须指定代表。该豁免对商业企业而言鲜少适用，但与外国政府机构、中央银行和国际组织相关。

第27条第(4)款界定了代表的角色：

"代表应受控制者或处理者的委托，在控制者或处理者之外或代替其，特别是就与处理相关的一切事项接受监管机构和数据主体的联系，以确保遵守本法规。"

• 就GDPR事项担任监管机构和数据主体的单一联系点。
• 在监管机构履行其职责时与之合作（第31条）。
• 在必要时与控制者／处理者共同维护处理记录（第30条第(4)款）。
• 接收投诉、请求和数据主体访问请求，并将其适当地转交控制者以作出实质性答复。
• 不以律师的方式提供法律建议，但确保GDPR沟通渠道保持畅通。

至关重要的是，代表并非DPO的替代。这两个角色可由不同方担任，且DPO义务（第37条）由不同标准触发。

第27条第(3)款要求代表设立于正在处理其个人数据的数据主体所在的某一成员国。实践中您有一定灵活性：如果您的欧盟用户分布在多个成员国，您可以选择其监管机构最契合您运营模式的那一个。

常见选择：爱尔兰（英语国家，对科技友好）、德国（需协调的监管机构较多但严格）、荷兰（监管机构英语流利）、法国（CNIL 执法声誉强劲）以及西班牙（AEPD 执法活跃）。

具体做法：

1. 以书面形式指定。一份书面授权，载明代表权限的范围以及控制者／处理者关系。
2. 确定一个真实的法律实体。代表必须是实际的实体（自然人或法人）——而非信箱转发服务或虚拟地址。
3. 与数据主体相匹配。选择您的数据主体所在的某一欧盟成员国。
4. 分配预算。对于中小企业规模的处理者，典型的聘用费为每年3,000–15,000欧元；规模更大或风险更高的处理者支付更多。
5. 公布任命——见§7。
6. 每年更新，随着您的处理活动或覆盖范围扩大而更新。

代表的身份和联系方式必须告知数据主体（第13条第(1)款(a)项和第14条第(1)款(a)项）。具体而言，这意味着将代表的姓名、邮政地址和联系电子邮件纳入：

• 您公布的隐私政策。
• 面向客户的合同和DPA。
• 在数据收集时的直接收集告知。
• 处理记录（第30条）——应监管机构要求可供查阅。

未能公布代表本身即构成对透明度义务（第12条）的违反，须依据第83条第(4)款承担较低层级的罚款。

第27条第(5)款明确无误：指定代表不影响可针对控制者或处理者本身提起的法律诉讼。代表不对控制者的根本性违规承担责任。

然而，代表可能因其自身义务而受到执法行动——提供记录、与监管机构合作以及保持可联系。未能履行其受托职能的代表，将面临被任命控制者中止聘用以及在代表服务市场中声誉受损的风险。

未能指定代表是对第27条本身的违反——是GDPR第83条第(4)款项下的第4类违规行为。适用的罚款上限为：

• 1000万欧元，或
• 上一财政年度全球年总营业额的2%，以较高者为准。

自2021年以来执法持续稳定。值得关注的案例包括CNIL对美国广告技术公司采取的行动、汉堡对外国分析提供商的调查，以及AEPD对国际广告网络作出的裁定。即便代表的缺失并非罚款的唯一依据，它也往往预示着更广泛的合规缺口，从而加重处罚。

• 将豁免视为默认情形。许多非欧盟企业臆断其处理属于"偶发性"或"低风险"。实践中，几乎没有任何具有持续欧盟流量的企业符合条件。
• 指定律师事务所担任代表。可行，但费用高昂——律师事务所的收费是专门代表服务的数倍，且可能未做好处理大量数据主体沟通的准备。
• 指定信箱服务。其并非能够依据第27条受委托的法律实体。监管机构已驳回此类指定。
• 忘记公布。最常见的合规缺口。代表已任命，却从未出现在隐私政策或客户告知中。
• 将代表与DPO混淆。二者是不同的角色。您可能两者都需要。除非该实体同时满足DPO独立性要求，否则代表不能履行DPO职能。
• 未能续期或更新。当聘用的范围发生变化（更多司法管辖区、新产品线）时，授权必须予以修订。

UK GDPR 第27条镜像了欧盟义务，但适用于面向英国境内个人的非英国控制者和处理者。自2021年1月1日起，欧盟代表和英国代表是各自独立的角色——如果您同时面向二者，则两者都需要。

运营提示：许多企业任命一家通过协调一致的法律载体同时提供欧盟和英国代表服务的代表提供商，从而避免在违规报告、ICO/EDPB 沟通以及数据主体咨询方面的流程重复。