欧洲数据保护条例并不只适用于设立在欧洲的企业。它跟随的是数据被处理的那个人，而不是处理数据的企业所在的地址。只要您的店铺接收了欧洲人的订单，您的新闻邮件到达了欧洲的邮箱，您的应用统计了欧洲访客的行为，您就已经处在条文的适用范围之内——没有办公室，没有欧洲实体，而且通常没有人提醒过您。
谁必须指定代表，谁可以豁免
机制很简短。设立在欧盟之外的数据控制者（controller），如果为向欧盟境内的人提供商品或服务（无论收费与否）或监控其行为而处理这些人的个人数据，就必须以书面形式，在这些人所在的某个成员国指定一名设立于该国的代表。这种指定是一项委托：一份签署的文件，写明代表代您做什么，而不是在页面上加一行字。豁免是存在的，条件是处理只是偶尔发生，不大规模涉及敏感类别，且不太可能带来风险——这扇门比听上去窄得多，持续销售的店铺走不进去。
- 向欧洲地址发货的店铺。光是下单表单就足以让您落入适用范围：姓名、地址、电话号码和购买记录都是个人数据，而且它们是在向欧洲人发出要约的过程中收集的。
- 提供欧洲语言版本，并支持本地配送和支付的网站。监管机构正是依据这些迹象来认定，该要约是面向欧盟境内的人，而不只是从那里可以访问。
- 有欧洲订阅用户的新闻邮件。一份名单就是一项处理活动：要记录合法性依据，要落实撤回，要写明保存规则。
- 统计、广告和再营销代码。跨页面追踪欧洲访客，或根据其行为重建受众，就是监控——这是条文中的另一个触发情形，出口商往往忘了它，因为代码是代理公司装的。
- 账户区和售后渠道。工单、退货、保修申请以及附带的消息，构成一份客户档案：存放在某处，某人可以访问，保存一段时间——这些都必须说明。
代表实际做什么
它是一个具有法律后果的联络点。监管机构和您所持有数据的当事人，就您的处理活动的一切问题，可以在向您提出的同时或代替向您提出，直接联系这名代表。监管机构提出要求时，代表必须能提供处理活动记录——这意味着这份记录必须存在，而且必须准确，然后才会有人接受委托。它在委托范围内行事，不决定处理方式：它转达、答复、保管文件。执法行动也可以针对它，这恰恰是条文要求设立代表的原因。
代表还是数据保护官：两种不同的角色
这种混淆几乎无处不在，代价也不小，因为指定错了，两头都没有满足。数据保护官（data protection officer）是一项咨询职能，可以是内部的，也可以是外部的，只有满足特定条件才必须设置——公共机构、大规模系统性监控、大规模处理敏感类别。数据保护官必须独立，直接向最高管理层汇报，不得被指示如何履职，也不得因履职而受到处罚。代表在性质上正相反：它是在当地有委托的存在，为您行事，依指示办事，而且可以是一家公司而不是一个人。正因为它依指示办事，它就不能同时是您的数据保护官。指定了其中一个，并不免除另一个，而大多数出口商需要的是代表，不是数据保护官。
代表的名称必须出现在哪里
出现在隐私声明里，在收集数据的时刻：数据控制者以及（如适用）其代表的身份和联系方式，在第一个字段被填写之前就能看到。还要出现在网站的法律页面、处理活动记录、与您的数据处理者签订的协议，以及对行使权利的人所作的答复中。联系方式必须能用，而不是摆设：成员国境内的邮寄地址，有人读的邮箱，以及客户或监管机构能用来写信的语言。一名代表如果在委托书里有名字，却不在公开声明中出现，从外部看，就是一名不存在的代表。
为什么缺少代表是从外部最容易观察到的失误之一
不需要任何调查。隐私声明是公开的，没有指明代表这一点，投诉的客户看得到，消费者协会看得到，竞争对手看得到，对整个行业开展排查的监管机构也看得到。这个缺口还会自我加重：没有代表，就没有可以写信的地址，第一封信得不到回复，而一封没有回复的信，会把一个形式问题变成一份有过程记录的卷宗。商业上的代价比监管上的来得更早——电商平台、支付服务商和大型企业买家如今在入驻时就会要求提供代表的名称，这一栏空着，账户在任何监管机构看到您之前就卡住了。
先写好处理活动记录，再指定任何人：代表必须持有这份记录，认真的代表没有它会拒绝接受委托。然后签署一份委托书，指定一个实体而不是个人，设立在您大部分客户所在的国家，有专人查看的邮箱和真实的邮寄地址。在隐私声明（用当地语言）和网站页脚中公布其身份和联系方式，并在委托书中约定：谁转发什么给谁，谁起草答复——要在第一封信到来之前约定好，而不是在信到了之后。
到哪里自己去读
官方页面，于2026年10月15日逐一打开核对。规则变动时，跟着变的是这些网址，而不是这篇文章。