Cui i se aplică GDPR?

Analiza domeniului de aplicare teritorial al Regulamentului General privind Protecția Datelor (GDPR) relevă faptul că aplicabilitatea acestuia este definită în principal de articolul 3 (Regulamentul (UE) 2016/679). Regulamentul se aplică nu numai entităților stabilite în Uniunea Europeană (UE), ci și celor din afara UE în anumite circumstanțe specifice. Constatările pot fi rezumate astfel:

• Organizații stabilite în UE:
  Orice entitate cu o prezență fizică în UE, indiferent de locul în care are loc prelucrarea datelor, intră sub incidența GDPR dacă prelucrează datele cu caracter personal ale persoanelor care locuiesc în UE. Criteriul de „stabilire” este interpretat în sens larg, cuprinzând filiale, sucursale și chiar reprezentanți, dacă există un aranjament stabil.

• Organizații care nu sunt stabilite în UE, dar care vizează piața UE:
  GDPR se aplică atunci când organizațiile din afara UE oferă bunuri sau servicii persoanelor din UE. Intenția de a viza rezidenții UE este esențială, mai degrabă decât simpla accesibilitate a unui site web sau a unui serviciu online. Indicatorii includ oferirea de opțiuni în limba/moneda locală sau publicitatea activă către rezidenții UE.

• Monitorizarea comportamentului:
  GDPR se aplică entităților din afara UE dacă acestea monitorizează comportamentul persoanelor din interiorul UE. Exemplele includ cookie-uri de urmărire, profilarea online, serviciile de geolocalizare și publicitatea comportamentală care vizează în mod specific rezidenții UE.

• Aria de aplicare extrateritorială:
  Extrateritorialitatea GDPR îl deosebește de regimurile anterioare de protecție a datelor. Domeniul său de aplicare larg urmărește să asigure protecția datelor rezidenților UE, indiferent de locul în care are loc prelucrarea.

Observații cheie:

• Activitatea comercială nu este necesară: Orice vizare intenționată, inclusiv de către organizații necomerciale, poate declanșa aplicabilitatea GDPR.
• Monitorizarea comportamentală cuprinde atât urmărirea online, cât și offline, dacă implică rezidenți ai UE.
• Aplicarea este determinată de intenție și efect, nu doar de prezența fizică sau juridică.

În concluzie, GDPR se aplică unei game largi de organizații – atât din interiorul, cât și din afara Europei – pe baza interacțiunii acestora cu datele cu caracter personal ale persoanelor din UE. Concepția regulamentului pune accentul pe o acoperire cuprinzătoare pentru a aborda complexitatea fluxurilor globale de date.