GDPR dla biznesu międzynarodowego: kiedy europejskie przepisy mają zastosowanie do firmy spoza UE

Firma nie musi być zarejestrowana w Unii Europejskiej, aby podlegać GDPR. Europejskie przepisy mogą mieć zastosowanie do firmy z Gruzji, Armenii, Serbii, Wielkiej Brytanii, Stanów Zjednoczonych lub innego kraju, jeśli jej działalność jest związana z osobami znajdującymi się w UE.

Jednocześnie sam fakt, że strona internetowa jest dostępna z Europy, nie oznacza jeszcze, że firma musi spełniać wszystkie wymogi GDPR. Aby ustalić, czy Rozporządzenie ma zastosowanie, należy ocenić, czy firma posiada jednostkę organizacyjną w UE, czy oferuje towary lub usługi osobom znajdującym się na terytorium Unii Europejskiej oraz czy monitoruje ich zachowanie.

Podstawowe kryteria terytorialnego zakresu stosowania określono w artykule 3 GDPR.

Firma posiada jednostkę organizacyjną w Unii Europejskiej

GDPR ma zastosowanie, jeżeli przetwarzanie danych osobowych odbywa się w związku z działalnością przedstawicielstwa, oddziału, biura lub innej stałej jednostki organizacyjnej firmy w UE.

Forma prawna obecności nie ma decydującego znaczenia. Ważne jest, czy firma prowadzi rzeczywistą i stabilną działalność na terytorium Unii Europejskiej. Znaczenie mogą mieć na przykład lokalne biuro, zespół sprzedaży, pracownicy lub jednostka wspierająca działalność na rynku europejskim.

Serwery i główny zespół mogą przy tym znajdować się poza UE. Jeżeli przetwarzanie danych odbywa się w kontekście działalności europejskiej jednostki organizacyjnej, GDPR nadal może mieć zastosowanie.

Firma oferuje towary lub usługi osobom w UE

GDPR ma zastosowanie do zagranicznego biznesu, jeżeli celowo oferuje towary lub usługi osobom znajdującym się w Unii Europejskiej. Nie ma znaczenia, czy są one odpłatne, czy bezpłatne. Nie ma również znaczenia, czy doszło już do rzeczywistej sprzedaży w UE — wystarczające mogą być działania ukierunkowane na pozyskiwanie użytkowników z UE.

O zamiarze działania na rynku europejskim mogą świadczyć:

• reklamy skierowane do konkretnych krajów UE;
• wersje strony internetowej w językach państw europejskich;
• możliwość płatności w euro lub innej lokalnej walucie;
• dostawa do krajów Unii Europejskiej;
• wzmianki o europejskich klientach;
• odrębne taryfy lub warunki dla użytkowników z UE;
• korzystanie z domeny powiązanej z państwem Unii Europejskiej.

Żadna z tych przesłanek sama w sobie nie stanowi bezwarunkowego dowodu. Oceniany jest cały model działalności firmy.

Na przykład, jeżeli serwis internetowy z Armenii prowadzi kampanię reklamową w Niemczech, oferuje niemiecką wersję interfejsu i umożliwia rejestrację użytkownikom z Niemiec, GDPR będzie miało zastosowanie do przetwarzania ich danych.

Firma monitoruje zachowanie osób w UE

Europejskie przepisy mogą mieć również zastosowanie, jeżeli zagraniczna firma zbiera informacje o zachowaniu osób znajdujących się w UE, a zachowanie to ma miejsce na terytorium Unii Europejskiej.

Monitorowanie może obejmować śledzenie działań na stronie internetowej, tworzenie profili użytkowników, analizę zainteresowań, personalizację reklam, ocenę zachowania oraz przewidywanie preferencji. Samo korzystanie z narzędzia analitycznego nie zawsze oznacza jeszcze monitorowanie w rozumieniu GDPR. Należy uwzględnić, jakie dane są zbierane, czy są powiązane z konkretnym użytkownikiem oraz do jakich celów wykorzystywane są uzyskane informacje.

Co samo w sobie nie powoduje stosowania GDPR

Strona internetowa jest dostępna z krajów UE

Sama dostępność strony internetowej dla europejskiego użytkownika nie jest wystarczająca. W przeciwnym razie GDPR automatycznie miałoby zastosowanie do niemal każdego międzynarodowego serwisu internetowego.

Muszą występować przesłanki wskazujące, że firma kieruje swoją działalność do osób w UE lub monitoruje ich zachowanie.

Firma korzysta z języka angielskiego

Język angielski jest używany w wielu krajach i sam w sobie nie świadczy o zamiarze działania na rynku Unii Europejskiej. Sytuacja może wyglądać inaczej, jeżeli firma korzysta z języka konkretnego państwa UE w połączeniu z lokalną walutą, reklamą i specjalnymi warunkami.

W bazie znajdują się dane obywatela UE

GDPR chroni nie tylko obywateli Unii Europejskiej. Przy stosowaniu kryterium oferowania usług lub monitorowania istotne jest to, gdzie dana osoba znajduje się w odpowiednim momencie, a nie jaki posiada paszport.

Dlatego na przykład, jeżeli prowadzisz działalność turystyczną w Gruzji, samo posiadanie danych obywatela Francji, który kupił u Ciebie wycieczkę, nie powoduje automatycznie zastosowania GDPR. I odwrotnie — GDPR chroni osobę nieposiadającą obywatelstwa UE, jeżeli znajduje się ona na terytorium Unii Europejskiej.

GDPR nie ma również zastosowania wyłącznie z tego powodu, że doszło do przypadkowego zakupu przez rezydenta UE. Na przykład, jeśli prowadzisz serbski sklep internetowy, nie reklamujesz swoich usług w UE, nie posiadasz innych wersji językowych poza angielską, serbską i rosyjską, ceny podajesz w serbskich dinarach i dolarach, a produkt z dostawą kupuje u Ciebie rezydent Polski, GDPR nie będzie miało do Ciebie zastosowania, ponieważ nie kierowałeś swojej działalności specjalnie do konsumentów w UE.

Jak ustalić, czy firma jest ukierunkowana na rynek europejski

Należy oceniać nie tylko stronę internetową, ale całą działalność firmy. Warto sprawdzić, skąd pochodzą użytkownicy, na jakie kraje kierowane są reklamy, jakie języki i waluty są dostępne, czy umowy przewidują współpracę z europejskimi klientami oraz czy firma zapewnia dostawę lub wsparcie w UE.

Przyjrzyjmy się kilku sytuacjom:

Serwis jest dostępny na całym świecie, ale nie jest promowany w UE. Na stronie nie ma zlokalizowanych wersji, płatności w europejskich walutach ani reklam skierowanych do krajów Unii Europejskiej. Sama techniczna dostępność zazwyczaj nie wystarcza do spełnienia kryterium oferowania usług.

Platforma internetowa celowo działa z użytkownikami z UE. Firma prowadzi kampanie reklamowe we Francji i Hiszpanii, tłumaczy interfejs oraz przyjmuje płatności w euro. Taka działalność wskazuje na zamiar oferowania usług osobom w Unii Europejskiej.

Firma wykorzystuje dane do reklamy behawioralnej. Użytkownicy z UE są śledzeni na różnych stronach, dzieleni na segmenty, a następnie wyświetlane są im spersonalizowane reklamy. Takie przetwarzanie może zostać uznane za monitorowanie zachowania.

Firma współpracuje z europejskimi klientami korporacyjnymi. Sama umowa ze spółką z UE nie zawsze oznacza bezpośrednie stosowanie GDPR do całej działalności zagranicznego dostawcy. Europejski klient może jednak przekazywać mu dane osobowe pracowników lub użytkowników i wymagać zawarcia DPA, przestrzegania zasad bezpieczeństwa oraz zgodnego z prawem uregulowania międzynarodowego przekazywania danych.

Jakie obowiązki powstają po stronie firmy

Jeżeli GDPR ma zastosowanie, samo zamieszczenie Privacy Policy nie wystarczy. Firma musi zorganizować cały proces przetwarzania danych osobowych.

Najpierw należy ustalić, jakie dane są zbierane, skąd pochodzą, do jakich celów są wykorzystywane oraz komu są przekazywane. Następnie dla każdej operacji wybiera się podstawę prawną: umowę, zgodę, prawnie uzasadniony interes, wykonanie obowiązku prawnego lub inną podstawę przewidzianą w Rozporządzeniu.

Ponadto firma może być zobowiązana do:

• przekazywania użytkownikom pełnych informacji o przetwarzaniu;
• zorganizowania obsługi wniosków o dostęp do danych, ich sprostowanie i usunięcie;
• zawarcia DPA z wykonawcami i klientami;
• weryfikacji międzynarodowego przekazywania danych osobowych;
• prowadzenia rejestru czynności przetwarzania;
• wdrożenia technicznych i organizacyjnych środków bezpieczeństwa;
• ustalenia procedury postępowania w przypadku naruszenia ochrony danych;
• przeprowadzenia DPIA dla przetwarzania wiążącego się z podwyższonym ryzykiem;
• wyznaczenia inspektora ochrony danych (DPO), jeżeli wymagają tego charakter i skala działalności.

Konkretny zestaw dokumentów i procedur zależy od roli firmy, kategorii danych, wykorzystywanych usług oraz ryzyka dla użytkowników.

Kiedy potrzebny jest przedstawiciel w Unii Europejskiej

Firma, która nie posiada jednostki organizacyjnej w UE, ale podlega GDPR ze względu na oferowanie towarów lub usług albo monitorowanie zachowania, co do zasady musi wyznaczyć przedstawiciela w Unii Europejskiej.

Przedstawiciel pełni funkcję punktu kontaktowego dla użytkowników oraz europejskich organów nadzorczych. Powinien mieć siedzibę w jednym z państw, w których znajdują się osoby, których dane firma przetwarza. Wyjątek może mieć zastosowanie, jeżeli przetwarzanie ma charakter sporadyczny, nie obejmuje przetwarzania na dużą skalę danych wrażliwych i z małym prawdopodobieństwem powoduje ryzyko naruszenia praw lub wolności osób fizycznych.

Przedstawiciela nie należy mylić z DPO. Przedstawiciel zapewnia komunikację firmy z użytkownikami i organami UE, natomiast DPO nadzoruje kwestie ochrony danych wewnątrz organizacji. Są to różne funkcje i w niektórych przypadkach firma może potrzebować obu specjalistów.

Co powinien sprawdzić międzynarodowy biznes

Na początku należy odpowiedzieć na cztery pytania.

1. Czy firma posiada stałą obecność w UE? Należy uwzględnić nie tylko zarejestrowane oddziały, lecz także faktyczną działalność lokalnych pracowników i jednostek organizacyjnych.
2. Czy produkt jest skierowany do osób w Unii Europejskiej? Analizuje się reklamę, języki, waluty, warunki sprzedaży oraz geografię użytkowników.
3. Czy firma monitoruje ich zachowanie? Należy sprawdzić narzędzia analityczne, reklamowe, profilowanie oraz personalizację.
4. Jaką rolę pełni firma przy przetwarzaniu danych? Może samodzielnie określać cele przetwarzania, działać na zlecenie klienta lub wspólnie z innym podmiotem podejmować decyzje dotyczące przetwarzania.

Odpowiedzi pozwalają określić, czy GDPR ma zastosowanie, jakie dokumenty są potrzebne oraz czy wymagane jest wyznaczenie przedstawiciela w UE.