Kratak odgovor: GDPR se primjenjuje na svaku organizaciju širom svijeta koja obrađuje lične podatke pojedinaca koji se nalaze u EU, bez obzira na to gdje se ta organizacija nalazi. Kompanija u Kaliforniji, Singapuru ili Brazilu bez ureda u EU i dalje može biti u potpunosti podložna GDPR-u ako cilja ili prati stanovnike EU. Neusklađenost može dovesti do kazni do 20 miliona eura ili 4% globalnog godišnjeg prihoda, ovisno o tome što je veće.
Ključne spoznaje
- Ekstrateritorijalni opseg GDPR-a definiran je članom 3, koji proširuje obaveze usklađenosti na svaku organizaciju koja obrađuje podatke stanovnika EU, bez obzira na lokaciju organizacije.
- Primjenjuju se dva primarna okidača: nuđenje robe ili usluga stanovnicima EU, ili praćenje njihovog ponašanja unutar EU.
- Kazne za kršenja mogu doseći 20 miliona eura ili 4% globalnog godišnjeg prometa, a tijela za zaštitu podataka EU pokrenula su postupke izvršenja protiv kompanija izvan EU. [1][4]
- Kompanije izvan EU koje su podložne GDPR-u obično moraju imenovati predstavnika sa sjedištem u EU kao kontakt tačku za nadzorna tijela. [3]
- Međunarodni prijenosi podataka zahtijevaju odobrene mehanizme kao što su Standardne ugovorne klauzule (SCCs) ili odluke o adekvatnosti.
- GDPR je direktno utjecao na zakone poput CCPA-a, signalizirajući globalni pomak prema strožim standardima zaštite podataka. [2]
- Mala preduzeća izvan Evrope nisu automatski izuzeta; opseg i vrsta podataka određuju da li se izuzeća primjenjuju.
- Strukturiranje rukovanja podacima za usklađenost sa GDPR-om globalno je često najpraktičniji pristup za multinacionalne organizacije. [8]
Šta ekstrateritorijalni doseg znači za usklađenost sa GDPR-om
Ekstrateritorijalni doseg GDPR-a znači da se regulativa odnosi na aktivnosti obrade podataka koje se odvijaju izvan granica EU kada su u pitanju lični podaci stanovnika EU. Član 3 GDPR-a eksplicitno proširuje njegovu primjenjivost na organizacije izvan EU koje obrađuju lične podatke pojedinaca u EU, osiguravajući dosljednu zaštitu podataka bez obzira na lokaciju organizacije. [6]
Ovo je namjeran dizajnerski izbor. Stav EU je da se prava njenih stanovnika ne bi trebala smanjivati samo zato što kompanija odluči da se registruje negdje drugdje. Za globalne kompanije, to znači da usklađenost sa GDPR-om nije opcionalna samo na osnovu geografije.
Šta to znači u praksi:
- Američka e-commerce stranica koja prodaje francuskim kupcima mora biti usklađena.
- Kanadska SaaS platforma koja prati ponašanje njemačkih korisnika prilikom pregledavanja mora biti usklađena.
- Australska analitička firma koja profilira stanovnike UK mora biti usklađena.
Da li se GDPR primjenjuje na kompanije izvan EU
Da. GDPR se primjenjuje na kompanije izvan EU pod dva različita uslova utvrđena u članu 3(2): kada organizacija nudi robu ili usluge pojedincima u EU (čak i besplatne usluge), ili kada prati ponašanje pojedinaca unutar EU. [6]
Fizičko prisustvo u EU je nebitno. Kompanija bez ureda u EU, bez zaposlenih u EU i bez bankovnog računa u EU i dalje može biti u potpunosti u opsegu GDPR-a ako vodi web stranicu dostupnu korisnicima iz EU i koristi kolačiće za praćenje ili analitiku ponašanja na njima. [1]
Česta greška: Pretpostavka da je kompanija izuzeta jer ne oglašava aktivno kupcima iz EU. Ako stanovnici EU mogu pristupiti usluzi i njihovi podaci se obrađuju, pitanje usklađenosti je i dalje aktuelno.
Koje zemlje su pogođene GDPR propisima
GDPR se primjenjuje unutar 27 država članica EU plus tri zemlje EGP-a: Island, Lihtenštajn i Norveška. Nakon Brexita, UK posluje pod UK GDPR-om, gotovo identičnim okvirom, tako da se kompanije koje opslužuju stanovnike UK suočavaju sa paralelnim obavezama.
Osim geografije, doseg regulative se globalno proširuje na svaku organizaciju koja obrađuje podatke stanovnika EU/EGP-a. To znači da su kompanije u Sjedinjenim Državama, Indiji, Kini, Brazilu, Australiji i svim drugim jurisdikcijama potencijalno podložne GDPR obavezama prilikom rukovanja ličnim podacima iz EU. [4]
Kako se GDPR primjenjuje na američke kompanije koje rukuju podacima iz EU
Američke kompanije koje prikupljaju, obrađuju ili prate lične podatke pojedinaca koji se nalaze u EU podliježu GDPR-u, uključujući preduzeća bez fizičkog prisustva u EU koja se angažuju sa stanovnicima EU putem online platformi. [4]
Za američke kompanije, praktični zahtjevi usklađenosti uključuju:
- Imenovanje predstavnika u EU (osim ako se primjenjuje usko izuzeće) koji će služiti kao kontakt tačka za nadzorna tijela EU i subjekte podataka. [3]
- Uspostavljanje zakonitog osnova za obradu ličnih podataka iz EU (pristanak, legitimni interes, ugovor, itd.).
- Implementacija procesa prava subjekata podataka, uključujući rukovanje zahtjevima za pristup podacima subjekta (DSARs) u propisanom roku.
- Korištenje odobrenih mehanizama prijenosa za premještanje ličnih podataka iz EU na američke servere, kao što su Standardne ugovorne klauzule (SCCs).
Odluka Schrems II potvrdila je da američke kompanije moraju procijeniti zakone o stranom nadzoru i osigurati adekvatnu zaštitu ličnih podataka iz EU koji se prenose međunarodno. [7]
Šta pokreće usklađenost sa GDPR-om za globalna preduzeća
Dva okidača ponašanja određuju da li se organizacija izvan EU mora pridržavati GDPR-a. Prvo, nuđenje robe ili usluga stanovnicima EU, čak i besplatno. Drugo, praćenje ponašanja pojedinaca unutar EU, što uključuje kolačiće za praćenje, profiliranje ponašanja i analitiku zasnovanu na lokaciji. [6]
Pravilo odluke: Ako vaša organizacija radi nešto od sljedećeg, potrebna je usklađenost sa GDPR-om:
- Prihvata narudžbe ili registracije od korisnika sa sjedištem u EU
- Prikazuje cijene u eurima ili se poziva na promocije specifične za EU
- Koristi analitičke alate koji prate ponašanje korisnika preko IP adresa EU
- Pokreće kampanje ponovnog ciljanja koje ciljaju publiku iz EU
- Obrađuje podatke zaposlenih za osoblje sa sjedištem u EU
GDPR vs CCPA: Koji se primjenjuje na vašu kompaniju
I GDPR i CCPA se mogu primjenjivati istovremeno na istu kompaniju. GDPR se primjenjuje na osnovu lokacije subjekata podataka (stanovnici EU/EGP-a). CCPA se primjenjuje na osnovu lokacije potrošača (stanovnici Kalifornije) i da li preduzeće ispunjava određene pragove prihoda ili obima podataka.
| Kriterijum | GDPR | CCPA |
|---|---|---|
| Geografski opseg | Stanovnici EU/EGP-a globalno | Stanovnici Kalifornije |
| Prag veličine preduzeća | Nema (veličina utiče na rizik) | Prihod ili obim podataka |
| Maksimalna kazna | 20 miliona eura ili 4% globalnog prihoda | Do 7.500 dolara po namjernom kršenju |
| Model pristanka | Opt-in (općenito) | Opt-out (općenito) |
| Tijelo za izvršenje | Nacionalni DPA | California AG / CPPA |
GDPR je inspirisao slične zakone o zaštiti podataka širom svijeta, uključujući CCPA, što ukazuje na globalni pomak prema strogim standardima zaštite podataka. [2] Kompanija koja opslužuje i stanovnike EU i Kalifornije mora zadovoljiti oba okvira, što često znači izgradnju prema strožem standardu (GDPR) i njegovu široku primjenu.
Može li kompanija ignorisati GDPR ako nema urede u EU
Ne. Odsustvo ureda u EU, zaposlenih u EU ili pravnih lica u EU ne izuzima kompaniju od GDPR-a. Član 3 jasno navodi da se regulativa primjenjuje na osnovu lokacije subjekata podataka, a ne lokacije kontrolora ili obrađivača podataka. [6]
Tijela za zaštitu podataka EU pokrenula su postupke izvršenja protiv kompanija izvan EU zbog kršenja GDPR-a, demonstrirajući stvarni globalni doseg izvršenja regulative. [4] Iako je izvršenje protiv kompanije bez prisustva u EU logistički složenije, nije nemoguće, posebno kada kompanija ima kupce iz EU, prihode iz EU ili digitalnu imovinu okrenutu EU koja se može ciljati.
Šta se dešava ako prekršite GDPR kao kompanija izvan EU
Neusklađenost sa GDPR-om može rezultirati kaznama do 20 miliona eura ili 4% globalnog godišnjeg prihoda kompanije, ovisno o tome što je veće. [2] Osim finansijskih kazni, kršenja mogu rezultirati:
- Naredbama za prestanak obrade ličnih podataka iz EU (što može efikasno blokirati pristup tržištu EU)
- Obaveznim revizijama od strane nadzornih tijela
- Oštećenjem ugleda i gubitkom povjerenja kupaca
- Građanskim tužbama od strane pogođenih subjekata podataka
Za kompaniju izvan EU, put izvršenja obično ide preko imenovanog predstavnika u EU ili preko nadzornog tijela u državi članici EU gdje se nalazi većina subjekata podataka kompanije iz EU.
Kako da znam da li moje preduzeće treba da bude usklađeno sa GDPR-om
Preduzeće treba da bude usklađeno sa GDPR-om ako obrađuje lične podatke pojedinaca koji se nalaze u EU i ispunjava ili okidač "nuđenja" ili "praćenja" opisan u članu 3(2). [6]
Brza samoprocjena:
- Da li vaša web stranica ili aplikacija prihvata registracije od korisnika iz EU?
- Da li koristite kolačiće, piksele ili analitičke alate koji obrađuju podatke korisnika iz EU?
- Da li šaljete marketinške e-poruke kontaktima sa sjedištem u EU?
- Da li zapošljavate osoblje sa sjedištem u državama članicama EU?
- Da li obrađujete podatke o plaćanju od kupaca iz EU?
Ako je odgovor na bilo koje od ovih pitanja potvrdan, primjenjuju se obaveze usklađenosti sa GDPR-om. Platforma za upravljanje pristankom kao što je Biscotti CMP može pomoći organizacijama da upravljaju pristankom za kolačiće i preferencijama subjekata podataka na način usklađen sa GDPR-om na svojim digitalnim svojstvima.
Da li se GDPR primjenjuje na mala preduzeća izvan Evrope
GDPR se primjenjuje na mala preduzeća izvan Evrope ako obrađuju lične podatke stanovnika EU i ispunjavaju okidače ponašanja. Ne postoji opće izuzeće za mala preduzeća na osnovu veličine kompanije ili prihoda.
Međutim, GDPR uključuje ograničeno izuzeće od zahtjeva za imenovanje predstavnika u EU za organizacije čija je obrada povremena, ne uključuje obradu osjetljivih podataka velikih razmjera i vjerovatno neće rezultirati rizikom za prava i slobode pojedinaca. [3] Ovo je usko izuzeće, a ne opće izuzeće od usklađenosti.
Mali blog sa nekoliko pretplatnika iz EU tehnički je u opsegu, iako je prioritet izvršenja prirodno usmjeren na obrađivače podataka visokog rizika i velikog obima.
Kako strukturirati rukovanje podacima za globalnu usklađenost sa GDPR-om
Mnoge organizacije izvan EU usvojile su prakse usklađene sa GDPR-om u svim operacijama, čak i tamo gdje samo dio njihovog poslovanja uključuje građane EU, jer je izgradnja zasebnih tokova podataka po jurisdikciji operativno skupa. [8]
Praktični koraci za globalno rukovanje podacima usklađeno sa GDPR-om:
- Provedite vježbu mapiranja podataka kako biste identificirali koji se lični podaci prikupljaju, gdje se pohranjuju i kako teku kroz sisteme.
- Uspostavite zakonite osnove za svaku aktivnost obrade koja uključuje lične podatke iz EU.
- Implementirajte rješenje za upravljanje pristankom za pristanak na kolačiće i praćenje na digitalnim svojstvima.
- Kreirajte proces odgovora na DSAR kako bi stanovnici EU mogli ostvariti svoja prava (pristup, brisanje, prenosivost) u propisanim rokovima. [5]
- Izvršite Standardne ugovorne klauzule za sve međunarodne prijenose podataka u zemlje bez odluka o adekvatnosti EU. [7]
- Imenujte predstavnika u EU ako je to potrebno prema članu 27.
- Pregledajte i ažurirajte svoju politiku privatnosti kako biste ispunili zahtjeve GDPR-a za transparentnost.
- Obučite relevantno osoblje o obavezama rukovanja podacima i procedurama obavještavanja o kršenjima.
Koje su uobičajene greške koje kompanije prave sa ekstrateritorijalnim pravilima GDPR-a
Kompanije izvan EU suočavaju se sa ponavljajućim propustima u usklađenosti koji ih izlažu riziku izvršenja. [5]
- Pretpostavka da fizičko odsustvo znači pravno odsustvo: Najčešća i najskuplja greška. Opseg GDPR-a određuje se lokacijom subjekta podataka, a ne lokacijom kompanije.
- Neimenovanje predstavnika u EU: Mnoge kompanije izvan EU koje su podložne GDPR-u u potpunosti zanemaruju ovaj zahtjev.
- Oslanjanje na zastarjele mehanizme prijenosa: Nakon Schrems II, Privacy Shield je nevažeći. Kompanije koje se i dalje oslanjaju na njega nisu usklađene.
- Ignorisanje DSAR-ova od stanovnika EU: Neodgovaranje na zahtjeve subjekata podataka u propisanom roku od mjesec dana je direktno kršenje GDPR-a.
- Tretiranje pristanka kao potvrdnog okvira: Pristanak prema GDPR-u mora biti slobodno dat, specifičan, informiran i nedvosmislen. Unaprijed označeni okviri i objedinjeni pristanak nisu usklađeni.
Koja je razlika između GDPR-a i lokalnih zakona o privatnosti podataka
GDPR je sveobuhvatan okvir zasnovan na pravima koji postavlja visoku osnovu za zaštitu podataka u svim sektorima. Lokalni zakoni o privatnosti podataka, kao što su brazilski LGPD, indijski DPDP Act ili japanski APPI, dijele mnoge principe GDPR-a, ali se razlikuju po opsegu, mehanizmima izvršenja i specifičnim zahtjevima.
Ključne razlike:
- Teritorijalni opseg: GDPR se primjenjuje ekstrateritorijalno na osnovu lokacije subjekta podataka. Mnogi lokalni zakoni primjenjuju se prvenstveno unutar vlastite jurisdikcije.
- Standardi pristanka: GDPR općenito zahtijeva opt-in pristanak za nebitnu obradu. Neki lokalni zakoni dozvoljavaju opt-out modele.
- Izvršenje: Struktura kazni GDPR-a (do 4% globalnog prihoda) je među najstrožim globalno. [2]
- Sektorski vs. omnibus: SAD-u nedostaje federalni omnibus zakon; sektorski zakoni (HIPAA, COPPA) koegzistiraju sa državnim zakonima poput CCPA. GDPR je jedinstvena omnibus regulativa.
Za globalne kompanije, usklađenost sa GDPR-om često služi kao de facto osnova jer ispunjavanje njegovih zahtjeva zadovoljava mnoge obaveze prema manje strogim lokalnim okvirima.
Zaključak
Ekstrateritorijalni doseg GDPR-a: zašto globalne kompanije moraju biti usklađene nije apstraktna pravna rasprava. To je operativna stvarnost koja utiče na svaku organizaciju koja obrađuje lične podatke stanovnika EU, bez obzira na to gdje je ta organizacija registrovana ili gdje joj je sjedište. Okidači usklađenosti su jasni, kazne su značajne, a izvršenje se proširilo izvan granica EU.
Akcioni koraci za 2026. godinu:
- Revidirajte svoje tokove podataka kako biste potvrdili da li se lični podaci iz EU obrađuju bilo gdje u vašim sistemima.
- Provjerite da li vaši pristanci za kolačiće i prakse praćenja ispunjavaju opt-in standard GDPR-a, koristeći usklađen alat kao što je Biscotti CMP.
- Pregledajte svoje međunarodne sporazume o prijenosu podataka i potvrdite da su SCCs na snazi tamo gdje je to potrebno.
- Imenujte predstavnika u EU ako vaša organizacija ispunjava prag.
- Uspostavite ili pregledajte svoj proces odgovora na DSAR kako biste osigurali pravovremenu usklađenost.
Izgradnja usklađenosti sa GDPR-om u globalne operacije podataka nije samo pravna obaveza; to je sve više konkurentni signal da organizacija ozbiljno shvata privatnost podataka.
FAQ
Da li se GDPR primjenjuje ako moja kompanija namjerno nema kupce iz EU? Ako stanovnici EU mogu pristupiti vašoj usluzi i njihovi podaci se obrađuju, odsustvo namjernog ciljanja vas ne izuzima automatski. Nadzorna tijela procjenjuju stvarne tokove podataka, a ne marketinšku namjeru.
Šta je predstavnik u EU prema GDPR-u? Predstavnik u EU je osoba ili organizacija osnovana u EU koja djeluje kao kontakt tačka za tijela za zaštitu podataka i subjekte podataka iz EU u ime kompanije izvan EU koja je podložna GDPR-u. [3]
Postoje li izuzeća od GDPR-a za kompanije izvan EU? Zahtjev za predstavnika u EU ima usko izuzeće za povremenu obradu niskog rizika. Međutim, ne postoji opće izuzeće od samog GDPR-a na osnovu veličine kompanije ili lokacije izvan EU.
Šta su Standardne ugovorne klauzule (SCCs)? SCCs su unaprijed odobreni ugovorni uslovi koje je izdala Evropska komisija i koji pružaju pravni mehanizam za prijenos ličnih podataka iz EU u zemlje bez odluke o adekvatnosti. [7]
Koliko dugo kompanija ima da odgovori na DSAR? Prema GDPR-u, organizacije moraju odgovoriti na Zahtjev za pristup podacima subjekta u roku od jednog kalendarskog mjeseca, produživo za dodatna dva mjeseca u složenim slučajevima uz obavještenje podnosiocu zahtjeva. [5]
Mogu li tijela za zaštitu podataka EU kazniti kompaniju sa sjedištem izvan EU? Da. Iako je izvršenje složenije za kompanije bez prisustva u EU, DPA su pokrenule postupke protiv kompanija izvan EU, posebno onih sa uslugama okrenutim EU ili tokovima prihoda iz EU. [4]
Da li je usklađenost sa GDPR-om jednokratni projekat? Ne. Usklađenost sa GDPR-om je stalna obaveza. Tokovi podataka se mijenjaju, uvode se nove aktivnosti obrade, a regulatorne smjernice se razvijaju. Potrebne su redovne revizije i ažuriranja.
Koja je razlika između kontrolora podataka i obrađivača podataka prema GDPR-u? Kontrolor podataka određuje svrhe i sredstva obrade ličnih podataka. Obrađivač podataka obrađuje podatke u ime kontrolora. Oboje mogu imati obaveze prema GDPR-u, a entiteti izvan EU mogu biti i jedno i drugo.
Interaktivni provjeravač usklađenosti sa GDPR-om
Reference
[1] GDPR za američke kompanije - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/eu-data-privacy-laws/gdpr-for-us-companies/?utm_source=openai
[2] Međunarodni zakoni o privatnosti podataka Prava i usklađenost - https://legalclarity.org/international-data-privacy-laws-rights-and-compliance/?utm_source=openai
[3] Globalna regulativa o privatnosti podataka Ključna pravila i kazne - https://legalclarity.org/global-data-privacy-regulation-key-rules-and-penalties/?utm_source=openai
[4] Usklađenost sa GDPR-om za američke kompanije - https://www.igdpr.eu/en/gdpr-compliance-for-us-companies/?utm_source=openai
[5] Procjena uticaja GDPR-a na usklađenost sa DSAR-om za kompanije izvan EU - https://www.gdpr-advisor.com/assessing-the-impact-of-gdpr-on-dsar-compliance-for-non-eu-companies/?utm_source=openai
[6] Zašto se GDPR primjenjuje izvan EU - https://www.cyberly.org/en/why-does-gdpr-apply-outside-the-eu/index.html?utm_source=openai
[7] Kako GDPR utiče na usklađenost globalne industrije - https://www.cyberly.org/en/how-does-gdpr-affect-global-industry-compliance/index.html?utm_source=openai
[8] Kako GDPR oblikuje globalne politike zaštite podataka izvan EU - https://www.gdpr-advisor.com/how-gdpr-is-shaping-global-data-protection-policies-beyond-the-eu/?utm_source=openai