Stručná odpověď: GDPR se vztahuje na jakoukoli organizaci po celém světě, která zpracovává osobní údaje jednotlivců nacházejících se v EU, bez ohledu na to, kde je tato organizace usazena. Společnost v Kalifornii, Singapuru nebo Brazílii bez kanceláře v EU může být stále plně podřízena GDPR, pokud cílí na rezidenty EU nebo monitoruje jejich chování. Nedodržení může vést k pokutám až do výše 20 milionů EUR nebo 4 % celkového ročního obratu, podle toho, která částka je vyšší.
Klíčové poznatky
- Extrateritoriální působnost GDPR je definována článkem 3, který rozšiřuje povinnosti dodržování na jakoukoli organizaci zpracovávající údaje rezidentů EU, bez ohledu na umístění organizace.
- Platí dva hlavní spouštěče: nabízení zboží nebo služeb rezidentům EU nebo monitorování jejich chování v rámci EU.
- Pokuty za porušení mohou dosáhnout 20 milionů EUR nebo 4 % celkového ročního obratu, a orgány pro ochranu osobních údajů v EU již zahájily donucovací opatření proti společnostem mimo EU. [1][4]
- Společnosti mimo EU podléhající GDPR musí obvykle jmenovat zástupce se sídlem v EU jako kontaktní místo pro dozorové úřady. [3]
- Mezinárodní přenosy dat vyžadují schválené mechanismy, jako jsou Standardní smluvní doložky (SCCs) nebo rozhodnutí o odpovídající ochraně.
- GDPR přímo ovlivnilo zákony jako CCPA, což signalizuje globální posun k přísnějším standardům ochrany dat. [2]
- Malé podniky mimo Evropu nejsou automaticky osvobozeny; rozsah a typ dat určují, zda se výjimky uplatní.
- Strukturování nakládání s daty pro dodržování GDPR globálně je často nejpraktičtějším přístupem pro nadnárodní organizace. [8]
Co znamená extrateritoriální dosah pro dodržování GDPR
Extrateritoriální dosah GDPR znamená, že nařízení upravuje činnosti zpracování dat, které probíhají mimo hranice EU, pokud jsou dotčeny osobní údaje rezidentů EU. Článek 3 GDPR výslovně rozšiřuje jeho použitelnost na organizace mimo EU, které zpracovávají osobní údaje jednotlivců v EU, čímž zajišťuje konzistentní ochranu dat bez ohledu na umístění organizace. [6]
Jedná se o záměrné rozhodnutí. Postoj EU je takový, že práva jejích rezidentů by se neměla snižovat jen proto, že se společnost rozhodne založit jinde. Pro globální společnosti to znamená, že dodržování GDPR není volitelné pouze na základě geografie.
Co to znamená v praxi:
- Americký e-commerce web prodávající francouzským zákazníkům musí dodržovat předpisy.
- Kanadská SaaS platforma sledující chování německých uživatelů při prohlížení musí dodržovat předpisy.
- Australská analytická firma profilující rezidenty Spojeného království musí dodržovat předpisy.
Vztahuje se GDPR na společnosti mimo EU
Ano. GDPR se vztahuje na společnosti mimo EU za dvou odlišných podmínek stanovených v článku 3(2): když organizace nabízí zboží nebo služby jednotlivcům v EU (i bezplatné služby), nebo když monitoruje chování jednotlivců v rámci EU. [6]
Fyzická přítomnost v EU je irelevantní. Společnost bez kanceláře v EU, bez zaměstnanců v EU a bez bankovního účtu v EU může stále spadat přímo do působnosti GDPR, pokud provozuje webové stránky přístupné uživatelům z EU a používá na nich sledovací cookies nebo behaviorální analýzy. [1]
Častá chyba: Předpoklad, že jelikož společnost aktivně nepropaguje své služby zákazníkům z EU, je osvobozena. Pokud rezidenti EU mohou službu využívat a jejich data jsou zpracovávána, otázka dodržování předpisů je stále aktuální.
Které země jsou ovlivněny nařízeními GDPR
GDPR platí v 27 členských státech EU plus ve třech zemích EHP: na Islandu, v Lichtenštejnsku a v Norsku. Po Brexitu Spojené království funguje pod UK GDPR, téměř identickým rámcem, takže společnosti obsluhující rezidenty Spojeného království čelí paralelním povinnostem.
Kromě geografie se působnost nařízení rozšiřuje globálně na jakoukoli organizaci, která zpracovává údaje rezidentů EU/EHP. To znamená, že společnosti ve Spojených státech, Indii, Číně, Brazílii, Austrálii a ve všech ostatních jurisdikcích jsou potenciálně podřízeny povinnostem GDPR při nakládání s osobními údaji z EU. [4]
Jak se GDPR vztahuje na americké společnosti nakládající s daty z EU
Americké společnosti, které shromažďují, zpracovávají nebo monitorují osobní údaje jednotlivců nacházejících se v EU, podléhají GDPR, včetně podniků bez fyzické přítomnosti v EU, které se zapojují s rezidenty EU prostřednictvím online platforem. [4]
Pro americké společnosti praktické požadavky na dodržování zahrnují:
- Jmenování zástupce v EU (pokud se neuplatní úzká výjimka), který bude sloužit jako kontaktní místo pro dozorové úřady EU a subjekty údajů. [3]
- Stanovení právního základu pro zpracování osobních údajů z EU (souhlas, oprávněný zájem, smlouva atd.).
- Implementace procesů pro práva subjektů údajů, včetně vyřizování žádostí subjektů údajů o přístup (DSAR) v požadovaném časovém rámci.
- Používání schválených mechanismů přenosu pro přesun osobních údajů z EU na servery v USA, jako jsou Standardní smluvní doložky (SCCs).
Rozhodnutí Schrems II potvrdilo, že americké společnosti musí posoudit zákony o zahraničním dohledu a zajistit odpovídající ochranu osobních údajů z EU přenášených mezinárodně. [7]
Co spouští dodržování GDPR pro globální podniky
Dva behaviorální spouštěče určují, zda organizace mimo EU musí dodržovat GDPR. Zaprvé, nabízení zboží nebo služeb rezidentům EU, a to i bezplatně. Zadruhé, monitorování chování jednotlivců v rámci EU, což zahrnuje sledovací cookies, behaviorální profilování a analýzu založenou na poloze. [6]
Pravidlo rozhodování: Pokud vaše organizace provádí cokoli z následujícího, je vyžadováno dodržování GDPR:
- Přijímá objednávky nebo registrace od uživatelů z EU
- Zobrazuje ceny v eurech nebo odkazuje na propagační akce specifické pro EU
- Používá analytické nástroje, které sledují chování uživatelů napříč IP adresami EU
- Provozuje retargetingové kampaně zaměřené na publikum z EU
- Zpracovává údaje zaměstnanců pro zaměstnance se sídlem v EU
GDPR vs. CCPA: Který z nich se vztahuje na vaši společnost
GDPR i CCPA se mohou vztahovat současně na stejnou společnost. GDPR se uplatňuje na základě umístění subjektů údajů (rezidenti EU/EHP). CCPA se uplatňuje na základě umístění spotřebitelů (rezidenti Kalifornie) a toho, zda podnik splňuje specifické prahové hodnoty příjmů nebo objemu dat.
| Kritérion | GDPR | CCPA |
|---|---|---|
| Geografický rozsah | Rezidenti EU/EHP globálně | Rezidenti Kalifornie |
| Prahová hodnota velikosti podniku | Žádná (rozsah ovlivňuje riziko) | Příjmy nebo objem dat |
| Maximální pokuta | 20 milionů EUR nebo 4 % globálního obratu | Až 7 500 USD za úmyslné porušení |
| Model souhlasu | Opt-in (obecně) | Opt-out (obecně) |
| Donucovací orgán | Národní DPA | Kalifornský AG / CPPA |
GDPR inspirovalo podobné zákony o ochraně osobních údajů po celém světě, včetně CCPA, což naznačuje globální posun k přísným standardům ochrany osobních údajů. [2] Společnost obsluhující rezidenty EU i Kalifornie musí splňovat oba rámce, což často znamená budování na přísnějším standardu (GDPR) a jeho široké uplatnění.
Může společnost ignorovat GDPR, pokud nemá kanceláře v EU
Ne. Absence kanceláří v EU, zaměstnanců v EU nebo právních subjektů v EU nezbavuje společnost povinnosti dodržovat GDPR. Článek 3 jasně stanoví, že nařízení se vztahuje na základě umístění subjektů údajů, nikoli na základě umístění správce nebo zpracovatele údajů. [6]
Orgány pro ochranu osobních údajů v EU již zahájily donucovací opatření proti společnostem mimo EU za porušení GDPR, což dokazuje skutečný globální dosah vymáhání nařízení. [4] Ačkoli je vymáhání proti společnosti s nulovou přítomností v EU logisticky složitější, není nemožné, zejména pokud má společnost zákazníky z EU, příjmy z EU nebo digitální aktiva zaměřená na EU, která mohou být cílem.
Co se stane, pokud porušíte GDPR jako společnost mimo EU
Nedodržení GDPR může vést k pokutám až do výše 20 milionů EUR nebo 4 % celkového ročního obratu společnosti, podle toho, která částka je vyšší. [2] Kromě finančních sankcí mohou porušení vést k:
- Příkazům k zastavení zpracování osobních údajů z EU (což může účinně zablokovat přístup na trh EU)
- Povinným auditům ze strany dozorových úřadů
- Poškození pověsti a ztrátě důvěry zákazníků
- Občanskoprávním nárokům od dotčených subjektů údajů
Pro společnost mimo EU se cesta vymáhání obvykle ubírá přes jmenovaného zástupce v EU nebo přes dozorový úřad v členském státě EU, kde se nachází většina subjektů údajů společnosti z EU.
Jak zjistím, zda moje firma musí dodržovat GDPR
Podnik musí dodržovat GDPR, pokud zpracovává osobní údaje jednotlivců nacházejících se v EU a splňuje buď spouštěč „nabízení“ nebo „monitorování“ popsaný v článku 3(2). [6]
Rychlé sebehodnocení:
- Přijímá vaše webová stránka nebo aplikace registrace od uživatelů z EU?
- Používáte cookies, pixely nebo analytické nástroje, které zpracovávají data uživatelů z EU?
- Posíláte marketingové e-maily kontaktům se sídlem v EU?
- Zaměstnáváte personál se sídlem v členských státech EU?
- Zpracováváte platební údaje od zákazníků z EU?
Pokud je odpověď na kteroukoli z těchto otázek ano, platí povinnosti dodržování GDPR. Platforma pro správu souhlasu, jako je Biscotti CMP, může organizacím pomoci spravovat souhlas s cookies a preference subjektů údajů způsobem, který je v souladu s GDPR, napříč jejich digitálními vlastnostmi.
Vztahuje se GDPR na malé podniky mimo Evropu
GDPR se vztahuje na malé podniky mimo Evropu, pokud zpracovávají osobní údaje rezidentů EU a splňují behaviorální spouštěče. Neexistuje žádná plošná výjimka pro malé podniky na základě velikosti společnosti nebo příjmů.
Nicméně GDPR obsahuje omezenou výjimku z požadavku na jmenování zástupce v EU pro organizace, jejichž zpracování je příležitostné, nezahrnuje rozsáhlé zpracování citlivých údajů a pravděpodobně nepovede k riziku pro práva a svobody jednotlivců. [3] Jedná se o úzkou výjimku, nikoli o obecné osvobození od dodržování předpisů.
Malý blog s několika předplatiteli z EU technicky spadá do působnosti, ačkoli priorita vymáhání je přirozeně zaměřena na zpracovatele dat s vyšším rizikem a větším objemem.
Jak strukturovat nakládání s daty pro globální dodržování GDPR
Mnoho organizací mimo EU přijalo postupy v souladu s GDPR napříč všemi operacemi, i když pouze část jejich podnikání zahrnuje občany EU, protože budování samostatných datových toků podle jurisdikce je provozně nákladné. [8]
Praktické kroky pro globální nakládání s daty v souladu s GDPR:
- Proveďte mapování dat, abyste identifikovali, jaké osobní údaje jsou shromažďovány, kde jsou uloženy a jak proudí napříč systémy.
- Stanovte právní základy pro každou činnost zpracování zahrnující osobní údaje z EU.
- Implementujte řešení pro správu souhlasu pro souhlas s cookies a sledováním na digitálních vlastnostech.
- Vytvořte proces reakce na DSAR, aby rezidenti EU mohli uplatnit svá práva (přístup, výmaz, přenositelnost) v požadovaných časových rámcích. [5]
- Uzavřete Standardní smluvní doložky pro jakékoli mezinárodní přenosy dat do zemí bez rozhodnutí EU o odpovídající ochraně. [7]
- Jmenujte zástupce v EU, pokud je to vyžadováno podle článku 27.
- Zkontrolujte a aktualizujte své zásady ochrany osobních údajů, aby splňovaly požadavky GDPR na transparentnost.
- Proškolte příslušné zaměstnance o povinnostech nakládání s daty a postupech oznamování porušení.
Jaké jsou běžné chyby, kterých se společnosti dopouštějí při extrateritoriálních pravidlech GDPR
Společnosti mimo EU se potýkají s opakovanými selháními v dodržování předpisů, která je vystavují riziku vymáhání. [5]
- Předpoklad, že fyzická nepřítomnost se rovná právní nepřítomnosti: Nejčastější a nejdražší chyba. Rozsah GDPR je určen umístěním subjektu údajů, nikoli umístěním společnosti.
- Neschopnost jmenovat zástupce v EU: Mnoho společností mimo EU podléhajících GDPR tento požadavek zcela přehlíží.
- Spoléhání se na zastaralé mechanismy přenosu: Po Schrems II je Privacy Shield neplatný. Společnosti, které se na něj stále spoléhají, nedodržují předpisy.
- Ignorování DSAR od rezidentů EU: Nereagování na žádosti subjektů údajů v požadovaném jednoměsíčním okně je přímým porušením GDPR.
- Považování souhlasu za zaškrtávací políčko: Souhlas podle GDPR musí být svobodný, konkrétní, informovaný a jednoznačný. Předem zaškrtnutá políčka a sdružený souhlas nejsou v souladu s předpisy.
Jaký je rozdíl mezi GDPR a místními zákony o ochraně osobních údajů
GDPR je komplexní rámec založený na právech, který stanovuje vysokou základní úroveň ochrany dat napříč všemi sektory. Místní zákony o ochraně osobních údajů, jako je brazilský LGPD, indický DPDP Act nebo japonský APPI, sdílejí mnoho principů GDPR, ale liší se v rozsahu, mechanismech vymáhání a specifických požadavcích.
Klíčové rozdíly:
- Územní rozsah: GDPR se uplatňuje extrateritoriálně na základě umístění subjektu údajů. Mnoho místních zákonů se uplatňuje primárně v rámci jejich vlastní jurisdikce.
- Standardy souhlasu: GDPR obecně vyžaduje souhlas typu opt-in pro nepodstatné zpracování. Některé místní zákony povolují modely opt-out.
- Vymáhání: Struktura pokut GDPR (až 4 % celkového obratu) patří mezi nejpřísnější na světě. [2]
- Sektorové vs. omnibusové: USA postrádají federální omnibusový zákon; sektorově specifické zákony (HIPAA, COPPA) koexistují se státními zákony jako CCPA. GDPR je jediné omnibusové nařízení.
Pro globální společnosti slouží dodržování GDPR často jako de facto základ, protože splnění jeho požadavků uspokojuje mnoho povinností podle méně přísných místních rámců.
Závěr
Extrateritoriální dosah GDPR: proč globální společnosti musí dodržovat předpisy, není abstraktní právní debata. Je to provozní realita, která ovlivňuje jakoukoli organizaci zpracovávající osobní údaje rezidentů EU, bez ohledu na to, kde je tato organizace založena nebo sídlí. Spouštěče dodržování jsou jasné, sankce jsou značné a vymáhání se rozšířilo i za hranice EU.
Akční další kroky pro rok 2026:
- Proveďte audit svých datových toků, abyste potvrdili, zda jsou osobní údaje z EU zpracovávány kdekoli ve vašich systémech.
- Ověřte, zda vaše postupy pro souhlas s cookies a sledování splňují standard opt-in GDPR, s použitím kompatibilního nástroje, jako je Biscotti CMP.
- Zkontrolujte své mezinárodní dohody o přenosu dat a potvrďte, že jsou SCCs zavedeny tam, kde je to vyžadováno.
- Jmenujte zástupce v EU, pokud vaše organizace splňuje prahovou hodnotu.
- Zaveďte nebo zkontrolujte svůj proces reakce na DSAR, abyste zajistili včasné dodržování.
Zavedení dodržování GDPR do globálních datových operací není jen právní povinností; stále více je to konkurenční signál, že organizace bere ochranu osobních údajů vážně.
Často kladené otázky
Platí GDPR, pokud moje společnost nemá záměrně zákazníky z EU? Pokud rezidenti EU mohou přistupovat k vaší službě a jejich data jsou zpracovávána, absence úmyslného cílení vás automaticky neosvobozuje. Dozorové úřady posuzují skutečné datové toky, nikoli marketingový záměr.
Co je zástupce v EU podle GDPR? Zástupce v EU je osoba nebo organizace usazená v EU, která jedná jako kontaktní místo pro orgány pro ochranu osobních údajů a subjekty údajů z EU jménem společnosti mimo EU, která podléhá GDPR. [3]
Existují výjimky z GDPR pro společnosti mimo EU? Požadavek na zástupce v EU má úzkou výjimku pro příležitostné zpracování s nízkým rizikem. Neexistuje však žádná plošná výjimka z dodržování GDPR samotného na základě velikosti společnosti nebo umístění mimo EU.
Co jsou Standardní smluvní doložky (SCCs)? SCCs jsou předem schválené smluvní podmínky vydané Evropskou komisí, které poskytují právní mechanismus pro přenos osobních údajů z EU do zemí bez rozhodnutí o odpovídající ochraně. [7]
Jak dlouho má společnost na odpověď na DSAR? Podle GDPR musí organizace odpovědět na žádost subjektu údajů o přístup do jednoho kalendářního měsíce, s možností prodloužení o další dva měsíce v komplexních případech s oznámením žadateli. [5]
Mohou orgány pro ochranu osobních údajů v EU pokutovat společnost se sídlem mimo EU? Ano. Ačkoli je vymáhání složitější pro společnosti bez přítomnosti v EU, DPA zahájily akce proti společnostem mimo EU, zejména těm, které mají služby zaměřené na EU nebo příjmy z EU. [4]
Je dodržování GDPR jednorázový projekt? Ne. Dodržování GDPR je průběžná povinnost. Datové toky se mění, zavádějí se nové činnosti zpracování a vyvíjí se regulační pokyny. Jsou vyžadovány pravidelné audity a aktualizace.
Jaký je rozdíl mezi správcem údajů a zpracovatelem údajů podle GDPR? Správce údajů určuje účely a prostředky zpracování osobních údajů. Zpracovatel údajů zpracovává údaje jménem správce. Oba mohou mít povinnosti podle GDPR a subjekty mimo EU mohou být buď jedním, nebo druhým.
Interaktivní kontrola dodržování GDPR
Reference
[1] GDPR Pro americké společnosti – https://www.recordinglaw.com/world-laws/world-data-privacy-laws/eu-data-privacy-laws/gdpr-for-us-companies/?utm_source=openai
[2] Mezinárodní zákony o ochraně osobních údajů Práva a dodržování – https://legalclarity.org/international-data-privacy-laws-rights-and-compliance/?utm_source=openai
[3] Klíčová pravidla a sankce globálního nařízení o ochraně osobních údajů – https://legalclarity.org/global-data-privacy-regulation-key-rules-and-penalties/?utm_source=openai
[4] Dodržování GDPR pro americké společnosti – https://www.igdpr.eu/en/gdpr-compliance-for-us-companies/?utm_source=openai
[5] Posouzení dopadu GDPR na dodržování DSAR pro společnosti mimo EU – https://www.gdpr-advisor.com/assessing-the-impact-of-gdpr-on-dsar-compliance-for-non-eu-companies/?utm_source=openai
[6] Proč se GDPR vztahuje mimo EU – https://www.cyberly.org/en/why-does-gdpr-apply-outside-the-eu/index.html?utm_source=openai
[7] Jak GDPR ovlivňuje dodržování globálního průmyslu – https://www.cyberly.org/en/how-does-gdpr-affect-global-industry-compliance/index.html?utm_source=openai
[8] Jak GDPR formuje globální politiky ochrany dat mimo EU – https://www.gdpr-advisor.com/how-gdpr-is-shaping-global-data-protection-policies-beyond-the-eu/?utm_source=openai