Azken eguneratzea: 2026ko uztailaren 7a
Erantzun azkarra: GDPRk mundu osoko edozein erakunderi aplikatzen zaio, EBn kokatutako pertsonen datu pertsonalak prozesatzen dituenari, erakunde hori non dagoen kontuan hartu gabe. Kalifornian, Singapurren edo Brasilen kokatutako enpresa batek, EBn bulegorik ez badu ere, GDPRren menpe egon daiteke erabat, baldin eta EBko egoiliarrei zuzenduta badago edo haien jarraipena egiten badu. Ez-betetzeak 20 milioi euroko isunak edo urteko diru-sarrera globalen %4koak ekar ditzake, bietatik handiena dena.
Gako-ideiak
- GDPRren irismen estralurtarra 3. artikuluak definitzen du, eta betetze-betebeharrak EBko egoiliarren datuak prozesatzen dituen edozein erakunderi zabaltzen dizkio, erakundearen kokapena edozein dela ere.
- Bi eragile nagusi aplikatzen dira: EBko egoiliarrei ondasunak edo zerbitzuak eskaintzea, edo haien portaera EBn monitorizatzea.
- Urraketen isunak 20 milioi eurora edo urteko diru-sarrera globalen %4ra iritsi daitezke, eta EBko datu-babeseko agintariek EBtik kanpoko enpresen aurkako betearazpen-ekintzak egin dituzte. [1][4]
- GDPRren menpe dauden EBtik kanpoko enpresek, oro har, EBn kokatutako ordezkari bat izendatu behar dute, gainbegiratze-agintarientzako harreman-puntu gisa. [3]
- Nazioarteko datu-transferentziek onartutako mekanismoak behar dituzte, hala nola Kontratu Klausula Estandarrak (SCCs) edo egokitasun-erabakiak.
- GDPRk zuzenean eragin du CCPA bezalako legeetan, datu-babes estandar zorrotzagoetarako mundu mailako aldaketa bat adieraziz. [2]
- Europatik kanpoko enpresa txikiak ez daude automatikoki salbuetsita; eskala eta datu motak zehazten dute salbuespenak aplikatzen diren.
- Datuen kudeaketa GDPRren betetzeko modu globalean egituratzea da, askotan, erakunde multinazionalentzako ikuspegi praktikoena. [8]
Zer esan nahi du irismen estralurtarrak GDPRren betetzearentzat
GDPRren irismen estralurtarrak esan nahi du erregelamenduak EBko mugetatik kanpo gertatzen diren datu-prozesamendu jarduerak gobernatzen dituela, EBko egoiliarren datu pertsonalak inplikatuta daudenean. GDPRren 3. artikuluak esplizituki zabaltzen du bere aplikagarritasuna EBtik kanpoko erakundeetara, EBko pertsonen datu pertsonalak prozesatzen dituztenetara, datu-babes koherentea bermatuz erakundearen kokapena edozein dela ere. [6]
Hau nahita egindako diseinu-aukera bat da. EBren jarrera da bere egoiliarren eskubideak ez direla gutxitu behar, enpresa batek beste nonbait sartzea aukeratzen duelako soilik. Enpresa globalentzat, horrek esan nahi du GDPRren betetzea ez dela aukerakoa geografiaren arabera bakarrik.
Praktikan zer esan nahi duen:
- AEBetako merkataritza elektronikoko gune batek Frantziako bezeroei saltzen diena bete behar du.
- Kanadako SaaS plataforma batek Alemaniako erabiltzaileen nabigazio-portaera jarraitzen duena bete behar du.
- Australiako analisi-enpresa batek Erresuma Batuko egoiliarren profilak egiten dituena bete behar du.
GDPR aplikatzen zaie EBtik kanpoko enpresei
Bai. GDPRk EBtik kanpoko enpresei aplikatzen zaie 3(2) artikuluan ezarritako bi baldintza bereziren arabera: erakundeak ondasunak edo zerbitzuak eskaintzen dizkienean EBko pertsonei (doako zerbitzuak ere), edo EBko pertsonen portaera monitorizatzen duenean. [6]
EBn presentzia fisikoa izatea ez da garrantzitsua. EBn bulegorik, langilerik eta banku-konturik ez duen enpresa batek GDPRren esparruan sartu daiteke oraindik, baldin eta EBko erabiltzaileek eskura dezaketen webgune bat badu eta haietan jarraipen-cookieak edo portaera-analitikak erabiltzen baditu. [1]
Akats arrunta: Enpresa batek EBko bezeroei aktiboki merkaturatzen ez dienez, salbuetsita dagoela pentsatzea. EBko egoiliarrek zerbitzua eskura dezakete eta haien datuak prozesatzen badira, betetze-galdera oraindik bizirik dago.
Zein herrialderi eragiten diete GDPR araudiek
GDPRk EBko 27 estatu kideetan eta EEEko hiru herrialdeetan aplikatzen da: Islandia, Liechtenstein eta Norvegia. Brexitaren ondoren, Erresuma Batuak UK GDPRren arabera funtzionatzen du, ia berdin-berdina den esparru bat, beraz, Erresuma Batuko egoiliarrei zerbitzuak eskaintzen dizkieten enpresek betebehar paraleloak dituzte.
Geografiatik haratago, erregelamenduaren irismena mundu osora zabaltzen da, EB/EEEko egoiliarren datuak prozesatzen dituen edozein erakunderi. Horrek esan nahi du Estatu Batuetan, Indian, Txinan, Brasilen, Australian eta beste edozein jurisdikziotan dauden enpresek GDPRren betebeharren menpe egon daitezkeela EBko datu pertsonalak kudeatzen dituztenean. [4]
Nola aplikatzen zaie GDPR AEBetako enpresei EBko datuak kudeatzen dituztenean
EBn kokatutako pertsonen datu pertsonalak biltzen, prozesatzen edo monitorizatzen dituzten AEBetako enpresek GDPRren menpe daude, EBn presentzia fisikorik ez duten negozioak barne, EBko egoiliarrekin lineako plataformen bidez harremanetan jartzen direnak. [4]
AEBetako enpresentzat, betetze-eskakizun praktikoak honako hauek dira:
- EBko ordezkari bat izendatzea (salbuespen estu bat aplikatzen ez bada) EBko gainbegiratze-agintarientzako eta datu-subjektuentzako harreman-puntu gisa jarduteko. [3]
- Legezko oinarri bat ezartzea EBko datu pertsonalak prozesatzeko (baimena, interes legitimoa, kontratua, etab.).
- Datu-subjektuen eskubideen prozesuak ezartzea, Datu-subjektuen Sarbide Eskaerak (DSARs) eskatutako epean kudeatzea barne.
- Onartutako transferentzia-mekanismoak erabiltzea EBko datu pertsonalak AEBetako zerbitzarietara transferitzeko, hala nola Kontratu Klausula Estandarrak (SCCs).
Schrems II epaiak indartu zuen AEBetako enpresek atzerriko zaintza-legeak ebaluatu behar dituztela eta nazioartean transferitutako EBko datu pertsonalen babes egokia bermatu behar dutela. [7]
Zer eragiten du GDPRren betetzeak negozio globalentzat
Bi portaera-eragilek zehazten dute EBtik kanpoko erakunde batek GDPR bete behar duen. Lehenik, EBko egoiliarrei ondasunak edo zerbitzuak eskaintzea, doan ere. Bigarrenik, EBko pertsonen portaera monitorizatzea, eta horrek jarraipen-cookieak, portaera-profilak eta kokapenean oinarritutako analitikak barne hartzen ditu. [6]
Erabaki-araua: Zure erakundeak honako hauetako bat egiten badu, GDPRren betetzea beharrezkoa da:
- EBn oinarritutako erabiltzaileen eskaerak edo erregistroak onartzen ditu
- Prezioak eurotan erakusten ditu edo EBko promozio espezifikoak aipatzen ditu
- EBko IP helbideetan erabiltzaileen portaera jarraitzen duten analisi-tresnak erabiltzen ditu
- EBko audientziari zuzendutako birbideratze-kanpainak egiten ditu
- EBn oinarritutako langileen datuak prozesatzen ditu
GDPR vs CCPA: Zein aplikatzen zaio zure enpresari
Bai GDPR bai CCPA aldi berean aplika daitezke enpresa berari. GDPR datu-subjektuak non dauden oinarrituta aplikatzen da (EB/EEEko egoiliarrak). CCPA kontsumitzaileak non dauden oinarrituta aplikatzen da (Kaliforniako egoiliarrak) eta negozioak diru-sarrera edo datu-bolumen atalase espezifikoak betetzen dituen.
| Irizpidea | GDPR | CCPA |
|---|---|---|
| Esparru geografikoa | EB/EEEko egoiliarrak mundu osoan | Kaliforniako egoiliarrak |
| Negozioaren tamainaren atalasea | Bat ere ez (eskala arriskuan eragiten du) | Diru-sarrera edo datu-bolumena |
| Gehienezko isuna | 20 milioi euro edo urteko diru-sarrera globalen %4 | Gehienez 7.500 $ nahita egindako urraketa bakoitzeko |
| Baimen eredua | Opt-in (oro har) | Opt-out (oro har) |
| Betearazpen-organoa | DPA nazionalak | Kaliforniako AG / CPPA |
GDPRk mundu osoko datu-babeseko lege antzekoak inspiratu ditu, CCPA barne, datu-babes estandar zorrotzetarako mundu mailako aldaketa bat adieraziz. [2] Bai EBko bai Kaliforniako egoiliarrei zerbitzuak eskaintzen dizkien enpresa batek bi esparruak bete behar ditu, eta horrek askotan estandar zorrotzagoa (GDPR) eraikitzea eta zabalki aplikatzea esan nahi du.
Enpresa batek GDPR ez ikusi egin al dezake EBn bulegorik ez badu
Ez. EBn bulegorik, EBko langilerik edo EBko entitate juridikorik ez izateak ez du enpresa bat GDPRtik salbuesten. 3. artikuluak argi uzten du erregelamendua datu-subjektuen kokapenaren arabera aplikatzen dela, ez datu-kontrolatzailearen edo prozesadorearen kokapenaren arabera. [6]
EBko datu-babeseko agintariek EBtik kanpoko enpresen aurkako betearazpen-ekintzak egin dituzte GDPRren urraketengatik, erregelamenduaren benetako betearazpen-irismen globala erakutsiz. [4] EBn presentzia zero duen enpresa baten aurkako betearazpena logistikoki konplexuagoa den arren, ez da ezinezkoa, batez ere enpresak EBko bezeroak, EBko diru-sarrerak edo EBri begira dauden aktibo digitalak dituenean, helburu izan daitezkeenak.
Zer gertatzen da EBtik kanpoko enpresa gisa GDPR urratzen baduzu
GDPR ez betetzeak 20 milioi euroko isunak edo enpresaren urteko diru-sarrera globalen %4koak ekar ditzake, bietatik handiena dena. [2] Zigor ekonomikoetatik haratago, urraketek honako hauek ekar ditzakete:
- EBko datu pertsonalak prozesatzeari uzteko aginduak (eta horrek EBko merkaturako sarbidea eragotzi dezake)
- Gainbegiratze-agintariek egindako derrigorrezko auditoriak
- Ospe-kaltea eta bezeroen konfiantza galtzea
- Kaltetutako datu-subjektuen erreklamazio zibilak
EBtik kanpoko enpresa baten kasuan, betearazpen-bidea, oro har, izendatutako EBko ordezkariaren bidez edo enpresaren EBko datu-subjektu gehienak kokatuta dauden EBko estatu kideko gainbegiratze-agintaritzaren bidez egiten da.
Nola jakin dezaket nire negozioak GDPR bete behar duen
Negozio batek GDPR bete behar du, baldin eta EBn kokatutako pertsonen datu pertsonalak prozesatzen baditu eta 3(2) artikuluan deskribatutako "eskaintza" edo "monitorizazio" eragileetako bat betetzen badu. [6]
Autoebaluazio azkarra:
- Zure webguneak edo aplikazioak EBko erabiltzaileen erregistroak onartzen al ditu?
- Cookieak, pixelak edo analisi-tresnak erabiltzen al dituzu EBko erabiltzaileen datuak prozesatzen dituztenak?
- Marketing-mezu elektronikoak bidaltzen al dituzu EBn oinarritutako kontaktuei?
- EBko estatu kideetan oinarritutako langileak enplegatzen al dituzu?
- EBko bezeroen ordainketa-datuak prozesatzen al dituzu?
Horietako edozeini baietz erantzuten bazaio, GDPRren betetze-betebeharrak aplikatzen dira. Biscotti CMP bezalako baimen-kudeaketa plataforma batek erakundeei cookie-baimena eta datu-subjektuen hobespenak kudeatzen lagun diezaieke, GDPRrekin bat etorriz, beren propietate digitaletan.
GDPR aplikatzen zaie Europatik kanpoko enpresa txikiei
GDPRk Europatik kanpoko enpresa txikiei aplikatzen zaie, baldin eta EBko egoiliarren datu pertsonalak prozesatzen badituzte eta portaera-eragileak betetzen badituzte. Ez dago enpresa txikientzako salbuespen orokorrik enpresaren tamainaren edo diru-sarreren arabera.
Hala ere, GDPRk salbuespen mugatu bat barne hartzen du EBko ordezkaria izendatzeko eskakizunetik, prozesamendua noizbehinkakoa den, datu sentikorren eskala handiko prozesamendua barne hartzen ez duen eta pertsonen eskubide eta askatasunentzako arriskua sortzeko aukera gutxi duen erakundeentzat. [3] Hau salbuespen estu bat da, ez betetzearen salbuespen orokor bat.
EBko harpidedun gutxi dituen blog txiki bat teknikoki esparruan dago, nahiz eta betearazpen-lehentasuna, naturalki, arrisku handiagoko eta bolumen handiagoko datu-prozesadoreetara zuzentzen den.
Nola egituratu datuen kudeaketa GDPRrekin mundu osoan betetzeko
EBtik kanpoko erakunde askok GDPRrekin bat datozen praktikak hartu dituzte operazio guztietan, nahiz eta beren negozioaren zati batek EBko herritarrak inplikatu, jurisdikzioaren arabera datu-hodi bereiziak eraikitzea operatiboki garestia delako. [8]
GDPRrekin bat datozen datuen kudeaketa globalerako urrats praktikoak:
- Datuen mapaketa-ariketa bat egitea zer datu pertsonal biltzen diren, non gordetzen diren eta sistemetan nola mugitzen diren identifikatzeko.
- Legezko oinarriak ezartzea EBko datu pertsonalak inplikatzen dituen prozesamendu-jarduera bakoitzerako.
- Baimen-kudeaketa irtenbide bat ezartzea cookie eta jarraipen-baimenerako propietate digitaletan.
- DSAR erantzun-prozesu bat sortzea EBko egoiliarrek beren eskubideak (sarbidea, ezabaketa, eramangarritasuna) eskatutako epeetan gauzatu ahal izateko. [5]
- Kontratu Klausula Estandarrak exekutatzea EBko egokitasun-erabakirik ez duten herrialdeetara nazioarteko datu-transferentziak egiteko. [7]
- EBko ordezkari bat izendatzea 27. artikuluaren arabera beharrezkoa bada.
- Zure pribatutasun-politika berrikustea eta eguneratzea GDPRren gardentasun-eskakizunak betetzeko.
- Langile garrantzitsuak trebatzea datuen kudeaketa-betebeharrei eta urraketa-jakinarazpen-prozedurei buruz.
Zein dira enpresek GDPRren irismen estralurtarraren arauekin egiten dituzten akats arruntak
EBtik kanpoko enpresek betetze-akats errepikakorrak izaten dituzte, eta horrek betearazpen-arriskua eragiten die. [5]
- Presentzia fisikorik ez izatea legezko absentziarekin parekatzea: Akats ohikoena eta garestiena. GDPRren esparrua datu-subjektuaren kokapenaren arabera zehazten da, ez enpresaren kokapenaren arabera.
- EBko ordezkari bat izendatu ez izatea: GDPRren menpe dauden EBtik kanpoko enpresa askok eskakizun hau erabat ahazten dute.
- Transferentzia-mekanismo zaharkituetan oinarritzea: Schrems II ondoren, Privacy Shield baliogabea da. Oraindik horretan oinarritzen diren enpresak ez dira betetzen.
- EBko egoiliarren DSARak ez ikusi egitea: Datu-subjektuen eskaerei hilabeteko epean erantzun ez izatea GDPRren urraketa zuzena da.
- Baimena kontrol-lauki gisa tratatzea: GDPRren arabera, baimena libreki emana, espezifikoa, informatua eta anbiguoa izan behar da. Aurrez markatutako laukiak eta baimen-sortuak ez dira betetzen.
Zein da GDPRren eta tokiko datu-pribatutasun-legeen arteko aldea
GDPR esparru integral eta eskubideetan oinarritutako bat da, datu-babeserako oinarri altu bat ezartzen duena sektore guztietan. Tokiko datu-pribatutasun-legeek, hala nola Brasilgo LGPDk, Indiako DPDP Legeak edo Japoniako APPIk, GDPRren printzipio asko partekatzen dituzte, baina esparruan, betearazpen-mekanismoetan eta eskakizun espezifikoetan desberdinak dira.
Desberdintasun nagusiak:
- Esparru lurraldekoa: GDPR estralurtarrez aplikatzen da datu-subjektuaren kokapenaren arabera. Tokiko lege asko, batez ere, beren jurisdikzioan aplikatzen dira.
- Baimen-estandarrak: GDPRk, oro har, opt-in baimena eskatzen du funtsezkoak ez diren prozesamenduetarako. Tokiko lege batzuek opt-out ereduak onartzen dituzte.
- Betearazpena: GDPRren isun-egitura (urteko diru-sarrera globalen %4ra arte) mundu osoko larrienen artean dago. [2]
- Sektoriala vs. omnibus: AEBek ez dute omnibus lege federalik; sektoreko lege espezifikoak (HIPAA, COPPA) estatuko legeekin (CCPA bezalakoak) batera existitzen dira. GDPR omnibus erregelamendu bakarra da.
Enpresa globalentzat, GDPRren betetzea, askotan, de facto oinarri gisa balio du, bere eskakizunak betetzeak tokiko esparru ez hain zorrotzen arabera betebehar asko betetzen dituelako.
Ondorioa
GDPRren irismen estralurtarra: zergatik bete behar dute enpresa globalek ez da eztabaida juridiko abstraktu bat. Errealitate operatibo bat da, EBko egoiliarren datu pertsonalak prozesatzen dituen edozein erakunderi eragiten diona, erakunde hori non dagoen edo non duen egoitza nagusia kontuan hartu gabe. Betetze-eragileak argiak dira, zigorrak handiak dira, eta betearazpena EBko mugetatik haratago zabaldu da.
2026rako hurrengo urratsak:
- Zure datu-fluxuak auditatu, EBko datu pertsonalak zure sistemetan prozesatzen diren ala ez baieztatzeko.
- Egiaztatu zure cookie-baimena eta jarraipen-praktikak GDPRren opt-in estandarra betetzen dutela, Biscotti CMP bezalako tresna bat erabiliz.
- Berrikusi zure nazioarteko datu-transferentzia-akordioak eta baieztatu SCCak daudela beharrezkoa den lekuan.
- EBko ordezkari bat izendatu zure erakundeak atalasea betetzen badu.
- DSAR erantzun-prozesua ezarri edo berrikusi, garaiz betetzea bermatzeko.
GDPRren betetzea datu-operazio globaletan integratzea ez da soilik legezko betebehar bat; gero eta gehiago, erakunde batek datu-pribatutasuna serio hartzen duela adierazten duen seinale lehiakor bat da.
Ohiko galderak
GDPR aplikatzen al da nire enpresak nahita EBko bezeroak ez baditu? EBko egoiliarrek zure zerbitzua eskura dezakete eta haien datuak prozesatzen badira, nahita zuzendu ez izateak ez zaitu automatikoki salbuesten. Gainbegiratze-agintariek benetako datu-fluxuak ebaluatzen dituzte, ez marketing-asmoa.
Zer da EBko ordezkari bat GDPRren arabera? EBko ordezkari bat EBn ezarritako pertsona edo erakunde bat da, datu-babeseko agintarientzako eta EBko datu-subjektuentzako harreman-puntu gisa jarduten duena, GDPRren menpe dagoen EBtik kanpoko enpresa baten izenean. [3]
Ba al dago GDPRtik salbuespenik EBtik kanpoko enpresentzat? EBko ordezkariaren eskakizunak salbuespen estu bat du noizbehinkako eta arrisku txikiko prozesamendurako. Hala ere, ez dago GDPRren betetzearen salbuespen orokorrik enpresaren tamainaren edo EBtik kanpoko kokapenaren arabera.
Zer dira Kontratu Klausula Estandarrak (SCCs)? SCCak Europako Batzordeak emandako aurrez onartutako kontratu-baldintzak dira, eta mekanismo juridiko bat eskaintzen dute EBtik datu pertsonalak egokitasun-erabakirik ez duten herrialdeetara transferitzeko. [7]
Zenbat denbora du enpresa batek DSAR bati erantzuteko? GDPRren arabera, erakundeek Datu-subjektuaren Sarbide Eskaera bati hilabeteko epean erantzun behar diote, eta bi hilabete gehiagoz luzatu daiteke kasu konplexuetan, eskatzaileari jakinaraziz. [5]
EBko datu-babeseko agintariek isuna jar al diezaiokete EBtik kanpo dagoen enpresa bati? Bai. Betearazpena konplexuagoa den arren EBn presentziarik ez duten enpresentzat, DPAk EBtik kanpoko enpresen aurkako ekintzak egin dituzte, batez ere EBri begira dauden zerbitzuak edo EBko diru-sarrerak dituztenak. [4]
GDPRren betetzea behin-behineko proiektu bat al da? Ez. GDPRren betetzea etengabeko betebehar bat da. Datu-fluxuak aldatu egiten dira, prozesamendu-jarduera berriak sartzen dira, eta arauzko orientabideak eboluzionatzen du. Aldizkako auditoriak eta eguneratzeak beharrezkoak dira.
Zein da datu-kontrolatzaile baten eta datu-prozesadore baten arteko aldea GDPRren arabera? Datu-kontrolatzaile batek datu pertsonalak prozesatzeko helburuak eta bitartekoak zehazten ditu. Datu-prozesadore batek datuak prozesatzen ditu kontrolatzaile baten izenean. Biek izan ditzakete GDPRren betebeharrak, eta EBtik kanpoko entitateak bietako bat izan daitezke.
GDPR betetze-egiaztatzaile interaktiboa
Erreferentziak
[1] GDPR For US Companies - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/eu-data-privacy-laws/gdpr-for-us-companies/?utm_source=openai
[2] International Data Privacy Laws Rights And Compliance - https://legalclarity.org/international-data-privacy-laws-rights-and-compliance/?utm_source=openai
[3] Global Data Privacy Regulation Key Rules And Penalties - https://legalclarity.org/global-data-privacy-regulation-key-rules-and-penalties/?utm_source=openai
[4] GDPR Compliance For US Companies - https://www.igdpr.eu/en/gdpr-compliance-for-us-companies/?utm_source=openai
[5] Assessing The Impact Of GDPR On DSAR Compliance For Non-EU Companies - https://www.gdpr-advisor.com/assessing-the-impact-of-gdpr-on-dsar-compliance-for-non-eu-companies/?utm_source=openai
[6] Why Does GDPR Apply Outside The EU - https://www.cyberly.org/en/why-does-gdpr-apply-outside-the-eu/index.html?utm_source=openai
[7] How GDPR Affects Global Industry Compliance - https://www.cyberly.org/en/how-does-gdpr-affect-global-industry-compliance/index.html?utm_source=openai
[8] How GDPR Is Shaping Global Data Protection Policies Beyond The EU - https://www.gdpr-advisor.com/how-gdpr-is-shaping-global-data-protection-policies-beyond-the-eu/?utm_source=openai