Adostasuna eta bannerak

Zigorrak eta Lurralde Eremuak Nabigatzen: Munduko Pribatutasun Lege Zorrotzenen Begirada Bat

2026(e)ko uztailaren 7(a) · 17 min irakurri

Azken eguneratzea: 2026ko uztailaren 7a

Erantzun azkarra: Munduko pribatutasun lege zorrotzenek, EBko GDPR, Txinako PIPL eta Kaliforniako CCPA buru direla, zigor ekonomiko garrantzitsuak ezartzen dituzte eta beren irismena beren mugaz haratago hedatzen dute. Jurisdikzio horietako biztanleen datu pertsonalak biltzen edo prozesatzen dituen edozein erakundek bete behar ditu, erakunde hori fisikoki non dagoen kontuan hartu gabe. Lurralde eremua eta zigor-egiturak ulertzea da betetze-jarrera defendagarri bat eraikitzeko lehen urratsa.

Gako-ideiak

160 herrialde baino gehiagok datu pribatutasunaren legegintza integrala ezarri dute, mundu mailako betetzea oinarrizko itxaropen bihurtuz, ez salbuespen [1].
GDPRk du pribatutasun lege guztien artean zigor ekonomiko altuenak: 20 milioi euro arte edo urteko diru-sarrera globalen %4, bietatik handiena [1].
GDPRren betearazpen-isunak 7 mila milioi eurotik gorakoak izan dira betearazpena hasi zenetik, Meta, Amazon eta TikTok-en aurkako zigor garrantzitsuekin [7].
Txinako PIPL eta EBko GDPR biak estralurraldekoak dira, jurisdikzio horietako biztanleei zerbitzuak eskaintzen dizkieten atzerriko enpresek bete behar dituzte [1].
AEBek ez dute pribatutasun lege federal bateraturik; betetzea sektorearen eta estatuaren araberakoa da, Kaliforniako CCPA estatu mailako esparrurik eragingarriena izanik [2].
Lurralde eremuak zehazten du zein lege aplikatzen zaion zure negozioari; lege anitz aplika daitezke aldi berean erakunde bakar bati.
Enpresa txikiak ez daude automatikoki salbuetsita, CCPAren atalaseek eta GDPRren "establezimendu" probak tamaina askotako enpresak harrapa ditzakete.
Betetze-akats ohikoenak baimen-mekanismo desegokiak, datu-mapaketa eskasa eta mugaz gaindiko transferentzia-arauak ez ikustea dira.
Consent Management Platform (CMP) bat, hala nola Biscotti CMP, erakundeei baimen-eskakizunak hainbat esparrutan operatibizatzen lagun diezaieke.

Zeintzuk dira Munduko Pribatutasun Lege Zorrotzenak Herrialdeka

Munduko pribatutasun lege zorrotzenak EBko Datuen Babeserako Erregelamendu Orokorra (GDPR), Txinako Informazio Pertsonala Babesteko Legea (PIPL), Brasilgo Lei Geral de Proteção de Dados (LGPD) eta Kaliforniako CCPA/CPRA dira. Bakoitzak lurralde-irismen zabala eta betearazpen-hortz esanguratsuak konbinatzen ditu.

What Are the World's Strictest Privacy Laws by Country

Hona hemen esparru nagusien konparazio zehatza:

Legea	Jurisdikzioa	Gehienezko Zigorra	Estralurrekoa?	Indarrean dagoenetik
GDPR	Europar Batasuna	20 milioi euro edo diru-sarrera globalen %4	Bai	2018ko maiatza
UK GDPR	Erresuma Batua	17,5 milioi libera edo diru-sarrera globalen %4	Bai	2021eko urtarrila
PIPL	Txina	50 milioi ¥ arte edo urteko diru-sarreren %5	Bai	2021eko azaroa
CCPA/CPRA	Kalifornia, AEB	7.988 $ arte nahita egindako urraketa bakoitzeko	Mugatua	2020ko urtarrila
LGPD	Brasil	Brasilgo diru-sarreren %2 arte, 50 milioi R$ko muga	Bai	2020ko iraila

GDPRk mundu mailako erreferentzia izaten jarraitzen du. Zigor altuen, irismen zabalaren eta betearazpen aktiboaren konbinazioak nazioarteko betetze-programak eraikitzean erakunde gehienek lehenesten duten esparru bihurtzen du [1].

Nola Funtzionatzen Dute GDPR Zigorrek eta Zeintzuk Dira Zigorrak

GDPR zigorrek bi mailatako zigor-egitura dute. Maila baxuagoko urraketek, hala nola prozesatze-jardueren erregistroak ez mantentzeak, 10 milioi euro arteko isunak edo urteko diru-sarrera globalen %2 ekar ditzakete. Maila altuagoko urraketek, datu pertsonalen legez kanpoko prozesatzea edo datu-subjektuen eskubideak ez ikustea barne, 20 milioi euro arteko zigorrak edo urteko diru-sarrera globalen %4 ekar ditzakete, bietatik handiena [1].

Isunez gain, gainbegiratze-agintariek datu-prozesamenduaren gaineko debeku aldi baterako edo iraunkorrak ezar ditzakete, eta horrek, praktikan, negozio bati diru-zigorra baino kalte handiagoa egin diezaioke. Betearazpena hasi zenetik, GDPRren isun metatuak 7 mila milioi eurotik gorakoak izan dira, Meta Ireland, Amazon Luxembourg eta TikTok-en aurkako kasu garrantzitsuekin [7].

Erregulatzaileek isunak kalkulatzean kontuan hartzen dituzten faktore nagusiak:

Urraketaren izaera, larritasuna eta iraupena
Urraketa nahita edo arduragabekeriazkoa izan den
Gainbegiratze-agintariarekin lankidetza
Aurreko urraketa-historia
Kaltetutako datu pertsonalen kategoriak (osasun, finantza edo datu biometrikoek azterketa zorrotzagoa erakartzen dute)

GDPR, CCPA eta Beste Pribatutasun Erregelamenduen Arteko Aldea

GDPR eta CCPAk helburu bera dute, datu pertsonalak babestea, baina nabarmen desberdinak dira irismenean, emandako eskubideetan eta betearazpen-mekanismoetan [2].

GDPR EBko biztanleen datuak prozesatzen dituen edozein erakunderi aplikatzen zaio, enpresaren tamaina kontuan hartu gabe. Prozesatze-jarduera bakoitzerako oinarri juridiko bat eskatzen du, arrisku handiko prozesatzeetarako datuen babesaren eragin-ebaluazioak agintzen ditu, eta norbanakoei sarbide, ezabaketa, eramangarritasun eta aurka egiteko eskubideak ematen dizkie.

CCPA/CPRA irabazi-asmoko negozioei bakarrik aplikatzen zaie, gutxienez atalase hauetako bat betetzen dutenei: urteko diru-sarrera gordinak 25 milioi dolar gainditzea, Kaliforniako 100.000 kontsumitzaile edo gehiagoren datu pertsonalak urtero erostea edo saltzea, edo urteko diru-sarreren %50 edo gehiago datu pertsonalak saltzetik lortzea [2]. Gardentasunean eta uko egiteko eskubideetan gehiago zentratzen da, prozesatzerako oinarri juridiko bat eskatzean baino.

PIPL (Txina) GDPRren egitura islatzen du, baina datuen lokalizazio-eskakizun zorrotzagoak gehitzen ditu eta gobernuaren segurtasun-ebaluazioak agintzen ditu "garrantzitsuak" diren datuak atzerrira transferitu aurretik [1].

Alde praktikoa: GDPR lehenetsitako opt-in da prozesatze gehienetarako; CCPA, neurri handi batean, opt-out da. PIPLk bi ikuspegiak nahasten ditu, GDPRk ez dituen segurtasun nazionaleko geruzak gehituz.

Zer da Lurralde Eremua Pribatutasun Legean

Lurralde eremuak pribatutasun lege bat aplikatzen den mugak geografikoak definitzen ditu, eta, funtsezkoa dena, muga horietatik kanpo diharduten erakundeetara iristen den. Pribatutasun lege moderno gehienek estralurraldeko eredua hartu dute, hau da, herrialde batean presentzia fisikoa ez da jada beharrezkoa betetze-betebeharrak sortzeko.

GDPRren lurralde eremua 3. artikuluak arautzen du, eta erregelamendua EBn ezarritako edozein erakunderi aplikatzen dio, baita EBtik kanpoko erakundeei ere, baldin eta EBko biztanleei ondasunak edo zerbitzuak eskaintzen badizkiete edo haien portaera kontrolatzen badute [1]. UK GDPRk eredu bera jarraitzen du [9].

Txinako PIPL atzerriko entitateei aplikatzen zaie, baldin eta Txinako norbanakoei produktuak edo zerbitzuak eskaintzen badizkiete, Txinako norbanakoen portaera aztertzen edo ebaluatzen badute, edo aplikagarriak diren beste lege batzuetan definitutako egoeretan sartzen badira [1].

Zigorrak eta lurralde eremuak nabigatzen: munduko pribatutasun lege zorrotzenen begirada bat eredu koherente bat erakusten du: joera irismen maximoa da. Erregulatzaileek erakundeek betebeharretatik ihes egitea saihestu nahi dute, offshore-n sartuz soilik.

Nola Aplikatu Pribatutasun Legeak Beren Herrialdetik Kanpoko Enpresei

Pribatutasun legeak atzerriko enpresei aplikatzen zaizkie estralurraldeko jurisdikzio kontzeptuaren bidez. Singapurren egoitza duen enpresa batek Alemaniako kontsumitzaileei zuzendutako webgune bat kudeatzen badu eta haien helbide elektronikoak biltzen baditu, GDPRren menpe dago, EBko langile edo bulego bakar bat ere izan gabe.

Estralurraldeko aplikazioaren eragileak normalean honako hauek izaten dira:

Jurisdikzioko biztanleei aktiboki merkaturatzea (hizkuntza, moneta, tokiko ordainketa-metodoak)
Biztanleen datu pertsonalak prozesatzea, baita pasiboki ere analitiken edo cookieen bidez
Portaera kontrolatzea (portaera-publizitatea, jarraipen-pixelak)
Tokiko establezimendu bat ustiatzea, baita ordezkaritza-bulego txiki bat ere

AEBetako DOJren Datuen Segurtasun Programa, 2025eko apirilaren 8an indarrean sartuko dena, beste geruza bat gehitzen du: esportazio-kontrolak ezartzen ditu atzerriko aurkariek AEBetako datu pertsonal sentikorretara sarbidea izan ez dezaten, "kezka-herrialde" izendatuekin datu-transakzio batzuk debekatuz [5].

Akats arrunta: Enpresa batek jurisdikzio batean presentzia fisikorik ez duelako, ez duela betetze-betebeharrik han pentsatzea. Hori okerra da GDPR, PIPL, UK GDPR eta LGPDrentzat.

Zein Pribatutasun Lege da Zailena Betetzeko

GDPR da betetzeko pribatutasun lege zorrotzena, hiru arrazoirengatik: bere eskakizunen zabaltasuna, bere baimen-estandarren zorroztasuna eta EBko gainbegiratze-agintariek hartutako betearazpen-ekintzen bolumena.

GDPR betetzeko, erakundeek prozesatze-jarduera guztiak dokumentatu behar dituzte, kasu batzuetan Datuen Babeserako Ofizial bat izendatu, arrisku handiko prozesatzeetarako Datuen Babesaren Eragin-ebaluazioak egin, eta "pribatutasuna diseinuz eta lehenetsiz" ezarri sistema guztietan. GDPRren araberako baimen-estandarra, libreki emana, zehatza, informatua eta anbiguotasunik gabea, CCPAren opt-out eredua baino askoz zorrotzagoa da [2].

Txinako PIPL bigarren postuan dago, batez ere nazioarteko enpresentzat, GDPR mailako baimen-eskakizunak datuen lokalizazio-mandatuekin eta mugaz gaindiko transferentzien gobernuaren segurtasun-berrikuspen prozesuekin konbinatzen dituelako [1][4].

Aukeratu GDPR zure oinarrizko betetze-estandar gisa zure erakundeak EBko edo Erresuma Batuko biztanleei zerbitzuak ematen badizkie. GDPRren eskakizunak betetzeak UK GDPRren eskakizun substantibo gehienak beteko ditu, eta LGPD eta PIPL betetzeko posizio onean jarriko zaitu, doikuntza gehigarriekin.

Zer Gertatzen da GDPR edo CCPA Erregelamenduak Urratzen Badituzu

GDPR urraketek 20 milioi euro arteko isunak edo urteko diru-sarrera globalen %4, betearazpen-aginduak, prozesatze-debekuak eta nahitaezko urraketa-jakinarazpenen ondoriozko ospe-kalteak ekar ditzakete [1]. EBko estatu kideetako gainbegiratze-agintariek argi eta garbi erakutsi dute tamaina guztietako enpresei isun garrantzitsuak ezartzeko borondatea.

CCPA urraketak Kaliforniako Pribatutasun Babeserako Agentziak (CPPA) betearazten ditu. Zigor zibilak 2.663 $ artekoak dira nahigabeko urraketa bakoitzeko eta 7.988 $ artekoak nahita egindako urraketa bakoitzeko, urtero inflazioaren arabera egokituta [3]. GDPR ez bezala, CCPAk datu-urraketetarako akzio pribatuaren eskubidea ere ematen du, kontsumitzaileei zuzenean auzitara joateko aukera emanez.

Zigor ekonomikoetatik haratago, bigarren mailako ondorioak sarritan kaltegarriagoak izaten dira:

Betearazpen-ekintzen nahitaezko dibulgazio publikoa
Kontsumitzaileen konfiantza eta marka-balioaren galera
Prozesatze-debekuen ondoriozko etenaldi operatiboa
Beste jurisdikzio batzuetan erregulazio-azterketa areagotua

Pribatutasun Legeak Enpresa Txikiei edo Enpresa Handiei soilik Aplikatu?

Pribatutasun legeak enpresa txikiei aplika dakizkieke, nahiz eta atalaseak esparruaren arabera aldatu. GDPRk ez du diru-sarrera edo tamaina atalaserik, enpresa txiki batek EBko biztanleen datu pertsonalak prozesatzen baditu, GDPRren menpe dago. CCPAk, aldiz, diru-sarrera edo datu-bolumen atalase zehatzak betetzen dituzten irabazi-asmoko negozioei bakarrik aplikatzen zaie, eta horrek esan nahi du enpresa txiki asko bere irismenetik kanpo geratzen direla [2].

GDPRren salbuespenak erakunde txikientzat estuak dira: 250 langile baino gutxiago dituzten negozioak partzialki salbuetsita daude prozesatze-jardueren erregistro zehatzak mantentzetik, baina soilik baldin eta haien prozesatzeak ez badu arriskurik sortzen norbanakoen eskubideentzat, ez bada noizbehinkakoa, edo ez baditu datu-kategoria bereziak inplikatzen.

Kasu berezia: EBko bezeroei zuzendutako eta portaera-publizitate tresnak erabiltzen dituen e-commerce denda espezializatu bat kudeatzen duen autonomo bat ia ziur GDPRren menpe dago, urteko diru-sarrerak kontuan hartu gabe.

Enpresek Pribatutasun Legearen Betetzean Egiten Dituzten Akats Ohikoenak

Betetze-akats ohikoenak ez dira teknikoak, antolakuntzakoak baizik. Enpresek datu-bilketaren irismena gutxiesten dute, pribatutasun-oharrak ez dituzte eguneratzen benetako prozesatzea islatzeko, eta baimena behin-behineko kontrol-kutxa gisa tratatzen dute, etengabeko harreman gisa baino.

Betetze-akats nagusiak, maiztasunaren arabera ordenatuta:

Baimen-mekanismo desegokiak, aurrez markatutako kaxak, baimen bateratua edo zerbitzu-baldintzetan ezkutatutako baimena erabiltzea.
Oinarri juridikorik ez dokumentatua, datuak prozesatzea GDPRren 6. artikuluaren araberako oinarri juridiko baliozko bat identifikatu eta erregistratu gabe.
Mugaz gaindiko transferentzia-arauak ez ikustea, datu pertsonalak hirugarren herrialdeetara transferitzea Kontratu Klausula Estandarrik edo baliokideko babesik gabe.
Datu-mapaketa osatugabea, ez jakitea zein datu pertsonal biltzen diren, non gordetzen diren eta nork duen sarbidea.
Datu-subjektuen eskaerak ez betetzea, sarbide, ezabaketa edo eramangarritasun eskaeretarako 30 eguneko erantzun-epea ez betetzea.
Pribatutasun-ohar zaharkituak, egungo prozesatze-jarduerak zehatz-mehatz deskribatzen ez dituen ohar bat argitaratzea.

Behar bezala konfiguratutako CMP batek, hala nola Biscotti CMP, akats-puntu horietako batzuk zuzenean zuzentzen ditu, baimen-bilketa, biltegiratzea eta erretiratzea hainbat erregulazio-esparrutan kudeatuz.

Nola Zehaztu Zein Pribatutasun Lege Aplikatu Zure Negozioari

Aplikagarriak diren pribatutasun legeak zehazteko lau galdera erantzun behar dira: Non dago ezarrita zure erakundea? Non daude zure erabiltzaileak edo bezeroak? Zein datu pertsonal kategoria prozesatzen dituzu? Eta betetzen al dituzu jurisdikzio espezifikoetako atalaseak?

Erabaki-esparru praktiko bat:

EBn edo Erresuma Batuan establezimendu bat baduzu, edo EBko/Erresuma Batuko biztanleei aktiboki zuzentzen bazara: GDPR eta/edo UK GDPR aplikatzen dira [1][9].
Txinako kontsumitzaileei ondasunak edo zerbitzuak eskaintzen badizkiezu edo haien portaera aztertzen baduzu: PIPL aplikatzen da [1].
Kaliforniako diru-sarrera edo datu-bolumen atalaseak betetzen dituen irabazi-asmoko enpresa bazara: CCPA/CPRA aplikatzen da [2].
Brasilen jarduten baduzu eta Brasilgo biztanleen datu pertsonalak prozesatzen badituzu: LGPD aplikatzen da.
Zure negozioak AEBetako datu pertsonal sentikorrak nazioartean transferitzea inplikatzen badu: berrikusi DOJ Datuen Segurtasun Programaren eskakizunak [5].

Lege anitz aplika daitezke aldi berean. AEBetan oinarritutako SaaS enpresa batek, EBko bezeroekin, Kaliforniako langileekin eta Brasilgo bezero potentzialak barne hartzen dituen marketin-datu-base batekin, GDPR, CCPA eta LGPD aldi berean bete beharko lituzke.

Ba al Dago Lurralde Irismenik Ez Dutelako Pribatutasun Legeak?

Pribatutasun esparru batzuk nahita mugatuak dira lurralde-irismenean. Dubaiko DIFC Datuen Babeserako Legea, adibidez, DIFCn sartutako kontrolatzaile eta prozesatzaileei aplikatzen zaie, edo DIFC barruan datuak prozesatzen dituztenei, baina ez du GDPRren pareko estralurraldeko irismen zabalik aldarrikatzen [8]. Era berean, AEBetako lege federal zahar edo sektore espezifiko asko (HIPAA osasun-datuetarako, FERPA hezkuntza-erregistroetarako) datuen izaeraren eta entitate motaren arabera aplikatzen dira, ez datu-subjektuen kokapenaren arabera.

Hala ere, mundu mailako joera argi eta garbi irismen lurralde zabalago baterantz doa. Zigorrak eta lurralde-eremuak nabigatzen: munduko pribatutasun lege zorrotzenen begirada batek erakusten du legegintza berriagoek, PIPL, LGPD eta Brexit osteko UK GDPRk, estralurraldeko ereduak hartu zituztela, irismen mugatuko esparruak salbuespen bihurtzen ari direla arauaren ordez.

Nola Desberdintzen Dira Zigorrak GDPR eta Beste Pribatutasun Esparruen Artean

GDPR zigorrak mundu mailako pribatutasun esparru guztien artean zorrotzenak eta aktiboen betearazten direnak dira, baina mekanismoak nabarmen desberdintzen dira erregimenen artean.

Esparrua	Betearazpen Organoa	Gehienezko Zigor Ekonomikoa	Akzio Pribatuaren Eskubidea
GDPR	Gainbegiratze-agintari nazionalak	20 milioi euro edo diru-sarrera globalen %4	Mugatua (estatu kidearen arabera aldatzen da)
UK GDPR	ICO	17,5 milioi libera edo diru-sarrera globalen %4	Mugatua
PIPL	CAC / sektoreko erregulatzaileak	50 milioi ¥ edo urteko diru-sarreren %5	Bai (norbanakoentzat)
CCPA/CPRA	CPPA	7.988 $ nahita egindako urraketa bakoitzeko	Bai (datu-urraketetarako)
LGPD	ANPD	Brasilgo diru-sarreren %2, gehienez 50 milioi R$	Bai

GDPRren betearazpen-eredua bakarra da, 27 datuen babeserako agintari nazionalen sare baten bidez funtzionatzen duelako, eta horrek inkoherentzia sortzen du estatu kide desberdinek urraketak zein oldarkor jarraitzen dituzten. Irlandako DPCk, AEBetako teknologia-enpresa handi asko gainbegiratzen dituenak, EBko egoitza han dutelako, betearazpen moteleko kritikak jasan ditu, nahiz eta Meta eta TikTok-en aurkako isun garrantzitsuek sistemak emaitza esanguratsuak eman ditzakeela erakusten duten [7].

Ondorioa: Zigorrak eta Lurralde Eremuak Nabigatzeko Urrats Praktikoak

Zigorrak eta lurralde-eremuak nabigatzen: munduko pribatutasun lege zorrotzenen begirada batek gauza bat argi uzten du, pribatutasunaren betetzea eskualdeko kezka gisa tratatzeko garaia amaitu da. Online presentzia eta nazioarteko erabiltzaile-basea duen edozein erakunde, ziurrenik, betearazpen-ondorio errealak dituen pribatutasun-esparru garrantzitsu baten menpe dago.

Berehala hartu beharreko neurriak:

Datu-mapaketa ariketa bat egin bildutako datu pertsonalen kategoria bakoitza, haren iturria, biltegiratze-kokapena eta prozesatze-helburua identifikatzeko.
Aplikagarriak diren legeak identifikatu goian azaldutako lurralde-eremuaren irizpideak erabiliz, ez pentsa geografia bakarrik dela zure betebeharrak zehazten dituena.
Berrikusi zure baimen-mekanismoak aplikagarri den estandar altuena betetzen dutela ziurtatzeko (GDPR baimena da erreferentzia zorrotzena).
Berrikusi mugaz gaindiko datu-transferentzia akordioak eta ziurtatu Kontratu Klausula Estandarrak edo baliokideko babesak daudela.
CMP bateragarri bat ezarri, Biscotti CMP baimen-bilketa eta dokumentazioa hainbat erregulazio-esparrutan kudeatzeko azpiegitura eskaintzen du.
Datu-subjektuen eskaera-prozesu bat ezarri dokumentatutako lan-fluxuekin eta erantzun-epeekin.
Urtero berrikusi, pribatutasun legea ez da estatikoa. DOJ Datuen Segurtasun Programa (2025ean indarrean), PIPLren ezarpen-erregelamendu ebolutiboak eta AEBetako pribatutasun-lege federal potentzialak helburu mugikorrak dira [5].

Pribatutasunaren betetzea etengabeko diziplina operatibo gisa tratatzen duten erakundeek, behin-behineko proiektu gisa baino, askoz hobeto kokatuta egongo dira azken urteetako betearazpen-paisaia definitu duten zigorrak saihesteko.

Ohiko Galderak

G: GDPR aplikatzen al zaio EBko bulegorik ez duen AEBetako enpresa bati? Bai. AEBetako enpresa batek EBko biztanleei aktiboki zuzentzen badie, adibidez, Europako hizkuntzetan edo monetetan zerbitzuak eskainiz, GDPR aplikatzen da enpresa non dagoen sartuta kontuan hartu gabe [1].

G: Zein da datu-kontrolatzaile baten eta datu-prozesatzaile baten arteko aldea GDPRren arabera? Datu-kontrolatzaile batek datu pertsonalak prozesatzeko helburuak eta bitartekoak zehazten ditu. Datu-prozesatzaile batek datuak prozesatzen ditu kontrolatzaile baten izenean. Biek betebehar desberdinak dituzte GDPRren arabera, eta prozesatzaileak zuzenean erantzule izan daitezke urraketa batzuengatik.

G: Enpresa batek GDPR isunak eta CCPA zigorrak jasan ditzake aldi berean? Bai. EBko eta Kaliforniako biztanleei zerbitzuak eskaintzen dizkien enpresa batek bi esparruen arabera betearazpen-ekintzak jasan ditzake datu-praktika berberengatik, legeak elkarrengandik independenteak direlako.

G: Zein da GDPRren arabera prozesatzeko oinarri juridiko bat? GDPRren 6. artikuluak prozesatze-jarduera bakoitza sei oinarri juridikoetako batean oinarritzea eskatzen du: baimena, kontratuaren betetzea, legezko betebeharra, interes bizkorrak, zeregin publikoa edo interes legitimoak. Oinarri juridiko dokumentaturik gabe prozesatzea maila altuagoko urraketa bat da.

G: Nola desberdintzen da Txinako PIPL GDPRtik mugaz gaindiko datu-transferentzien arloan? PIPLk gobernuaren segurtasun-ebaluazio bat eskatzen du datu "garrantzitsuak" atzerrira transferitu aurretik, baimenean oinarritutako eskakizunez gain. GDPRk egokitasun-erabakietan, Kontratu Klausula Estandarretan edo Enpresa Arau Lotesleetan oinarritzen da, ez du gobernuaren aurretiazko onespenik eskatzen transferentzia gehienetarako [1][4].

G: Ba al dago zigorrik Datuen Babeserako Ofizial bat ez izendatzeagatik GDPRren arabera? Bai. DPO bat izendatu behar denean (agintari publikoentzat, eskala handiko jarraipen sistematikorako edo datu-kategoria berezien eskala handiko prozesatzerako) ez izendatzeak GDPRren maila baxuagoko urraketa bat da, 10 milioi euro arteko isunak edo diru-sarrera globalen %2 jasan ditzakeena.

G: CCPA aplikatzen al zaie irabazi-asmorik gabeko erakundeei? Ez. CCPAk bere atalaseak betetzen dituzten irabazi-asmoko negozioei bakarrik aplikatzen zaie. Irabazi-asmorik gabeko erakundeak, oro har, salbuetsita daude, nahiz eta Kaliforniako beste pribatutasun-estatutu batzuen menpe egon daitezkeen.

G: Zer da DOJ Datuen Segurtasun Programa? 2025eko apirilaren 8an indarrean sartuko den AEBetako DOJ Datuen Segurtasun Programak esportazio-kontrolak ezartzen ditu atzerriko aurkariek AEBetako datu pertsonal sentikorretara sarbidea izan ez dezaten. Datu-transakzio batzuk debekatzen ditu "kezka-herrialde" izendatuekin [5].

G: Zein azkar jakinarazi behar da GDPR datu-urraketa bat? Kontrolatzaileek beren gainbegiratze-agintariari jakinarazi behar diote datu pertsonalen urraketa baten berri izan eta 72 orduko epean, ahal den neurrian. Urraketak norbanakoentzat arrisku handia ekar dezakeen kasuan, norbanakoei ere jakinarazi behar zaie atzerapenik gabe.

G: Baimen-kudeaketa plataforma batek jurisdikzio anitzeko betetzean lagun dezake? Bai. Biscotti CMP bezalako CMP batek baimen-bilketa, biltegiratzea eta erretiratzea kudeatu ditzake hainbat erregulazio-esparrutan, erakundeei baimenaren froga dokumentatua mantentzen lagunduz, GDPR eta PIPLren arabera funtsezko eskakizuna dena.