Kratak odgovor: GDPR se primjenjuje na svaku organizaciju diljem svijeta koja obrađuje osobne podatke pojedinaca koji se nalaze u EU, bez obzira na to gdje se ta organizacija nalazi. Tvrtka u Kaliforniji, Singapuru ili Brazilu bez ureda u EU i dalje može biti u potpunosti podložna GDPR-u ako cilja ili prati stanovnike EU-a. Nepoštivanje može dovesti do kazni do 20 milijuna eura ili 4% globalnog godišnjeg prihoda, ovisno o tome što je veće.
Ključne spoznaje
- Ekstrateritorijalni opseg GDPR-a definiran je člankom 3., koji proširuje obveze usklađenosti na svaku organizaciju koja obrađuje podatke stanovnika EU-a, bez obzira na lokaciju organizacije.
- Primjenjuju se dva primarna okidača: ponuda robe ili usluga stanovnicima EU-a ili praćenje njihovog ponašanja unutar EU-a.
- Kazne za kršenja mogu doseći 20 milijuna eura ili 4% globalnog godišnjeg prometa, a tijela za zaštitu podataka EU-a pokrenula su mjere provedbe protiv tvrtki izvan EU-a. [1][4]
- Tvrtke izvan EU-a koje podliježu GDPR-u obično moraju imenovati predstavnika sa sjedištem u EU-u kao točku kontakta za nadzorna tijela. [3]
- Međunarodni prijenosi podataka zahtijevaju odobrene mehanizme kao što su Standardne ugovorne klauzule (SCC) ili odluke o primjerenosti.
- GDPR je izravno utjecao na zakone poput CCPA-a, signalizirajući globalni pomak prema strožim standardima zaštite podataka. [2]
- Mala poduzeća izvan Europe nisu automatski izuzeta; opseg i vrsta podataka određuju primjenjuju li se izuzeća.
- Strukturiranje rukovanja podacima za usklađenost s GDPR-om na globalnoj razini često je najpraktičniji pristup za multinacionalne organizacije. [8]
Što ekstrateritorijalni doseg znači za usklađenost s GDPR-om
Ekstrateritorijalni doseg GDPR-a znači da uredba regulira aktivnosti obrade podataka koje se odvijaju izvan granica EU-a kada su uključeni osobni podaci stanovnika EU-a. Članak 3. GDPR-a izričito proširuje njegovu primjenjivost na organizacije izvan EU-a koje obrađuju osobne podatke pojedinaca u EU-u, osiguravajući dosljednu zaštitu podataka bez obzira na lokaciju organizacije. [6]
Ovo je namjeran izbor dizajna. Stav EU-a je da se prava njegovih stanovnika ne bi trebala smanjivati samo zato što tvrtka odluči osnovati se negdje drugdje. Za globalne tvrtke to znači da usklađenost s GDPR-om nije opcionalna samo na temelju geografije.
Što to znači u praksi:
- Američka e-trgovina koja prodaje francuskim kupcima mora se pridržavati.
- Kanadska SaaS platforma koja prati ponašanje njemačkih korisnika pri pregledavanju mora se pridržavati.
- Australska analitička tvrtka koja profilira stanovnike Ujedinjenog Kraljevstva mora se pridržavati.
Primjenjuje li se GDPR na tvrtke izvan EU-a
Da. GDPR se primjenjuje na tvrtke izvan EU-a pod dva različita uvjeta utvrđena u članku 3. stavku 2.: kada organizacija nudi robu ili usluge pojedincima u EU-u (čak i besplatne usluge) ili kada prati ponašanje pojedinaca unutar EU-a. [6]
Fizička prisutnost u EU-u je nevažna. Tvrtka bez ureda u EU-u, bez zaposlenika u EU-u i bez bankovnog računa u EU-u i dalje može u potpunosti potpadati pod opseg GDPR-a ako vodi web stranicu dostupnu korisnicima iz EU-a i koristi kolačiće za praćenje ili analitiku ponašanja na njima. [1]
Česta pogreška: Pretpostavka da je tvrtka izuzeta jer aktivno ne prodaje kupcima iz EU-a. Ako stanovnici EU-a mogu pristupiti usluzi i njihovi se podaci obrađuju, pitanje usklađenosti je i dalje aktualno.
Na koje zemlje se primjenjuju GDPR propisi
GDPR se primjenjuje unutar 27 država članica EU-a plus tri zemlje EGP-a: Island, Lihtenštajn i Norveška. Nakon Brexita, Ujedinjeno Kraljevstvo djeluje pod UK GDPR-om, gotovo identičnim okvirom, tako da se tvrtke koje opslužuju stanovnike Ujedinjenog Kraljevstva suočavaju s paralelnim obvezama.
Osim geografije, doseg uredbe proteže se globalno na svaku organizaciju koja obrađuje podatke stanovnika EU/EGP-a. To znači da tvrtke u Sjedinjenim Državama, Indiji, Kini, Brazilu, Australiji i svim drugim jurisdikcijama potencijalno podliježu obvezama GDPR-a pri rukovanju osobnim podacima iz EU-a. [4]
Kako se GDPR primjenjuje na američke tvrtke koje rukuju podacima iz EU-a
Američke tvrtke koje prikupljaju, obrađuju ili prate osobne podatke pojedinaca koji se nalaze u EU-u podliježu GDPR-u, uključujući tvrtke bez fizičke prisutnosti u EU-u koje se bave stanovnicima EU-a putem internetskih platformi. [4]
Za američke tvrtke, praktični zahtjevi usklađenosti uključuju:
- Imenovanje predstavnika u EU-u (osim ako se ne primjenjuje usko izuzeće) koji će služiti kao kontaktna točka za nadzorna tijela EU-a i ispitanike. [3]
- Uspostavljanje pravne osnove za obradu osobnih podataka iz EU-a (pristanak, legitimni interes, ugovor itd.).
- Provedba procesa prava ispitanika, uključujući rješavanje zahtjeva za pristup podacima (DSAR) unutar propisanog vremenskog okvira.
- Korištenje odobrenih mehanizama prijenosa za premještanje osobnih podataka iz EU-a na američke poslužitelje, kao što su Standardne ugovorne klauzule (SCC).
Odluka Schrems II potvrdila je da američke tvrtke moraju procijeniti strane zakone o nadzoru i osigurati odgovarajuću zaštitu osobnih podataka iz EU-a prenesenih na međunarodnoj razini. [7]
Što pokreće usklađenost s GDPR-om za globalna poduzeća
Dva okidača ponašanja određuju mora li se organizacija izvan EU-a pridržavati GDPR-a. Prvo, ponuda robe ili usluga stanovnicima EU-a, čak i besplatno. Drugo, praćenje ponašanja pojedinaca unutar EU-a, što uključuje kolačiće za praćenje, profiliranje ponašanja i analitiku temeljenu na lokaciji. [6]
Pravilo odluke: Ako vaša organizacija radi bilo što od sljedećeg, potrebna je usklađenost s GDPR-om:
- Prihvaća narudžbe ili registracije od korisnika sa sjedištem u EU-u
- Prikazuje cijene u eurima ili se poziva na promocije specifične za EU
- Koristi analitičke alate koji prate ponašanje korisnika na IP adresama EU-a
- Pokreće kampanje ponovnog ciljanja koje ciljaju publiku iz EU-a
- Obrađuje podatke zaposlenika za osoblje sa sjedištem u EU-u
GDPR vs CCPA: Koji se primjenjuje na vašu tvrtku
I GDPR i CCPA mogu se primjenjivati istovremeno na istu tvrtku. GDPR se primjenjuje na temelju lokacije ispitanika (stanovnici EU/EGP-a). CCPA se primjenjuje na temelju lokacije potrošača (stanovnici Kalifornije) i ispunjava li tvrtka određene pragove prihoda ili volumena podataka.
| Kriterij | GDPR | CCPA |
|---|---|---|
| Geografski opseg | Stanovnici EU/EGP-a globalno | Stanovnici Kalifornije |
| Prag veličine poslovanja | Nema (opseg utječe na rizik) | Prihod ili volumen podataka |
| Maksimalna kazna | 20 milijuna eura ili 4% globalnog prihoda | Do 7.500 USD po namjernom kršenju |
| Model pristanka | Opt-in (općenito) | Opt-out (općenito) |
| Tijelo za provedbu | Nacionalna tijela za zaštitu podataka | Kalifornijski AG / CPPA |
GDPR je inspirirao slične zakone o zaštiti podataka diljem svijeta, uključujući CCPA, što ukazuje na globalni pomak prema strogim standardima zaštite podataka. [2] Tvrtka koja opslužuje i stanovnike EU-a i Kalifornije mora zadovoljiti oba okvira, što često znači izgradnju prema strožem standardu (GDPR) i njegovu široku primjenu.
Može li tvrtka ignorirati GDPR ako nema urede u EU-u
Ne. Nepostojanje ureda u EU-u, zaposlenika u EU-u ili pravnih subjekata u EU-u ne izuzima tvrtku od GDPR-a. Članak 3. jasno navodi da se uredba primjenjuje na temelju lokacije ispitanika, a ne lokacije voditelja obrade ili izvršitelja obrade. [6]
Tijela za zaštitu podataka EU-a pokrenula su mjere provedbe protiv tvrtki izvan EU-a zbog kršenja GDPR-a, pokazujući istinski globalni doseg provedbe uredbe. [4] Iako je provedba protiv tvrtke s nultom prisutnošću u EU-u logistički složenija, nije nemoguća, posebno kada tvrtka ima kupce u EU-u, prihode u EU-u ili digitalnu imovinu okrenutu EU-u koja može biti ciljana.
Što se događa ako prekršite GDPR kao tvrtka izvan EU-a
Nepoštivanje GDPR-a može rezultirati kaznama do 20 milijuna eura ili 4% globalnog godišnjeg prihoda tvrtke, ovisno o tome što je veće. [2] Osim financijskih kazni, kršenja mogu rezultirati:
- Naredbama za prestanak obrade osobnih podataka iz EU-a (što može učinkovito blokirati pristup tržištu EU-a)
- Obveznim revizijama od strane nadzornih tijela
- Oštećenjem ugleda i gubitkom povjerenja kupaca
- Građanskim tužbama od strane pogođenih ispitanika
Za tvrtku izvan EU-a, put provedbe obično ide preko imenovanog predstavnika u EU-u ili preko nadzornog tijela u državi članici EU-a gdje se nalazi većina ispitanika tvrtke iz EU-a.
Kako znati treba li se moje poslovanje pridržavati GDPR-a
Poslovanje se mora pridržavati GDPR-a ako obrađuje osobne podatke pojedinaca koji se nalaze u EU-u i ispunjava bilo koji od okidača "ponude" ili "praćenja" opisanih u članku 3. stavku 2. [6]
Brza samoprocjena:
- Prihvaća li vaša web stranica ili aplikacija registracije od korisnika iz EU-a?
- Koristite li kolačiće, piksele ili analitičke alate koji obrađuju podatke korisnika iz EU-a?
- Šaljete li marketinške e-poruke kontaktima sa sjedištem u EU-u?
- Zapošljavate li osoblje sa sjedištem u državama članicama EU-a?
- Obrađujete li podatke o plaćanju od kupaca iz EU-a?
Ako je odgovor na bilo koje od ovih pitanja potvrdan, primjenjuju se obveze usklađenosti s GDPR-om. Platforma za upravljanje pristankom kao što je Biscotti CMP može pomoći organizacijama u upravljanju pristankom za kolačiće i preferencijama ispitanika na način usklađen s GDPR-om na njihovim digitalnim svojstvima.
Primjenjuje li se GDPR na mala poduzeća izvan Europe
GDPR se primjenjuje na mala poduzeća izvan Europe ako obrađuju osobne podatke stanovnika EU-a i ispunjavaju okidače ponašanja. Ne postoji opće izuzeće za mala poduzeća na temelju veličine tvrtke ili prihoda.
Međutim, GDPR uključuje ograničeno izuzeće od zahtjeva za imenovanje predstavnika u EU-u za organizacije čija je obrada povremena, ne uključuje opsežnu obradu osjetljivih podataka i vjerojatno neće rezultirati rizikom za prava i slobode pojedinaca. [3] Ovo je usko izuzeće, a ne opće izuzeće od usklađenosti.
Mali blog s nekoliko pretplatnika iz EU-a tehnički je u opsegu, iako je prioritet provedbe prirodno usmjeren na obrađivače podataka s većim rizikom i većim volumenom.
Kako strukturirati rukovanje podacima za usklađenost s GDPR-om na globalnoj razini
Mnoge organizacije izvan EU-a usvojile su prakse usklađene s GDPR-om u svim operacijama, čak i tamo gdje samo dio njihovog poslovanja uključuje građane EU-a, jer je izgradnja zasebnih podatkovnih cjevovoda po jurisdikciji operativno skupa. [8]
Praktični koraci za globalno rukovanje podacima usklađeno s GDPR-om:
- Provedite vježbu mapiranja podataka kako biste identificirali koji se osobni podaci prikupljaju, gdje se pohranjuju i kako teku kroz sustave.
- Uspostavite pravne osnove za svaku aktivnost obrade koja uključuje osobne podatke iz EU-a.
- Implementirajte rješenje za upravljanje pristankom za pristanak na kolačiće i praćenje na digitalnim svojstvima.
- Stvorite proces odgovora na DSAR kako bi stanovnici EU-a mogli ostvariti svoja prava (pristup, brisanje, prenosivost) unutar propisanih vremenskih okvira. [5]
- Izvršite Standardne ugovorne klauzule za sve međunarodne prijenose podataka u zemlje bez odluka o primjerenosti EU-a. [7]
- Imenujte predstavnika u EU-u ako je potrebno prema članku 27.
- Pregledajte i ažurirajte svoju politiku privatnosti kako biste ispunili zahtjeve transparentnosti GDPR-a.
- Obučite relevantno osoblje o obvezama rukovanja podacima i postupcima obavješćivanja o kršenjima.
Koje su uobičajene pogreške koje tvrtke čine s ekstrateritorijalnim pravilima GDPR-a
Tvrtke izvan EU-a suočavaju se s ponavljajućim neuspjesima u usklađenosti koji ih izlažu riziku provedbe. [5]
- Pretpostavka da fizička odsutnost znači pravnu odsutnost: Najčešća i najskuplja pogreška. Opseg GDPR-a određuje se lokacijom ispitanika, a ne lokacijom tvrtke.
- Propust imenovanja predstavnika u EU-u: Mnoge tvrtke izvan EU-a koje podliježu GDPR-u u potpunosti zanemaruju ovaj zahtjev.
- Oslanjanje na zastarjele mehanizme prijenosa: Nakon Schremsa II, Privacy Shield je nevažeći. Tvrtke koje se još uvijek oslanjaju na njega nisu usklađene.
- Ignoriranje DSAR-ova od stanovnika EU-a: Neodgovaranje na zahtjeve ispitanika unutar propisanog roka od mjesec dana izravno je kršenje GDPR-a.
- Tretiranje pristanka kao potvrdnog okvira: Pristanak prema GDPR-u mora biti slobodno dan, specifičan, informiran i nedvosmislen. Unaprijed označeni okviri i skupni pristanak nisu usklađeni.
Koja je razlika između GDPR-a i lokalnih zakona o privatnosti podataka
GDPR je sveobuhvatan okvir temeljen na pravima koji postavlja visoku osnovu za zaštitu podataka u svim sektorima. Lokalni zakoni o privatnosti podataka, kao što su brazilski LGPD, indijski DPDP Act ili japanski APPI, dijele mnoga načela GDPR-a, ali se razlikuju u opsegu, mehanizmima provedbe i specifičnim zahtjevima.
Ključne razlike:
- Teritorijalni opseg: GDPR se primjenjuje ekstrateritorijalno na temelju lokacije ispitanika. Mnogi lokalni zakoni primjenjuju se prvenstveno unutar vlastite jurisdikcije.
- Standardi pristanka: GDPR općenito zahtijeva opt-in pristanak za nebitnu obradu. Neki lokalni zakoni dopuštaju opt-out modele.
- Provedba: Struktura kazni GDPR-a (do 4% globalnog prihoda) jedna je od najstrožih globalno. [2]
- Sektorski vs. omnibus: SAD-u nedostaje savezni omnibus zakon; sektorski zakoni (HIPAA, COPPA) koegzistiraju s državnim zakonima poput CCPA-a. GDPR je jedinstvena omnibus uredba.
Za globalne tvrtke, usklađenost s GDPR-om često služi kao de facto osnova jer ispunjavanje njegovih zahtjeva zadovoljava mnoge obveze prema manje strogim lokalnim okvirima.
Zaključak
Ekstrateritorijalni doseg GDPR-a: zašto se globalne tvrtke moraju pridržavati nije apstraktna pravna rasprava. To je operativna stvarnost koja utječe na svaku organizaciju koja obrađuje osobne podatke stanovnika EU-a, bez obzira na to gdje je ta organizacija osnovana ili gdje joj je sjedište. Okidači usklađenosti su jasni, kazne su značajne, a provedba se proširila izvan granica EU-a.
Akcijski sljedeći koraci za 2026.:
- Revidirajte svoje tokove podataka kako biste potvrdili obrađuju li se osobni podaci iz EU-a bilo gdje u vašim sustavima.
- Provjerite jesu li vaši pristanci za kolačiće i prakse praćenja u skladu sa standardom opt-in GDPR-a, koristeći usklađeni alat kao što je Biscotti CMP.
- Pregledajte svoje međunarodne sporazume o prijenosu podataka i potvrdite da su SCC-ovi na snazi gdje je to potrebno.
- Imenujte predstavnika u EU-u ako vaša organizacija ispunjava prag.
- Uspostavite ili pregledajte svoj proces odgovora na DSAR kako biste osigurali pravovremenu usklađenost.
Ugradnja usklađenosti s GDPR-om u globalne podatkovne operacije nije samo pravna obveza; to je sve više konkurentni signal da organizacija ozbiljno shvaća privatnost podataka.
Često postavljana pitanja
Primjenjuje li se GDPR ako moja tvrtka namjerno nema kupce u EU-u? Ako stanovnici EU-a mogu pristupiti vašoj usluzi i njihovi se podaci obrađuju, odsutnost namjernog ciljanja ne izuzima vas automatski. Nadzorna tijela procjenjuju stvarne tokove podataka, a ne marketinšku namjeru.
Što je predstavnik u EU-u prema GDPR-u? Predstavnik u EU-u je osoba ili organizacija sa sjedištem u EU-u koja djeluje kao kontaktna točka za tijela za zaštitu podataka i ispitanike iz EU-a u ime tvrtke izvan EU-a koja podliježe GDPR-u. [3]
Postoje li izuzeća od GDPR-a za tvrtke izvan EU-a? Zahtjev za predstavnika u EU-u ima usko izuzeće za povremenu obradu niskog rizika. Međutim, ne postoji opće izuzeće od same usklađenosti s GDPR-om na temelju veličine tvrtke ili lokacije izvan EU-a.
Što su Standardne ugovorne klauzule (SCC)? SCC-ovi su unaprijed odobreni ugovorni uvjeti koje je izdala Europska komisija, a koji pružaju pravni mehanizam za prijenos osobnih podataka iz EU-a u zemlje bez odluke o primjerenosti. [7]
Koliko vremena tvrtka ima za odgovor na DSAR? Prema GDPR-u, organizacije moraju odgovoriti na zahtjev za pristup podacima ispitanika u roku od jednog kalendarskog mjeseca, s mogućnošću produljenja za dodatna dva mjeseca u složenim slučajevima uz obavijest podnositelju zahtjeva. [5]
Mogu li tijela za zaštitu podataka EU-a kazniti tvrtku sa sjedištem izvan EU-a? Da. Iako je provedba složenija za tvrtke bez prisutnosti u EU-u, tijela za zaštitu podataka pokrenula su mjere protiv tvrtki izvan EU-a, posebno onih s uslugama okrenutim EU-u ili tokovima prihoda iz EU-a. [4]
Je li usklađenost s GDPR-om jednokratni projekt? Ne. Usklađenost s GDPR-om je stalna obveza. Tokovi podataka se mijenjaju, uvode se nove aktivnosti obrade, a regulatorne smjernice se razvijaju. Potrebne su redovite revizije i ažuriranja.
Koja je razlika između voditelja obrade i izvršitelja obrade podataka prema GDPR-u? Voditelj obrade podataka određuje svrhe i sredstva obrade osobnih podataka. Izvršitelj obrade podataka obrađuje podatke u ime voditelja obrade. Obje strane mogu imati obveze prema GDPR-u, a subjekti izvan EU-a mogu biti i jedno i drugo.
Interaktivni provjerivač usklađenosti s GDPR-om
Reference
[1] GDPR za američke tvrtke - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/eu-data-privacy-laws/gdpr-for-us-companies/?utm_source=openai
[2] Međunarodni zakoni o privatnosti podataka, prava i usklađenost - https://legalclarity.org/international-data-privacy-laws-rights-and-compliance/?utm_source=openai
[3] Globalna uredba o privatnosti podataka, ključna pravila i kazne - https://legalclarity.org/global-data-privacy-regulation-key-rules-and-penalties/?utm_source=openai
[4] Usklađenost s GDPR-om za američke tvrtke - https://www.igdpr.eu/en/gdpr-compliance-for-us-companies/?utm_source=openai
[5] Procjena utjecaja GDPR-a na usklađenost DSAR-a za tvrtke izvan EU-a - https://www.gdpr-advisor.com/assessing-the-impact-of-gdpr-on-dsar-compliance-for-non-eu-companies/?utm_source=openai
[6] Zašto se GDPR primjenjuje izvan EU-a - https://www.cyberly.org/en/why-does-gdpr-apply-outside-the-eu/index.html?utm_source=openai
[7] Kako GDPR utječe na usklađenost globalne industrije - https://www.cyberly.org/en/how-does-gdpr-affect-global-industry-compliance/index.html?utm_source=openai
[8] Kako GDPR oblikuje globalne politike zaštite podataka izvan EU-a - https://www.gdpr-advisor.com/how-gdpr-is-shaping-global-data-protection-policies-beyond-the-eu/?utm_source=openai