Brzi odgovor: GDPR se primenjuje na svaku organizaciju širom sveta koja obrađuje lične podatke pojedinaca koji se nalaze u EU, bez obzira na to gde je ta organizacija smeštena. Kompanija u Kaliforniji, Singapuru ili Brazilu bez kancelarije u EU može i dalje biti u potpunosti podložna GDPR-u ako cilja ili prati građane EU. Nepoštovanje može izazvati kazne do 20 miliona evra ili 4% globalnog godišnjeg prihoda, u zavisnosti od toga koja je cifra viša.
Ključne tačke
- Ekstrateritorijalni domet GDPR-a definisan je članom 3, koji proširuje obaveze usklađenosti na svaku organizaciju koja obrađuje podatke građana EU, bez obzira na lokaciju organizacije.
- Dva osnovna okidača se primenjuju: ponuda dobara ili usluga građanima EU ili praćenje njihovog ponašanja unutar EU.
- Kazne za prekršaje mogu dostići 20 miliona evra ili 4% globalnog godišnjeg prometa, a vlasti za zaštitu podataka u EU su pokrenule postupke protiv kompanija van EU. [1][4]
- Kompanije van EU koje su podložne GDPR-u obično moraju da imenuju predstavnika sa sedištem u EU kao kontakt tačku za nadzorne vlasti. [3]
- Međunarodni prenosi podataka zahtevaju odobrene mehanizme kao što su Standardne ugovorne klauzule (SCC) ili odluke o adekvatnosti.
- GDPR je direktno uticao na zakone kao što je CCPA, signalizirajući globalni pomak ka strožim standardima zaštite podataka. [2]
- Male kompanije van Evrope nisu automatski izuzete; obim i tip podataka određuju da li se izuzeci primenjuju.
- Strukturiranje rukovanja podacima za globalnu usklađenost sa GDPR-om često je najpraktičniji pristup za multinacionalne organizacije. [8]
Šta znači ekstrateritorijalni domet za usklađenost sa GDPR-om
Ekstrateritorijalni domet GDPR-a znači da regulativa upravlja aktivnostima obrade podataka koje se odvijaju van granica EU kada su u pitanju lični podaci građana EU. Član 3 GDPR-a izričito proširuje svoju primenljivost na organizacije van EU koje obrađuju lične podatke pojedinaca u EU, osiguravajući doslednu zaštitu podataka bez obzira na lokaciju organizacije. [6]
Ovo je namerna odluka dizajna. Stav EU je da prava njenih građana ne bi trebala da se smanjuju samo zato što se kompanija odlučila da se registruje negde drugde. Za globalne kompanije, to znači da usklađenost sa GDPR-om nije opcionalna samo na osnovu geografije.
Šta to znači u praksi:
- Američka e-trgovina koja prodaje francuskim kupcima mora da se pridržava.
- Kanadska SaaS platforma koja prati ponašanje nemačkih korisnika mora da se pridržava.
- Australijska analitička firma koja profilira građane Ujedinjenog Kraljevstva mora da se pridržava.
Da li se GDPR primenjuje na kompanije van EU
Da. GDPR se primenjuje na kompanije van EU pod dva različita uslova utvrđena u članu 3(2): kada organizacija nudi dobra ili usluge pojedincima u EU (čak i besplatne usluge), ili kada prati ponašanje pojedinaca unutar EU. [6]
Fizička prisutnost u EU nije relevantna. Kompanija bez kancelarije u EU, bez zaposlenih u EU i bez bankovnog računa u EU može i dalje biti u potpunosti pod jurisdikcijom GDPR-a ako vodi veb sajt koji je dostupan korisnicima iz EU i koristi kolačiće za praćenje ili analitiku ponašanja na njima. [1]
Uobičajena greška: Pretpostaviti da, pošto kompanija ne aktivno cilja kupce iz EU, ona je izuzeta. Ako građani EU mogu pristupiti usluzi i njihovi podaci se obrađuju, pitanje usklađenosti je i dalje aktuelno.
Koje zemlje su pogođene GDPR regulativama
GDPR se primenjuje unutar 27 država članica EU, plus tri zemlje EEA: Island, Lihtenštajn i Norveška. Nakon Brexita, Velika Britanija funkcioniše pod UK GDPR-om, gotovo identičnim okvirom, tako da kompanije koje opslužuju građane Velike Britanije imaju slične obaveze.
Pored geografije, domet regulative se globalno širi na svaku organizaciju koja obrađuje podatke građana EU/EEA. To znači da su kompanije u Sjedinjenim Američkim Državama, Indiji, Kini, Brazilu, Australiji i svakoj drugoj jurisdikciji potencijalno podložne obavezama GDPR-a kada obrađuju lične podatke građana EU. [4]
Kako se GDPR primenjuje na američke kompanije koje obrađuju podatke građana EU
Američke kompanije koje prikupljaju, obrađuju ili prate lične podatke pojedinaca koji se nalaze u EU podložne su GDPR-u, uključujući preduzeća bez fizičke prisutnosti u EU koja komuniciraju sa građanima EU putem online platformi. [4]
Za američke kompanije, praktični zahtevi za usklađenost uključuju:
- Imenovanje predstavnika u EU (osim ako se ne primenjuje usko izuzeće) koji će služiti kao kontakt tačka za nadzorne vlasti i subjekte podataka. [3]
- Usmeravanje na zakonitu osnovu za obradu ličnih podataka građana EU (pristanak, legitimni interes, ugovor itd.).
- Implementaciju procesa prava subjekata podataka, uključujući obradu zahteva za pristup podacima (DSAR) u okviru propisanog vremenskog okvira.
- Korišćenje odobrenih mehanizama prenosa za prebacivanje ličnih podataka građana EU na servere u SAD, kao što su Standardne ugovorne klauzule (SCC).
Presuda Schrems II je pojačala da američke kompanije moraju proceniti strane zakone o nadzoru i osigurati adekvatnu zaštitu za lične podatke građana EU koji se prenose međunarodno. [7]
Šta pokreće usklađenost sa GDPR-om za globalne kompanije
Dva ponašajna okidača određuju da li ne-EU organizacija mora da se pridržava GDPR-a. Prvo, ponuda dobara ili usluga građanima EU, čak i bez naknade. Drugo, praćenje ponašanja pojedinaca unutar EU, što uključuje kolačiće za praćenje, profilisanje ponašanja i analitiku zasnovanu na lokaciji. [6]
Pravilo odluke: Ako vaša organizacija radi bilo šta od sledećeg, usklađenost sa GDPR-om je obavezna:
- Prihvata narudžbine ili registracije od korisnika sa sedištem u EU
- Prikazuje cene u evrima ili se poziva na promocije specifične za EU
- Koristi analitičke alate koji prate ponašanje korisnika na IP adresama iz EU
- Sprovodi kampanje ponovnog ciljanje usmerene na publiku iz EU
- Obradjuje podatke zaposlenih za osoblje sa sedištem u EU
GDPR vs CCPA: Koji se primenjuje na vašu kompaniju
I GDPR i CCPA mogu se istovremeno primenjivati na istu kompaniju. GDPR se primenjuje na osnovu lokacije subjekata podataka (građani EU/EEA). CCPA se primenjuje na osnovu lokacije potrošača (građani Kalifornije) i da li preduzeće ispunjava određene pragove prihoda ili obima podataka.
| Kriterijum | GDPR | CCPA |
|---|---|---|
| Geografski domet | Građani EU/EEA globalno | Građani Kalifornije |
| Prag veličine preduzeća | Nema (obim utiče na rizik) | Prihod ili obim podataka |
| Maksimalna kazna | 20 miliona evra ili 4% globalnog prihoda | Do 7.500 dolara po namernom prekršaju |
| Model pristanka | Opt-in (generalno) | Opt-out (generalno) |
| Nadzorno telo | Nacionalne DPA | Generalni tužilac Kalifornije / CPPA |
GDPR je inspirisao slične zakone o zaštiti podataka širom sveta, uključujući CCPA, što ukazuje na globalni pomak ka strožim standardima zaštite podataka. [2] Kompanija koja opslužuje i građane EU i Kalifornije mora zadovoljiti oba okvira, što često znači izgradnju prema strožem standardu (GDPR) i njegovo široko primenjivanje.
Može li kompanija ignorisati GDPR ako nema kancelarije u EU
Ne. Odsustvo kancelarija u EU, zaposlenih u EU ili pravnih entiteta u EU ne oslobađa kompaniju od GDPR-a. Član 3 jasno stavlja do znanja da se regulativa primenjuje na osnovu lokacije subjekata podataka, a ne na osnovu lokacije kontrolora ili procesora podataka. [6]
Vlasti za zaštitu podataka u EU su pokrenule postupke protiv kompanija van EU zbog kršenja GDPR-a, što pokazuje stvarni globalni domet sprovođenja regulative. [4] Iako je sprovođenje protiv kompanije bez prisutnosti u EU logistički složenije, nije nemoguće, posebno kada kompanija ima kupce iz EU, prihode iz EU ili digitalne resurse usmerene na EU koji mogu biti ciljani.
Šta se dešava ako prekršite GDPR kao ne-EU kompanija
Nepoštovanje GDPR-a može rezultirati kaznama do 20 miliona evra ili 4% globalnog godišnjeg prihoda kompanije, u zavisnosti od toga koja je cifra viša. [2] Pored finansijskih kazni, prekršaji mogu rezultirati:
- Nalozima za prestanak obrade ličnih podataka građana EU (što može efikasno blokirati pristup tržištu EU)
- Obaveznim revizijama od strane nadzornih vlasti
- Oštećenjem reputacije i gubitkom poverenja kupaca
- Građanskim tužbama od strane pogođenih subjekata podataka
Za ne-EU kompaniju, put sprovođenja obično ide kroz imenovanog predstavnika u EU ili kroz nadzornu vlast u državi članici EU gde se većina subjekata podataka kompanije nalazi.
Kako da znam da li moja kompanija treba da se pridržava GDPR-a
Kompanija treba da se pridržava GDPR-a ako obrađuje lične podatke pojedinaca koji se nalaze u EU i ispunjava bilo koji od "ponudnih" ili "monitoring" okidača opisanih u članu 3(2). [6]
Brza samoprocenjivanje:
- Da li vaš veb sajt ili aplikacija prihvata registracije od korisnika iz EU?
- Da li koristite kolačiće, piksele ili analitičke alate koji obrađuju podatke korisnika iz EU?
- Da li šaljete marketinške e-poruke kontaktima sa sedištem u EU?
- Da li zapošljavate osoblje sa sedištem u državama članicama EU?
- Da li obrađujete podatke o plaćanju od kupaca iz EU?
Ako je odgovor na bilo koje od ovih pitanja da, obaveze usklađenosti sa GDPR-om se primenjuju. Platforma za upravljanje pristankom kao što je Biscotti CMP može pomoći organizacijama da upravljaju pristankom na kolačiće i preferencama subjekata podataka na način usklađen sa GDPR-om širom njihovih digitalnih resursa.
Da li se GDPR primenjuje na male kompanije van Evrope
GDPR se primenjuje na male kompanije van Evrope ako obrađuju lične podatke građana EU i ispunjavaju ponašajne okidače. Ne postoji opšte izuzeće za male kompanije na osnovu veličine ili prihoda.
Ipak, GDPR uključuje ograničeno izuzeće od zahteva za imenovanje predstavnika u EU za organizacije čija obrada je povremena, ne uključuje obradu osetljivih podataka u velikom obimu i verovatno neće rezultirati rizikom za prava i slobode pojedinaca. [3] Ovo je usko izuzeće, a ne opšte izuzeće od usklađenosti.
Mali blog sa nekoliko pretplatnika iz EU tehnički spada u obuhvat, iako je prioritet sprovođenja prirodno usmeren na procesore podataka sa višim rizikom i većim obimom.
Kako strukturirati rukovanje podacima da bi se globalno pridržavali GDPR-a
Mnoge ne-EU organizacije su usvojile prakse usklađene sa GDPR-om širom svih operacija, čak i kada samo deo njihovog poslovanja uključuje građane EU, jer je izgradnja odvojenih tokova podataka po jurisdikciji operativno skupa. [8]
Praktični koraci za globalno rukovanje podacima usklađeno sa GDPR-om:
- Sprovesti vežbu mapiranja podataka kako bi se identifikovalo koje lične podatke se prikupljaju, gde se čuvaju i kako se kreću kroz sisteme.
- Uspostaviti zakonite osnove za svaku aktivnost obrade koja uključuje lične podatke građana EU.
- Implementirati rešenje za upravljanje pristankom za pristanke na kolačiće i praćenje na digitalnim resursima.
- Kreirati proces odgovora na DSAR kako bi građani EU mogli da ostvaruju svoja prava (pristup, brisanje, prenosivost) u okviru propisanih vremenskih okvira. [5]
- Sprovesti Standardne ugovorne klauzule za sve međunarodne prenose podataka u zemlje bez odluka o adekvatnosti EU. [7]
- Imenovati predstavnika u EU ako je to zahtevano prema članu 27.
- Pregledati i ažurirati vašu politiku privatnosti kako bi zadovoljila zahteve transparentnosti GDPR-a.
- Obučiti relevantno osoblje o obavezama rukovanja podacima i procedurama obaveštavanja o povredama.
Koje su uobičajene greške koje kompanije prave sa ekstrateritorijalnim pravilima GDPR-a
Ne-EU kompanije se suočavaju sa ponavljajućim neuspesima u usklađenosti koji ih izlažu riziku od sprovođenja. [5]
- Pretpostavljanje da fizičko odsustvo znači pravno odsustvo: Najčešća i najskuplja greška. Domet GDPR-a se određuje prema lokaciji subjekata podataka, a ne prema lokaciji kompanije.
- Neimenovanje predstavnika u EU: Mnoge ne-EU kompanije podložne GDPR-u potpuno zanemaruju ovaj zahtev.
- Oslanjanje na zastarele mehanizme prenosa: Nakon presude Schrems II, Privacy Shield je nevažeći. Kompanije koje se još uvek oslanjaju na njega nisu usklađene.
- Ignorisanje DSAR-a od građana EU: Neodgovaranje na zahteve subjekata podataka u okviru propisanog jednog meseca je direktno kršenje GDPR-a.
- Tretiranje pristanka kao obeležavanje: Pristanak prema GDPR-u mora biti slobodno dat, specifičan, informisan i nedvosmislen. Pre-označene kutije i povezani pristanak nisu usklađeni.
Koja je razlika između GDPR-a i lokalnih zakona o privatnosti podataka
GDPR je sveobuhvatan, okvir zasnovan na pravima koji postavlja visoke standarde zaštite podataka u svim sektorima. Lokalne zakone o privatnosti podataka, kao što su brazilski LGPD, indijski DPDP zakon ili japanski APPI, dele mnoge principe GDPR-a, ali se razlikuju po dometu, mehanizmima sprovođenja i specifičnim zahtevima.
Ključne razlike:
- Teritorijalni domet: GDPR se primenjuje ekstrateritorijalno na osnovu lokacije subjekata podataka. Mnogi lokalni zakoni se primenjuju prvenstveno unutar svoje jurisdikcije.
- Standardi pristanka: GDPR generalno zahteva pristanak na osnovu opt-in za neesencijalnu obradu. Neki lokalni zakoni dozvoljavaju modele opt-out.
- Sprovođenje: Struktura kazni GDPR-a (do 4% globalnog prihoda) je među najstrožima na svetu. [2]
- Sektorski vs. omnibus: SAD nema federalni omnibus zakon; zakoni specifični za sektor (HIPAA, COPPA) koegzistiraju sa državnim zakonima kao što je CCPA. GDPR je jedinstvena omnibus regulativa.
Za globalne kompanije, usklađenost sa GDPR-om često služi kao de facto osnovica jer ispunjavanje njegovih zahteva zadovoljava mnoge obaveze prema manje strogim lokalnim okvirima.
Zaključak
Ekstrateritorijalni domet GDPR-a: zašto globalne kompanije moraju da se pridržavaju nije apstraktna pravna rasprava. To je operativna stvarnost koja utiče na svaku organizaciju koja obrađuje lične podatke građana EU, bez obzira na to gde je ta organizacija registrovana ili ima sedište. Okidači za usklađenost su jasni, kazne su značajne, a sprovođenje se proširilo van granica EU.
Akcioni koraci za 2026:
- Proverite svoje tokove podataka kako biste potvrdili da li se lični podaci građana EU obrađuju bilo gde u vašim sistemima.
- Proverite da li vaša praksa pristanka na kolačiće i praćenje ispunjava GDPR-ov standard opt-in, koristeći usklađen alat kao što je Biscotti CMP.
- Pregledajte svoje međunarodne ugovore o prenosu podataka i potvrdite da su SCC na mestu gde je to potrebno.
- Imenovati predstavnika u EU ako vaša organizacija ispunjava prag.
- Uspostaviti ili pregledati svoj proces odgovora na DSAR kako biste osigurali pravovremenu usklađenost.
Uključivanje usklađenosti sa GDPR-om u globalne operacije sa podacima nije samo pravna obaveza; to je sve više konkurentski signal da organizacija ozbiljno shvata privatnost podataka.
Često postavljana pitanja
Da li se GDPR primenjuje ako moja kompanija nema namerno kupce iz EU? Ako građani EU mogu pristupiti vašoj usluzi i njihovi podaci se obrađuju, odsustvo namernog cilja vas ne oslobađa automatski. Nadzorne vlasti procenjuju stvarne tokove podataka, a ne marketinške namere.
Šta je predstavnik u EU prema GDPR-u? Predstavnik u EU je osoba ili organizacija sa sedištem u EU koja deluje kao kontakt tačka za vlasti za zaštitu podataka i subjekte podataka iz EU u ime ne-EU kompanije podložne GDPR-u. [3]
Da li postoje izuzeci od GDPR-a za ne-EU kompanije? Zahtev za predstavnikom u EU ima usko izuzeće za povremenu, niskorizičnu obradu. Međutim, ne postoji opšte izuzeće od same usklađenosti sa GDPR-om na osnovu veličine kompanije ili lokacije van EU.
Šta su Standardne ugovorne klauzule (SCC)? SCC su unapred odobreni ugovorni uslovi koje je izdala Evropska komisija i koji pružaju pravni mehanizam za prenos ličnih podataka iz EU u zemlje bez odluke o adekvatnosti. [7]
Koliko vremena kompanija ima da odgovori na DSAR? Prema GDPR-u, organizacije moraju odgovoriti na zahtev za pristup podacima subjekta u roku od jednog kalendarskog meseca, koji se može produžiti za dodatna dva meseca u složenim slučajevima uz obaveštenje podnosiocu zahteva. [5]
Mogu li vlasti za zaštitu podataka iz EU kazniti kompaniju koja se nalazi van EU? Da. Iako je sprovođenje složenije za kompanije bez prisutnosti u EU, DPA su pokrenule postupke protiv ne-EU kompanija, posebno onih sa uslugama usmerenim na EU ili prihodima iz EU. [4]
Da li je usklađenost sa GDPR-om jednokratni projekat? Ne. Usklađenost sa GDPR-om je kontinuirana obaveza. Tokovi podataka se menjaju, nove aktivnosti obrade se uvode, a regulatorne smernice se razvijaju. Redovne revizije i ažuriranja su potrebni.
Koja je razlika između kontrolora podataka i procesora podataka prema GDPR-u? Kontrolor podataka određuje svrhe i sredstva obrade ličnih podataka. Procesor podataka obrađuje podatke u ime kontrolora. Obe strane mogu imati obaveze prema GDPR-u, a ne-EU entiteti mogu biti bilo koji od njih.
Interaktivni proverenik usklađenosti sa GDPR-om
Reference
[1] GDPR For US Companies - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/eu-data-privacy-laws/gdpr-for-us-companies/?utm_source=openai
[2] International Data Privacy Laws Rights And Compliance - https://legalclarity.org/international-data-privacy-laws-rights-and-compliance/?utm_source=openai
[3] Global Data Privacy Regulation Key Rules And Penalties - https://legalclarity.org/global-data-privacy-regulation-key-rules-and-penalties/?utm_source=openai
[4] GDPR Compliance For US Companies - https://www.igdpr.eu/en/gdpr-compliance-for-us-companies/?utm_source=openai
[5] Assessing The Impact Of GDPR On DSAR Compliance For Non-EU Companies - https://www.gdpr-advisor.com/assessing-the-impact-of-gdpr-on-dsar-compliance-for-non-eu-companies/?utm_source=openai
[6] Why Does GDPR Apply Outside The EU - https://www.cyberly.org/en/why-does-gdpr-apply-outside-the-eu/index.html?utm_source=openai
[7] How GDPR Affects Global Industry Compliance - https://www.cyberly.org/en/how-does-gdpr-affect-global-industry-compliance/index.html?utm_source=openai
[8] How GDPR Is Shaping Global Data Protection Policies Beyond The EU - https://www.gdpr-advisor.com/how-gdpr-is-shaping-global-data-protection-policies-beyond-the-eu/?utm_source=openai