Platí UK GDPR pro britskou firmu s výhradně zahraničními zákazníky?

Může. Zpracování prováděné v souvislosti s činností provozovny ve Spojeném království může spadat do UK GDPR bez ohledu na to, kde se zákazníci nacházejí. Samotná zahraniční adresa proto britskou organizaci automaticky nevyjímá. Je nutné spojit konkrétní zpracování s činností dané provozovny a samostatně posoudit případné právo země zákazníka [1][2].

Platí UK GDPR pro firmu, která ve Spojeném království nemá kancelář?

Může, pokud nabízí zboží nebo služby lidem ve Spojeném království nebo sleduje jejich chování, které se tam odehrává. Pouhá dostupnost webu z Británie obvykle sama nestačí; význam mají projevy cílení a skutečná činnost. Pokud se tento test naplní, organizace dále posoudí potřebu zástupce ve Spojeném království a další povinnosti [1].

Rozhoduje o působnosti měna nebo doména webu?

Jsou to možné důkazy, nikoli samostatné právní přepínače. Cena v librách, britská doména, doprava do Spojeného království, místní reklama nebo zákaznická podpora mohou společně ukázat zaměření nabídky. Jeden náhodný britský návštěvník nebo celosvětově dostupný web však nemusí znamenat aktivní nabídku britskému trhu. Hodnotí se celý obchodní kontext [1].

Může se na jednu firmu vztahovat UK GDPR i EU GDPR?

Ano. Rozsah obou režimů se posuzuje odděleně podle usazení a činností vůči lidem na jejich území. Jedna operace může spadat do obou, například když britská organizace cíleně obsluhuje lidi v Evropské unii. Společná dokumentace může pokrýt shodné prvky, ale rozdíly v právu, dohledu, zástupcích a předávání se musí zachytit [1].

Je zahraniční zákazník automaticky mezinárodním předáním údajů?

Ne. Působnost a mezinárodní předání jsou dvě různé otázky. Nejprve se určí, které právo řídí zpracování; potom se mapuje, zda jsou osobní údaje zpřístupněny samostatné organizaci v jiné zemi a jaký mechanismus je potřebný. Samotná skutečnost, že člověk žije v zahraničí, nemusí být předáním, zatímco přístup zahraničního dodavatele jím být může [1].

Potřebuje zahraniční podnik vždy zástupce ve Spojeném království?

Ne vždy. Požadavek se posuzuje u organizace bez provozovny ve Spojeném království, na kterou se UK GDPR vztahuje kvůli nabídce zboží či služeb nebo sledování chování. Existuje omezená výjimka pro příležitostné zpracování s nízkým rizikem za stanovených podmínek. Rozhodnutí musí popsat pravidelnost, rozsah, druhy údajů a rizika, nikoli jen velikost podniku [1].

Platí UK GDPR pro zákazníky mimo Spojené království?

Balík míří z britského skladu do Francie a obchodník se ptá, zda zahraniční adresa vypíná britská pravidla. Spojení UK GDPR zákazníci mimo Spojené království se však neřeší podle pasu ani dodací země. Rozhoduje provozovna, činnost a případné cílení nebo sledování lidí.

Stručná odpověď.

UK GDPR a zákazníci mimo Spojené království: zahraniční poloha člověka sama britské právo nevylučuje. Zpracování spojené s činností britské provozovny může pod UK GDPR spadat celosvětově. Organizace bez britské provozovny může být zahrnuta při cílení nabídky na lidi v UK nebo sledování jejich chování; další režimy se posuzují souběžně ¹^,2.

Nejprve nakreslete subjekty a činnosti

Působnost se neurčuje jednou větou o tom, kde „firma sídlí“. Skupina může mít britskou společnost, zahraniční mateřský podnik, evropský sklad, cloudového dodavatele a zákazníky v několika zemích. Každý subjekt má vlastní roli a každé zpracování se váže k určité obchodní činnosti ¹^,4. UK GDPR je britské právo dostupné anglicky; české pojmy zde vycházejí z terminologie unijního GDPR, nikoli z domnělého českého znění britského předpisu. Information Commissioner's Office (ICO) je britský dozorový úřad.

Prvek mapy	Co se zapíše	Otázka pro rozsah
Právní subjekt	Společnost nebo podnikatel, který určuje účel a prostředky.	Kdo je správcem konkrétní operace?
Provozovna	Stabilní skutečná činnost, lidé a prostředky.	Souvisí zpracování s její činností?
Lidé	Země, kde se nacházejí v době relevantní nabídky či sledování.	Je jejich poloha součástí testu cílení?
Obchodní činnost	Nabídka, objednávka, podpora, analytika nebo sledování.	Jaký faktický proces používá údaje?
Příjemci	Skupinové společnosti, dodavatelé a další správci.	Otevírá tok další právo nebo předání?
Rozhodovací pravomoc	Kdo stanoví účel, rozsah, dobu a podstatné prostředky.	Odpovídá smluvní označení skutečnému řízení?

Mapa nevychází pouze ze smluv. Faktury, reklamní účty, jazyky podpory, logistika, webová nastavení a oprávnění v systémech ukazují, kdo činnost skutečně provádí. Jedna skupinová zásada ochrany soukromí může být užitečná, ale nesmí skrýt odlišné správce ani rozdílné právní závěry.

Britská provozovna může stačit

UK GDPR se vztahuje na zpracování v souvislosti s činnostmi provozovny správce nebo zpracovatele ve Spojeném království bez ohledu na to, zda samotné zpracování probíhá v Británii ¹. Britský obchodní tým proto může přivést do rozsahu zpracování, které technicky běží na serveru jinde a týká se zahraničního zákazníka.

Situace	Co ukazuje spojení	Co samo nestačí
Britská společnost prodává do zahraničí	Objednávky, smlouvy a podpora jsou součástí její běžné činnosti.	Zahraniční dodací adresa rozsah nevypíná.
Zahraniční skupina má britskou pobočku	Pobočka propaguje, uzavírá nebo podporuje konkrétní službu.	Pouhé společné vlastnictví bez vazby k operaci.
Data hostuje dodavatel mimo UK	Zpracování stále podporuje činnost britské provozovny.	Poloha serveru sama neurčuje působnost.
Britský pracovník vykoná ojedinělý pomocný úkol	Posuzuje se skutečná stabilita a vazba činnosti.	Jediný vzdálený přístup automaticky nevyřeší celý test.

Spojení „v souvislosti s činností“ se dokládá konkrétně. Záznam uvede, kdo získává zákazníka, kdo stanoví službu, kdo komunikuje a jak britská provozovna ekonomicky nebo provozně podporuje dané zpracování. Není nutné, aby provozovna přímo držela databázi, ale obecná existence kanceláře v jiné části skupiny také není univerzální odpověď.

Stabilní provozovna nevzniká pouze formálním zápisem společnosti. Posuzuje se skutečná a trvalejší činnost vykonávaná prostřednictvím lidí a prostředků; přesná právní forma není jediným vodítkem. Záznam proto zachytí zaměstnance, rozhodovací pravomoc, obchodní podporu, používané systémy a dobu, po kterou uspořádání funguje, místo aby jednoduše opsal adresu z faktury.

Vazba se prověří pro každou odlišnou operaci. Britská pobočka může úzce souviset s prodejem a podporou jedné služby, ale nemít skutečnou úlohu u jiné globální platformy stejné skupiny. Jeden kladný závěr se tedy neroztáhne na všechny databáze; současně se činnost uměle nerozdělí jen proto, že zpracování technicky provádí zahraniční tým.

Pokud je vazba kladná, pokračují běžné povinnosti: správce určí účel a právní titul, informuje lidi, řídí práva, dodavatele, bezpečnost a dobu uchování ¹^,4^,5. Působnost je začátek posouzení, nikoli potvrzení, že každý následný krok je zákonný.

Organizace bez britské provozovny používá jiný test

Zahraniční organizace může spadat do UK GDPR, pokud zpracovává osobní údaje lidí ve Spojeném království v souvislosti s nabídkou zboží nebo služeb těmto lidem, případně se sledováním jejich chování, pokud se chování odehrává v Británii ¹. Test není založen na občanství. Britský občan na dovolené a francouzský občan žijící v Londýně se neposuzují podle pasu, nýbrž podle relevantní polohy a činnosti.

Důkaz nabídky britskému trhu	Jak se čte v souvislostech
Doprava nebo služba výslovně dostupná v UK	Silnější než globálně otevřená stránka bez místní nabídky.
Ceny, kampaně nebo podpora zaměřené na britské zákazníky	Více znaků společně ukazuje obchodní záměr.
Britská doména, reference nebo místní telefon	Podpůrné znaky, nikoli automatický závěr.
Skutečné přijetí britských objednávek	Důležitý fakt, ale musí se spojit s cílenou nabídkou.
Sledování chování v UK	Profilování, lokalizační historie nebo opakované pozorování se váže k chování na britském území.

Sledování zahrnuje činnosti, které systematicky sledují nebo předvídají chování lidí, například profilování jejich používání služby či polohy. Ne každá základní statistika bude stejná; záznam popíše identifikátory, čas, účel, rozhodnutí a vztah k chování ve Spojeném království. Pouhá technická možnost, že web navštíví někdo z UK, není totéž jako cílená nabídka nebo sledování.

Nabídka se neposuzuje podle toho, zda člověk nakonec zaplatil. Relevantní může být už záměr obchodovat s lidmi ve Spojeném království, který ukazuje doprava, smluvní podmínky, místní kampaně, zákaznická cesta a podpora. Bezplatná služba není mimo test jen proto, že nemá cenu; „zboží nebo služby“ neznamená pouze placený prodej ¹.

Sledování vyžaduje účelové spojení s chováním, ne jednorázový technický protokol bez dalšího použití. Pokud aplikace vytváří profil, předvídá preference nebo mění nabídku podle historie člověka v UK, záznam popíše tuto logiku a období. Jestliže naopak bezpečnostní log krátce uchovává IP adresu jen k odhalení útoku, musí se jeho účel a rozsah vyhodnotit podle skutečných faktů, ne stejné nálepky „analytics“.

Kladný exteritoriální test se vztahuje k popsané činnosti. Zahraniční podnik může cílit jednu službu na UK, zatímco jiný produkt zůstává mimo tento trh. Evidence oddělí weby, kampaně a datové toky, takže výsledek není přehnaně široký ani uměle úzký.

Země zákazníka je důkaz, ne právní vypínač

Poloha zákazníka má význam, ale v různých testech plní různé role. U britské provozovny nemusí zahraniční poloha vyloučit UK GDPR. U zahraniční organizace bez provozovny naopak poloha člověka ve Spojeném království patří k testu nabídky nebo sledování ¹. Proto věta „všichni naši zákazníci jsou mimo UK“ není úplná bez mapy organizace a činnosti.

Občanství, fakturační země, jazyk a měna jsou indicie, ne náhradní definice. Zákazník může objednávat z jiné země, firma může účtovat v jediné měně a web může používat angličtinu celosvětově. Rozhodnutí spojuje více faktů a uvádí čas, k němuž se poloha hodnotila.

Stejně tak se nerozhoduje podle toho, kde fyzicky leží server. Hosting je relevantní pro bezpečnost, dodavatele a mezinárodní předávání, zatímco územní působnost se opírá o provozovnu a činnost vůči lidem. Smíšení těchto otázek vede buď k falešnému pocitu, že evropský server vše řeší, nebo k mylnému závěru, že každý cloud automaticky přináší britskou působnost.

Poloha se musí vztahovat ke správnému okamžiku. Turista může použít službu během krátkého pobytu, zaměstnanec se může přestěhovat a zákazník může objednávat jménem zahraniční společnosti. Organizace si nevede nadbytečný sledovací registr jen kvůli rozsahu, ale používá rozumné obchodní důkazy, které již potřebuje, a zaznamená nejistotu místo vymyšlené přesnosti.

Určete právnickou osobu, která o daném zpracování rozhoduje.
Zjistěte, zda zpracování probíhá v rámci činností její relevantní provozovny ve Spojeném království.
Pokud britská provozovna není, ověřte nabídku zboží či služeb lidem ve Spojeném království nebo sledování jejich chování tam.
Odděleně zmapujte pohyb údajů a každého zahraničního příjemce nebo přístup ze zahraničí.
Každý další právní režim posuďte podle jeho vlastního testu usazení nebo cílení.

Hraniční případy řešte bez zkratek

Britský výrobce prodává náhradní díly zákazníkům po celém světě. Objednávky, podpora a účetnictví běží v jeho britské činnosti. UK GDPR může pokrývat zpracování i u kanadského nebo japonského zákazníka; současně se posoudí místní povinnosti a předávání dodavatelům.

Americký software má web dostupný globálně, nepřijímá libry, nepropaguje se v Británii a neplánuje tamní trh. Jediný britský návštěvník nemusí sám prokázat nabídku. Pokud však služba později spustí britskou kampaň, místní ceny, podporu a smluvní podmínky, závěr se změní od okamžiku nové činnosti.

Zahraniční aplikace sleduje přesnou polohu a chování uživatelů během pobytu ve Spojeném království, aby vytvářela individuální profily. I bez britské kanceláře může test sledování přivést tuto operaci do UK GDPR ¹. Záznam oddělí chování v UK od globální analytiky a vysvětlí, které identifikátory umožňují propojení s člověkem.

Britská pobočka nadnárodní skupiny pouze nakupuje kancelářské potřeby a nijak se nepodílí na zahraniční spotřebitelské službě. Samotné vlastnictví nemusí vytvořit souvislost mezi pobočkou a zpracováním této služby. Mapa přesto prověří sdílené zaměstnance, systémy, marketing a výnosy, aby se závěr neopíral jen o organizační diagram.

Hraniční případ internetového tržiště se rozpadá na více činností. Platforma může zpřístupnit nabídky po celém světě, zvlášť propagovat britské prodejce a současně sledovat chování návštěvníků kvůli personalizaci. Dostupnost, cílená nabídka a sledování se posoudí samostatně; kladná větev jedné operace nenahrazuje důkaz u druhé.

U podpory může být spojení méně viditelné než u prodeje. Zahraniční firma provozuje britskou telefonní linku, používá místní pracovní dobu a aktivně řeší účty lidí v UK, přestože smlouvu přijímá centrála. Tyto skutečnosti mohou potvrdit záměr obsluhovat britský trh. Pokud linka jen náhodně přijme několik globálních dotazů, síla důkazu je jiná.

Ve skupině podniků se zkontroluje, zda britský subjekt skutečně podporuje příjmy nebo provoz zahraniční služby. Společná značka a vlastník nejsou konečný test, ale místní reklama, prodejní cíle, sdílený personál a rozhodování mohou vytvořit konkrétní vazbu. Závěr uvede, které operace jsou spojeny a které zůstávají oddělené.

Při záporném výsledku se stále posoudí jiné použitelné právo. „UK GDPR se na tuto operaci nevztahuje“ není totéž jako „žádná pravidla ochrany údajů neplatí“. Organizace určí relevantní jurisdikci, ponechá základní bezpečnost a dokumentuje, co by kladný závěr spustilo při změně trhu.

Britský a unijní rozsah posuzujte paralelně

UK GDPR a EU GDPR mají podobnou strukturu, ale po vystoupení Spojeného království jsou samostatnými právními režimy. Organizace může podléhat jednomu, oběma nebo žádnému podle vlastních provozoven a činností. Jediná věta „splňujeme GDPR“ proto neříká, který správce, úřad, zástupce a pravidlo předávání jsou relevantní.

Otázka	Britská větev	Unijní větev
Provozovna	Existuje provozovna v UK a souvisí operace s její činností?	Existuje provozovna v EU a souvisí operace s její činností?
Exteritoriální činnost	Nabídka lidem v UK nebo sledování jejich chování tam.	Nabídka lidem v EU nebo sledování jejich chování tam.
Dozor a kontakt	Určí se relevantní britský dohled a interní vlastník.	Určí se příslušné orgány a případný přeshraniční mechanismus EU.
Zástupce	Posoudí se zástupce ve Spojeném království.	Samostatně se posoudí zástupce v Unii.
Předávání	Toky z britského režimu používají příslušná britská pravidla.	Toky z unijního režimu používají příslušná unijní pravidla.
Práva a komunikace	Britská větev používá příslušné britské informace, lhůty a kontakty.	Unijní větev zachová unijní práva, jazyk a příslušný kontakt.

Společné řízení je možné. Mapa údajů, zabezpečení, evidence činností, postup práv a dodavatelský registr mohou mít jednu základní strukturu. U každého pole se však označí právní větev a rozdíl. Kopie dokumentu bez označení může postupně driftovat; jediný dokument bez rozlišení zase zakryje povinnost, která platí jen v jednom režimu.

Praktický záznam používá matici subjekt × činnost × lidé × právo. Když se otevře nový trh nebo vznikne provozovna, přidá se řádek a znovu se posoudí navazující role. Tím se nemusí přepisovat celý program, ale změna nezůstane skrytá v marketingovém plánu.

Souběh neznamená, že se každá operace dělá dvakrát. Jedna mapa toků může nést dva právní sloupce a společný bezpečnostní postup může chránit všechny osoby. Rozdělují se pouze body, kde režimy vyžadují odlišný orgán, zástupce, mechanismus předání, text nebo rozhodnutí. Tím se snižuje duplicita bez ztráty právní přesnosti.

Organizace rovněž rozliší, který subjekt odpovídá lidem. Zákazník nemá být posílán mezi britskou a unijní společností jen proto, že interní mapa je složitá. Oznámení jasně pojmenuje správce, účely a kontaktní cestu a interní tým bezpečně přesměruje žádost, pokud dorazí na druhou adresu.

Incident může otevřít oba režimy, ale časy a prahy se evidují pro příslušné povinnosti. Jedna společná chronologie zabraňuje rozporům; právní větve pak určují, kterému orgánu a kterým lidem se co sdělí. Stejný princip platí pro posouzení dopadu a dodavatelské změny.

Roční přezkum nestačí, pokud se trh mění každý měsíc. Marketing, produkt, nákup a personalistika mají jednoduché spouštěče: první místní kampaň, nová země dopravy, dlouhodobý pracovník, sledovací funkce nebo lokální smlouva. Každý spouštěč se dostane k vlastníkovi mapy před spuštěním, ne až při stížnosti.

Zástupce ve Spojeném království není automatický

Organizace bez britské provozovny, na kterou se UK GDPR vztahuje kvůli nabídce nebo sledování, posoudí požadavek na zástupce ve Spojeném království ¹. Zástupce je kontaktním bodem pro lidi a ICO v otázkách příslušného zpracování; není tím automaticky správcem ani náhradou za odpovědnost zahraniční organizace.

Otázka	Důkaz v záznamu
Je organizace bez provozovny v UK v rozsahu exteritoriálního testu?	Popis nabídky či sledování a dotčených lidí.
Je zpracování pouze příležitostné?	Skutečná četnost a vazba na základní službu, nikoli zvolená nálepka.
Zahrnuje rozsáhlé zvláštní kategorie nebo údaje o trestních věcech?	Druhy, objem, trvání a účel.
Je nepravděpodobné riziko pro práva a svobody?	Konkrétní cesty rizika a záruky.
Pokud výjimka neplatí, kdo je zástupcem?	Písemné pověření, kontakt, jazyky a dostupné záznamy.
Je zástupce dosažitelný lidem a ICO?	Veřejný kontakt, praktická dostupnost a přístup k relevantním informacím.

Výjimka je úzká a její podmínky se posuzují společně. Malá firma není automaticky příležitostná a nízkoriziková; pravidelná online služba britským zákazníkům může být jádrem podnikání. Rozhodnutí se přezkoumá při růstu, nové analytice, citlivějších údajích nebo změně trhu.

Pověření vymezí činnosti a zajistí, že zástupce dostane informace potřebné k odpovědi. Adresa bez znalosti organizace je jen přeposílací bod. Interní vlastník proto pravidelně ověřuje kontakt, jazyk, dostupné záznamy a cestu pro žádosti lidí; zahraniční organizace si ponechává odpovědnost za věcnou odpověď a nápravu.

Předávání mapujte až po působnosti

Územní působnost odpovídá, které právo se na zpracování vztahuje. Mezinárodní předávání odpovídá, zda osobní údaje podléhající danému režimu zpřístupňuje organizace příjemci v jiné zemi a jaký mechanismus je potřebný. Otázky spolu souvisejí, ale jedna nenahrazuje druhou ¹^,4.

Zahraniční zákazník není automaticky příjemcem předání svých vlastních údajů. Naproti tomu cloudová podpora, skupinová společnost nebo samostatný partner mimo Spojené království může získat vzdálený přístup a otevřít předávací otázku, i když všichni zákazníci žijí v Británii. Mapa proto sleduje právní subjekty, přístup a roli, nikoli pouze fyzickou adresu člověka.

Po určení toku se ověří příslušné rozhodnutí o odpovídající ochraně nebo jiný povolený mechanismus a doprovodné záruky. Právní titul vysvětluje účel zpracování, nikoli mechanismus předání; smlouva se zpracovatelem zase neurčuje územní působnost. Každá vrstva má vlastní závěr a důkaz.

Mapa předávání sleduje také vzdálený přístup. Technik mimo UK nemusí stahovat databázi, aby mohl osobní údaje zobrazit nebo spravovat; rozhoduje skutečné zpřístupnění právnímu subjektu a jeho role. Naopak přesun mezi dvěma místy stejné právní osoby se analyzuje jinak než zpřístupnění samostatnému dodavateli.

Mechanismus se nevybírá podle adresy serveru uvedené v marketingovém materiálu. Organizace ověří smluvní subjekty, další zpracovatele, umístění podpory, zálohy a možnost přístupu. Změna dodavatele nebo regionu je spouštěčem nového posouzení, protože působnost zůstává stejná, zatímco předávací cesta se může změnit.

Jediný záznam musí jít znovu použít

Výsledkem není esej o globálním podnikání, ale provozní záznam pro jednu činnost. Obsahuje subjekt, provozovnu, vazbu operace, polohu lidí v relevantním čase, znaky nabídky nebo sledování, použitelné režimy, zástupce, příjemce a předávání. Každý závěr odkazuje na skutečný důkaz ¹^,4.

Záznam má vlastníka a spouštěče přezkumu: nový trh, místní reklama, změna dodání, nová provozovna, sledování chování, citlivější údaje, nový dodavatel nebo skupinový přístup. Marketing a nákup proto vědí, že změna může otevřít právní větev dříve, než je služba spuštěna.

Interní informace, veřejné oznámení a smlouvy musejí popisovat stejné role. Pokud web uvádí jednu skupinovou společnost, faktura druhou a rozhodnutí o účelu dělá třetí, nejprve se opraví mapa reality. Právní text nemá zakrývat, kdo se zákazníkem skutečně jedná.

Použitelná kontrola začíná jednou obchodní cestou. Sledujte objednávku od reklamy přes účet, platbu, doručení, podporu a analytiku; u každého kroku napište subjekt, místo činnosti, člověka a příjemce. Potom proveďte britský a případně unijní test vedle sebe, rozhodněte o zástupci a až nakonec ověřte předávání. Tak zahraniční adresa přestane být zkratkou a stane se jedním ověřeným faktem v úplném rozhodnutí.

Záznam vedle kladných závěrů uchová i záporné a uvede například, proč globálně dostupný web není cílenou nabídkou pro UK, které marketingové znaky chybějí a kdo sleduje jejich případné přidání, takže se při příštím přezkumu nevede stejná debata od začátku a zároveň se starý závěr nepovažuje za trvalý.

Každý důkaz má datum a zdroj, protože snímek nastavení dopravy, smlouva, popis kampaně, seznam rolí a schéma přístupu mohou zastarat v jiném okamžiku; vlastník proto nepřezkoumává pouze finální právní větu, ale i fakta pod ní, a neplatný důkaz nahradí a dotčené větve znovu otevře.

Provozní verze záznamu je stručná natolik, aby ji produktový nebo obchodní tým použil, ale odkazuje na hlubší podklady. Jedna stránka ukáže subjekt, činnost, země, režimy, zástupce a předávání; připojené podklady vysvětlí složitější vazby. Tím právní analýza nezmizí v dlouhém memorandu, které nikdo při změně služby nenajde.

Poslední kontrola porovná záznam s tím, co vidí zákazník a co dělá systém: jestliže zásady tvrdí, že služba necílí UK, ale nákupní cesta nabízí britskou dopravu a reklama běží na britské publikum, realita má přednost a analýza se opraví; současně se ověří, že uvedený zástupce odpovídá a dodavatelský registr zachycuje skutečný zahraniční přístup.

Naposledy aktualizováno: srpen 2026.