Quando il GDPR si applica fuori dall'UE: test pratico

Per capire quando il GDPR si applica fuori dall'UE, un'impresa extra UE deve partire dal singolo trattamento, non dalla posizione della sede ¹, perché l'articolo 3 apre percorsi diversi per stabilimento, offerta a persone nell'Unione e monitoraggio del loro comportamento nell'Unione ².

Il limite più importante va chiarito subito: un sito semplicemente accessibile dall'UE non dimostra che l'impresa si rivolga a quel mercato ¹, mentre le linee guida richiedono segnali oggettivi di intenzione valutati nel loro insieme ².

Il risultato non descrive l'impresa in astratto. Deve precisare quale trattamento è stato esaminato, dove si trovano le persone nel momento rilevante, quale attività dello stabilimento può avere un nesso con quel trattamento e quali scelte commerciali o tecniche mostrano offerta o monitoraggio. Una società extra UE può quindi ottenere risposte diverse per servizi, campagne e funzioni differenti, senza contraddizione.

Risposta rapida Quando il GDPR si applica fuori dall'UE? Verifica per ogni trattamento un eventuale stabilimento e il suo contesto, un'offerta intenzionale a persone nell'Unione oppure il monitoraggio del loro comportamento nell'Unione. La semplice accessibilità non prova targeting. Solo dopo un risultato positivo si esamina l'eventuale rappresentante.

Ultimo aggiornamento: 26 agosto 2026

Il punto di partenza è il trattamento concreto

Prima di applicare una regola, il gruppo descrive dall'esterno il servizio ricevuto, il luogo in cui la persona lo usa e il risultato dell'operazione. Indica poi quale unità dell'impresa interviene e quali dati passano tra i sistemi, ma distingue i fatti dimostrati dalle ipotesi ancora aperte, affinché la conclusione non dipenda dalla sede indicata nel contratto o da una configurazione tecnica scelta per comodità.

L'ambito territoriale non è un bollino assegnato una volta all'intera società, perché l'articolo 3 collega l'applicazione del GDPR a trattamenti e circostanze specifiche ¹. Un servizio può restare locale, mentre una campagna separata cerca clienti nell'Unione o una funzione distinta osserva il loro comportamento.

Descrivi quindi finalità, persone, luoghi, canali di vendita, dati raccolti e riutilizzo. Le linee guida insistono su un'analisi fattuale del nesso tra attività e territorio ². La versione finale delle linee guida conserva questa lettura operativa, e il testo ufficiale consente di verificare i tre percorsi senza affidarsi alla nazionalità della società ³.

La sede del server non risolve il problema. Nemmeno la cittadinanza del cliente è il test centrale: per offerta e monitoraggio conta che la persona si trovi nell'Unione nel momento rilevante. Registra il luogo e l'attività, evitando di usare l'indirizzo di fatturazione come unica prova.

Una mappa per attività impedisce conclusioni eccessive. Separa sito pubblico, contratto, consegna, assistenza, pubblicità e analisi, poi attribuisce a ogni flusso persone, luogo, finalità e segnali osservabili. Solo a quel punto associa il percorso dell'articolo 3. Due righe della stessa impresa possono avere esiti diversi: non è una contraddizione, ma la conseguenza di fatti e trattamenti diversi.

Tre percorsi, con domande diverse

La sequenza evita due scorciatoie frequenti: saltare direttamente al rappresentante perché compare un utente europeo, oppure concludere che tutto il gruppo rientri nel regolamento perché una sola attività soddisfa un percorso. Ogni passaggio deve invece produrre un sì o un no motivato, lasciare traccia dei documenti consultati e indicare quale verifica rimane aperta, senza mescolare il contesto dello stabilimento con l'intenzione dell'offerta o la finalità del monitoraggio.

L'articolo 3 distingue lo stabilimento, l'offerta e il monitoraggio ¹. Le linee guida chiariscono che i percorsi non vanno fusi in una generica “presenza europea” ².

L'articolo 3, paragrafo 3, conserva inoltre un percorso ristretto legato al diritto internazionale pubblico. Non è un'alternativa commerciale agli altri test. Le linee guida lo trattano separatamente, quindi una società ordinaria non dovrebbe usarlo come scorciatoia per una risposta che appartiene a stabilimento, offerta o monitoraggio.

Il percorso parte dal trattamento e verifica stabilimento e contesto. In assenza di quel nesso, controlla offerta e segnali di targeting; la semplice accessibilità conduce al test separato del monitoraggio. Solo un esito positivo dell'offerta mirata o del monitoraggio apre la verifica dell'articolo 27.

Uno stabilimento è sostanza, non solo forma

Per rendere verificabile questo passaggio, raccogli organigramma, funzioni effettive, contratti di servizio interni, flussi di ricavo e istruzioni operative, poi descrivi il nesso con il trattamento senza supporre che la proprietà comune basti: la domanda non è se esista genericamente una presenza europea, ma se quella presenza svolga attività reali e se il trattamento esaminato si collochi nel loro contesto, con una spiegazione capace di reggere anche quando infrastruttura e personale si trovano altrove.

L'articolo 3 si applica al trattamento effettuato «nel contesto delle attività di uno stabilimento» nell'Unione ¹. Le linee guida spiegano che lo stabilimento può derivare da assetti stabili attraverso cui viene svolta un'attività reale e che il trattamento eseguito altrove può rientrare nella regola quando è inestricabilmente collegato a quelle attività ². La versione finale mantiene questa interpretazione ³.

Un ufficio di supporto, una funzione commerciale o un'unità locale non estendono però il GDPR a ogni archivio globale, perché il regolamento richiede sempre il contesto specifico dello stabilimento ¹. Occorre descrivere che cosa fa l'unità e quale nesso concreto collega il trattamento alle sue attività, secondo l'analisi proposta dalle linee guida ².

Fatturazione, assistenza, vendita e raccolta di dati possono mostrare legami diversi. Disegna il flusso: chi acquisisce il cliente, chi determina finalità e mezzi, chi utilizza il dato e quale ricavo o servizio deriva dall'unità. Un legame documentato è più affidabile della presenza del marchio su un sito.

Se esiste lo stabilimento ma manca il contesto per l'attività esaminata, passa agli altri percorsi. Non trasformare un no in una conclusione aziendale totale. Un'altra campagna o funzione può produrre una risposta positiva con fatti diversi.

L'offerta richiede intenzione verso l'Unione

La cronologia distingue un'offerta progettata da una presenza occasionale. Una campagna cessata, una consegna introdotta dopo una richiesta spontanea e una pagina disponibile da anni non hanno lo stesso rapporto con il trattamento esaminato; data, pubblico e canale mostrano se l'intenzione esisteva nel periodo pertinente.

Separa poi le scelte del commerciante dalle azioni autonome del visitatore. Paesi selezionabili, condizioni di consegna, geografia delle campagne, assistenza locale e riferimenti commerciali descrivono il mercato cercato; l'apertura mondiale della pagina descrive soltanto ciò che è tecnicamente accessibile. Se i primi segnali convergono, l'offerta può aprire l'articolo 3, paragrafo 2; se resta soltanto l'accessibilità, occorre passare al test distinto del monitoraggio. Questa distinzione consente un sì o un no senza trasformare lingua, valuta o dominio in criteri assoluti.

L'offerta di beni o servizi non richiede pagamento ¹. Il punto è l'intenzione oggettiva di rivolgersi a persone nell'Unione ². Le linee guida propongono di leggere più indizi insieme ³; nessun dettaglio isolato dovrebbe diventare una regola assoluta.

Anche una lingua normalmente non usata nel paese del commerciante o un canale di contatto locale possono contribuire. Ma una lingua internazionale, una valuta diffusa o il dominio non concludono il test da soli. La domanda resta: che cosa ha fatto l'impresa per raggiungere quel pubblico?

Registra non soltanto i segnali presenti, ma anche quelli assenti. Questo rende difendibile un no e permette di vedere quando una nuova consegna o campagna cambia la conclusione.

Accessibilità e visita spontanea non bastano

Il ramo negativo richiede la stessa disciplina del positivo, perché l'assenza di targeting non si dimostra con una frase generica: occorre conservare mercati serviti, restrizioni di consegna, campagne attive, trattamento delle richieste occasionali e scelte successive, così una nuova vendita o una risposta personalizzata non cancella retroattivamente l'analisi precedente ma diventa un fatto datato da valutare nella versione seguente della scheda.

Un sito globale può essere letto da una persona nell'UE senza che l'impresa abbia scelto quel mercato ². Pubblicare un indirizzo email o altri recapiti non trasforma da solo l'accesso in offerta mirata ³. È una distinzione centrale delle linee guida.

Anche una visita o una richiesta spontanea dall'UE non dimostra necessariamente un'intenzione precedente del commerciante ³. L'impresa dovrebbe però osservare come risponde: creare una consegna dedicata, una campagna successiva o un canale locale può introdurre nuovi segnali ². La conclusione appartiene ai fatti del periodo analizzato.

Considera un servizio statunitense pensato e pubblicizzato soltanto negli Stati Uniti, senza stabilimento UE, consegna nell'Unione o monitoraggio comportamentale. Il fatto che una persona in Europa possa aprire la pagina non basta. Se invia una richiesta non sollecitata, quella sola richiesta non riscrive retroattivamente il pubblico del servizio.

Questo ramo no è operativo, non evasivo. Registra mercato previsto, campagne, capacità di consegna, richieste ricevute e uso dei dati. Un riesame diventa necessario se l'impresa cambia strategia o trasforma contatti occasionali in un canale organizzato.

Il monitoraggio è un percorso separato

Raccolta, analisi e riutilizzo non sono equivalenti. Un evento può servire al funzionamento del servizio, alimentare una misura aggregata oppure essere collegato nel tempo per dedurre preferenze e influenzare una scelta. È quest'ultima finalità, letta insieme al comportamento osservato nell'Unione, a distinguere il percorso di monitoraggio dalla semplice presenza di dati tecnici.

Segui quindi il ciclo dei dati: evento osservato, identificatore, collegamento nel tempo, inferenza, decisione o contenuto influenzato e conservazione. Aggiungi il luogo della persona durante il comportamento. Se manca lo scopo di osservare e riutilizzare il comportamento nell'Unione, il percorso non si chiude soltanto perché esiste uno strumento analitico. La sequenza rende visibile l'uso successivo e impedisce che il nome commerciale di una piattaforma sostituisca la finalità effettiva.

Il monitoraggio riguarda il comportamento di persone nell'Unione e lo scopo di raccogliere e riutilizzare dati comportamentali ¹. Le linee guida richiedono di guardare alla finalità e alla successiva analisi, non soltanto alla presenza di una tecnologia ². La versione finale espone esempi e condizioni senza rendere ogni misura tecnica equivalente ³.

Analisi, pubblicità comportamentale, geolocalizzazione, cookie e fingerprinting possono essere pertinenti ¹. Non ogni analisi costituisce monitoraggio ², e il nome del fornitore non decide. Bisogna verificare chi viene osservato, dove si trova durante il comportamento, quali eventi vengono collegati e per quale uso successivo ³.

Una misurazione aggregata e limitata può presentare fatti diversi da un profilo persistente usato per prevedere scelte. Documenta identificatori, durata, collegamenti, segmenti e decisioni. Evita sia “abbiamo cookie, quindi GDPR” sia “il fornitore è fuori dall'UE, quindi no”: entrambe saltano il test.

Se il monitoraggio produce un risultato positivo ai sensi dell'articolo 3, paragrafo 2, passa all'articolo 27. Se non esistono neppure stabilimento o offerta mirata, una conclusione negativa resta possibile e deve essere motivata per quell'attività.

I casi di confine vanno separati per attività

Per usare la tabella sul caso reale, il responsabile sostituisce ogni formula con prove datate e assegna le lacune a una persona identificata, evitando di risolvere l'incertezza con il risultato più prudente o più conveniente. Un contratto può sostenere l'offerta, una configurazione può mostrare monitoraggio e un accordo interno può chiarire il contesto, ma ciascun documento risponde a una domanda specifica e non trasferisce automaticamente il proprio peso alle altre righe.

Una tabella impedisce che una caratteristica forte copra tutti gli altri fatti. La conclusione è provvisoria e va confermata con i documenti pertinenti.

La tabella mostra perché non basta dire “abbiamo clienti europei”. Un cliente può raggiungere un servizio locale senza targeting. Un'impresa può monitorare persone senza vendere loro nulla, mentre un'unità europea può avere un nesso con una funzione e non con un'altra.

Per ogni riga sostituisci le formule generiche con contratti, impostazioni, campagne, ruoli e flussi reali. Poi registra ciò che non è ancora noto. Un'incertezza nominata porta a raccogliere prova; una supposizione silenziosa diventa una conclusione fragile.

L'articolo 27 viene dopo una risposta positiva

L'eccezione richiede insieme occasionalità, assenza di trattamento su larga scala delle categorie indicate e rischio improbabile per diritti e libertà. Se manca la prova di un solo elemento, l'eccezione resta aperta. Una nomina volontaria del rappresentante non colma la lacuna e non dimostra retroattivamente che il regolamento si applichi.

L'ordine è decisivo: prima si identifica il trattamento raggiunto dall'articolo 3, poi si verifica l'assenza di stabilimento e infine si applica l'eccezione dell'articolo 27. In questo modo il motivo per cui il regolamento si applica resta distinto dal motivo per cui la rappresentanza è richiesta oppure esclusa.

Il rappresentante non è un test alternativo dell'ambito. Le linee guida lo esaminano dopo l'applicazione dell'articolo 3, paragrafo 2 ². La versione finale conserva questa sequenza ³.

Il test riguarda un titolare o responsabile senza stabilimento nell'Unione ². L'eccezione è cumulativa: trattamento occasionale, nessun trattamento su larga scala delle categorie dell'articolo 9 o dei dati dell'articolo 10 e rischio improbabile ³. Se manca una condizione, l'eccezione non è completa.

Le autorità e gli organismi pubblici hanno un'esenzione separata ². Non usare quella previsione per un'impresa privata e non trattare “occasionale” come sinonimo di volume basso senza verificare regolarità e relazione con il modello operativo ³.

La conclusione sull'articolo 27 deve richiamare il percorso positivo e specificare se l'eccezione è completa. Se non lo è, indica quale condizione manca; la decisione sulla rappresentanza rimane così collegata all'attività raggiunta, non all'impresa in astratto.

Un fascicolo rende la conclusione aggiornabile

La scheda conserva una riga per ciascuna attività, con un collegamento alla prova che sostiene ogni sì e ogni no. Il responsabile della campagna conferma pubblico e geografia, il responsabile del prodotto descrive raccolta e riutilizzo, mentre la funzione competente verifica stabilimento e contesto; la decisione finale riunisce questi contributi senza confonderne l'origine. In questo modo un cambiamento locale aggiorna la riga interessata invece di imporre una nuova conclusione indifferenziata sull'intera impresa.

Anche l'incertezza riceve uno stato esplicito. Se il luogo della persona, la finalità di analisi o il rapporto con un'unità europea non sono provati, il fascicolo nomina l'evidenza necessaria e chi deve ottenerla prima della decisione. Una risposta prudente priva di fatti non è più affidabile di una risposta conveniente; entrambe nascondono la domanda che resta da risolvere.

Registra per ogni attività finalità, persone, luogo, stabilimento e nesso, segnali di offerta, monitoraggio e conclusione. Aggiungi l'analisi dell'articolo 27 solo quando il percorso la apre. Assegna un responsabile e una data.

Gli eventi di riesame possono essere un ufficio nell'UE, una campagna geolocalizzata, nuovi paesi di consegna, un canale locale, profilazione persistente o un cambio nell'uso dei dati. Conserva una nuova versione della scheda invece di sovrascriverla: la differenza tra versioni spiega perché una conclusione è cambiata.

Conserva anche i no. L'assenza documentata di targeting o monitoraggio è parte della prova, non uno spazio vuoto. Il fascicolo permette a vendite, prodotto e privacy di discutere la stessa attività con gli stessi fatti.

Domande frequenti sull'ambito territoriale

Le risposte brevi conservano la sequenza dell'analisi: attività e luogo, stabilimento e contesto, offerta e segnali, quindi monitoraggio e riutilizzo. L'articolo 27 si apre soltanto dopo un percorso positivo pertinente. Ogni conclusione resta circoscritta al trattamento e alla versione dei fatti, con un responsabile e un evento di riesame. Se manca una prova, il fascicolo identifica chi o che cosa può colmare la lacuna, senza sostituire l'incertezza con un sì cautelativo o un no comodo.

Quando il GDPR si applica a un'impresa fuori dall'UE?

Può applicarsi quando il trattamento avviene nel contesto di uno stabilimento nell'Unione ¹, quando l'impresa offre intenzionalmente beni o servizi a persone nell'UE ² oppure quando ne monitora il comportamento nell'UE. La verifica riguarda ogni attività concreta: sede e server non decidono da soli ³. Anche l'accessibilità globale del sito è soltanto un fatto e non dimostra automaticamente il targeting.

Un sito accessibile dall'UE dimostra il targeting?

No. La semplice accessibilità mondiale, un indirizzo email o una richiesta spontanea proveniente dall'UE non dimostrano da soli l'intenzione di offrire nell'Unione ². Le linee guida separano accessibilità e segnali di targeting ³. Consegna pianificata, pubblicità diretta al mercato, riferimenti a clienti dell'UE o canali locali possono contribuire, ma devono essere letti insieme e nessun segnale isolato è necessariamente decisivo.

Accettare pagamenti in euro rende applicabile il GDPR?

Non automaticamente. La valuta può contribuire al quadro se accompagna consegna nell'UE, campagne dirette, riferimenti commerciali o altri segnali di intenzione ². Anche il pagamento non è necessario perché vi sia un'offerta. L'analisi deve ricostruire a chi era rivolta l'attività e non trasformare il prezzo in euro, visibile da tutto il mondo, in una presunzione assoluta ³.

Ogni strumento di analisi costituisce monitoraggio nell'UE?

No. Occorrono persone il cui comportamento si svolge nell'UE e uno scopo di raccolta e riutilizzo di dati comportamentali ¹. Analisi, pubblicità comportamentale, geolocalizzazione, cookie o fingerprinting possono essere rilevanti ², ma il nome dello strumento non basta. Bisogna descrivere osservazione, finalità, luogo del comportamento e uso successivo dei dati ³, distinguendo una misurazione limitata da un profilo persistente.

Quando serve un rappresentante nell'UE ai sensi dell'articolo 27?

Il test nasce solo dopo una conclusione positiva in base all'articolo 3, paragrafo 2 ¹, per un titolare o responsabile senza stabilimento nell'UE ². L'eccezione richiede insieme trattamento occasionale, assenza di larga scala di dati degli articoli 9 o 10 e rischio improbabile ³. Le autorità e gli organismi pubblici sono esenti separatamente; la nomina non dimostra retroattivamente l'applicazione del GDPR.

L'ambito territoriale vale per tutta l'azienda?

No. È una conclusione legata alle attività di trattamento. Una stessa impresa può avere un servizio destinato soltanto al mercato locale, una campagna rivolta all'UE e un'attività di osservazione distinta. Ognuna richiede il proprio percorso, i propri fatti e una revisione quando cambiano mercato, stabilimenti, segnali o strumenti. La mappa si aggiorna quindi per ciascun flusso, non come bollino aziendale permanente.