Czy GDPR obowiązuje poza UE? Test dla firmy zagranicznej

Lokalna firma spoza Unii może zasadnie pytać, czy GDPR obowiązuje poza UE. Sama dostępność witryny w Unii nie wystarcza: art. 3 bada konkretną operację oraz jej związek z placówką, celową ofertą lub monitoringiem zachowania osób w UE ¹. Liczą się fakty, nie etykieta „firma międzynarodowa” ².

Wiele rzeczywiście lokalnych operacji pozostaje poza zakresem ¹. Wynik może być inny dla sklepu celowo wysyłającego do Unii niż dla globalnie dostępnej usługi bez ukierunkowania ². Dlatego każdą operację ocenia się osobno.

Szybka odpowiedź: Gdy pytasz, czy GDPR obowiązuje poza UE, przeanalizuj konkretną operację. Sprawdź placówkę w Unii i kontekst jej działalności, celową ofertę dla osób w UE oraz monitoring ich zachowania. Sama dostępność strony nie jest kierowaniem. Po pozytywnym wyniku art. 3 ust. 2 oceń osobno przedstawiciela z art. 27.

Ostatnia aktualizacja: 2 października 2026

Zacznij od operacji, nie od adresu siedziby

GDPR nie przykleja jednej globalnej etykiety do przedsiębiorstwa. Art. 3 obejmuje przetwarzanie, dlatego pierwszym krokiem jest wyznaczenie jednej operacji: na przykład obsługi zamówień, reklamowego profilowania albo wsparcia posprzedażowego ¹. Dla tej operacji zapisz kategorie osób, ich położenie w istotnym czasie, cel, wykonawców, kanały i wykorzystanie danych.

Adres serwera, rejestracja spółki i kraj dostawcy chmury są faktami pomocniczymi, ale żaden nie odpowiada samodzielnie na pytanie o zakres ². Firma spoza UE może wykonywać operację w kontekście unijnej placówki. Może również bez takiej placówki celowo oferować towary lub usługi osobom w Unii albo monitorować ich zachowanie w Unii.

Wąska trasa publicznego prawa międzynarodowego z art. 3 ust. 3 pozostaje odrębna ³. Nie należy używać jej jako ogólnego uzasadnienia dla zwykłej działalności handlowej. Jeżeli żaden z testów nie pasuje do konkretnej operacji, wynik „poza art. 3” jest realny i powinien zostać zapisany równie jasno jak wynik pozytywny.

Praktyczny arkusz powinien mieć osobny wiersz dla celu i przepływu danych, nie dla nazwy produktu; Ta sama aplikacja może obsługiwać lokalne konto, unijną kampanię oraz analitykę behawioralną w trzech odmiennych operacjach; Właściciel zapisuje wynik każdej z nich i warunek ponownego otwarcia.

Trzy trasy prowadzą przez różne fakty

Analizę trzeba przeprowadzać w kolejności, ale żadna trasa nie zastępuje pozostałych ¹. Placówka pyta o stabilne rozwiązanie i kontekst działalności; oferta o obiektywny zamiar wobec osób w UE; monitoring o obserwację zachowania tych osób i cel dalszego wykorzystania danych ².

Schemat zaczyna od przetwarzania, a nie od kraju siedziby, i testuje kolejno placówkę, celową ofertę oraz monitoring ¹. Jeżeli placówka ma istotny kontekst albo oferta posiada sygnały kierowania, operacja prowadzi do wyniku, w którym GDPR ma zastosowanie ². Zwykła dostępność nie zatrzymuje analizy i przechodzi do osobnego testu monitoringu. Po dodatniej trasie z art. 3 ust. 2 dopiero wtedy otwiera się test przedstawiciela z art. 27.

Taki układ chroni przed dwiema pomyłkami; Pierwsza polega na objęciu całej firmy dlatego, że jeden proces ma unijne powiązanie; Druga polega na odrzuceniu GDPR dlatego, że serwer i centrala znajdują się poza Unią.

Placówka wymaga stabilności i rzeczywistego kontekstu

Placówka nie musi oznaczać formalnej spółki zależnej. Stabilne rozwiązanie, przez które prowadzona jest rzeczywista działalność, może wystarczyć zależnie od faktów ¹. Wytyczne EDPB podkreślają elastyczne, funkcjonalne podejście do istnienia placówki ².

Samo istnienie zespołu w UE także nie obejmuje automatycznie każdego procesu centrali. Trzeba ustalić, czy działalność tej placówki jest nierozerwalnie związana z badanym przetwarzaniem ³. Unijny zespół, który pozyskuje klientów i wspiera kontrakty obsługiwane przez centralę, może tworzyć inny kontekst niż jednostka wykonująca zupełnie niezależne zadania.

Miejsce wykonania kodu nie decyduje. Przetwarzanie wykonywane poza UE może należeć do zakresu, gdy występuje w kontekście działalności unijnej placówki ¹. Odwrotnie, użycie centrum danych w UE nie tworzy samo w sobie placówki ani związku operacyjnego ².

W zapisie połącz role osób, przepływ przychodu, obowiązki kontraktowe, wsparcie i decyzje dotyczące procesu; Wniosek „w kontekście” wymaga pokazania tego łańcucha; Wniosek przeciwny również powinien wyjaśnić, dlaczego związek jest jedynie techniczny albo przypadkowy.

Pomocne jest narysowanie relacji bez ocen prawnych: kto pozyskuje odbiorcę, kto ustala warunki, kto wspiera usługę i po co centrala przetwarza dane; Dopiero wtedy zespół opisuje, czy europejska działalność i operacja zagraniczna są rzeczywiście powiązane; Sama wspólna marka nie zamyka tej analizy.

Oferowanie wymaga zamiaru, nie jednej ikonki euro

Trasa oferowania działa, gdy obiektywne fakty pokazują zamiar kierowania towarów lub usług do osób znajdujących się w UE ¹. Zapłata nie jest konieczna. Bezpłatna aplikacja może być ofertą, jeśli działania wyraźnie zabiegają o użytkowników w Unii ².

Język inny niż zwykle używany w państwie przedsiębiorcy może być sygnałem, ale nie zawsze; Angielski na globalnej stronie nie rozstrzyga, podobnie jak sam adres e-mail lub numer telefonu; Liczy się kombinacja, jej kontekst i związek z badaną ofertą.

Nie należy więc budować punktacji, w której każdy symbol euro automatycznie daje wynik „tak”; Jeden sygnał może mieć silne wyjaśnienie globalne, a kilka spójnych sygnałów może razem pokazywać cel; Zapis powinien przechować oba rodzaje dowodów: te przemawiające za kierowaniem i te, które je osłabiają.

Sprawdź także decyzje operacyjne poza witryną: listę krajów wysyłki, reguły akceptacji kont, instrukcje handlowców, ustawienia kampanii i kanały wsparcia; Często właśnie one pokazują zamiar wyraźniej niż tekst strony; Wniosek powinien uwzględniać stan z określonego dnia, ponieważ rynek docelowy może się zmienić.

Sama dostępność pozostawia prawdziwą odpowiedź „nie”

Firma prowadząca usługę wyłącznie dla klientów w Stanach Zjednoczonych może mieć stronę widoczną w Europie i nadal nie oferować niczego osobom w UE ². Jeżeli nie ma placówki w Unii, nie kieruje tam reklamy ani dostawy i nie monitoruje zachowania osób w UE, konkretna operacja może pozostać poza art. 3 ³.

Nieoczekiwane odwiedziny albo pojedyncze zapytanie z UE nie przekształcają automatycznie lokalnego modelu w ofertę kierowaną do Unii ². Firma powinna jednak uważać na to, co zrobi dalej. Stworzenie osobnej ścieżki sprzedaży, regularnej dostawy i kampanii może zmienić fakty.

Adres e-mail, dane kontaktowe i techniczna możliwość rejestracji także nie wystarczają same ³. Warto sprawdzić, czy proces nie ma ukrytych ustawień regionalnych, które zaprzeczają deklaracji „globalnie dostępne”. Zespół sprzedaży może w praktyce konsekwentnie zabiegać o osoby w UE, mimo neutralnej treści strony.

Prawdziwa gałąź „nie” nie jest luką. Jest skutkiem zastosowania testu zamiaru do rzeczywiście lokalnej działalności ². Trzeba zapisać fakty i ustawić przegląd, gdy model wejścia na rynek, klienci albo funkcje produktu się zmienią ³.

Zapis negatywny powinien wymienić brak placówki, brak spójnych sygnałów oferty i brak celu obserwowania zachowania w UE; Powinien też określić, jak obsługiwane są przypadkowe zapytania; Jeżeli zespół zaczyna je regularnie pozyskiwać, dostarczać lub analizować, wcześniejsza kwalifikacja przestaje opisywać rzeczywistość.

Monitoring to osobny test zachowania w UE

Monitoring pyta o zachowanie ludzi w Unii oraz o cel polegający na gromadzeniu i późniejszym użyciu danych behawioralnych ¹. Nie wystarcza nazwa narzędzia. To, że strona korzysta z analityki, nie przesądza o profilowaniu ani przewidywaniu zachowania ².

Reklama behawioralna, geolokalizacja, cookies i fingerprinting mogą tworzyć istotne sygnały ³. Trzeba ustalić, jakie zdarzenia są zapisywane, czy łączą się w historię osoby, jaki model lub segment powstaje i do czego jest ponownie używany ¹. Prosty pomiar zagregowanej dostępności strony może wymagać innej oceny niż obserwacja kolejnych wizyt prowadząca do przewidywania.

Położenie osoby ma znaczenie w czasie monitorowanego zachowania ². Obywatelstwo albo stałe miejsce zamieszkania nie zastępują tego faktu. Zespół powinien więc wiedzieć, czy dane pozwalają wiarygodnie ustalić obecność w UE, oraz unikać kategorycznych wniosków opartych na niepewnej geolokalizacji.

Nawet gdy monitoring wchodzi w zakres, wynik dotyczy tej operacji. Lokalna lista płac albo odrębna usługa bez związku z obserwacją nie staje się automatycznie objęta ³. Rejestr zakresu powinien zachować tę granicę.

Właściciel techniczny powinien dostarczyć rzeczywistą konfigurację, a właściciel biznesowy wyjaśnić użycie wyniku; Dzięki temu nazwa „analityka” nie ukrywa profilowania, ale też samo wdrożenie biblioteki nie staje się automatycznym dowodem monitoringu; Rozstrzygają identyfikatory, połączenia zdarzeń, cel i późniejsza decyzja.

Gdy położenie osoby jest tylko przybliżeniem, zapisz jakość sygnału i konsekwencje pomyłki; Kategoryczne filtrowanie wyłącznie na podstawie adresu IP może nie odzwierciedlać miejsca zachowania; Niepewność trzeba uwzględnić, a nie zamienić w wygodną odpowiedź.

Przypadki graniczne pokazują, dlaczego analizuje się czynności

Tabela nie daje etykiety dla całej firmy; Eksporter może mieć proces sprzedażowy w zakresie i lokalną obsługę pracowników poza nim; Profilujący usługodawca może objąć tylko ten strumień, który obserwuje zachowanie osób w Unii.

Wynik roboczy wymaga potwierdzenia dowodami; Zapisuj źródło informacji, okres, właściciela i założenia; Przypadek graniczny staje się prostszy, gdy zamiast abstrakcyjnego „działamy globalnie” pojawiają się konkretne kanały, decyzje i przepływy.

Porównuj scenariusze element po elemencie; Lokalny SaaS może pozostać poza zakresem tylko przy zachowaniu braku kierowania i obserwacji; eksporter wchodzi trasą oferty bez potrzeby wykazywania monitoringu; Grupa z zespołem wsparcia wymaga natomiast zbadania związku działalności, nie samej obecności pracownika.

Każdy wynik roboczy otrzymuje warunek zmiany; Nowa kampania, dostawa, konfiguracja profilowania lub zadanie europejskiej jednostki może otworzyć analizę; To zamienia tabelę z jednorazowego przykładu w narzędzie do zarządzania zakresem.

Artykuł 27 sprawdza się dopiero po wyniku pozytywnym

Przedstawiciel z art. 27 nie jest czwartą trasą zakresu. Test pojawia się dopiero wtedy, gdy administrator lub podmiot przetwarzający bez placówki w UE podlega art. 3 ust. 2 ². Jeżeli art. 3 nie obejmuje operacji, sam art. 27 nie może jej wciągnąć do zakresu ³.

Wyjątek ma warunki łączne: przetwarzanie jest sporadyczne, nie obejmuje na dużą skalę szczególnych kategorii danych ani danych z art. 10 i jest mało prawdopodobne, by powodowało ryzyko dla praw i wolności ². Niespełnienie jednego warunku oznacza, że wyjątek nie działa ³.

„Sporadyczne” nie oznacza po prostu „mamy niewielu klientów”. Proces wbudowany w stale oferowaną usługę może być regularny mimo małego wolumenu ². Podobnie brak danych szczególnych nie wystarcza, jeżeli operacja nadal stwarza prawdopodobne ryzyko ³.

Organy i podmioty publiczne są zwolnione odrębnie; Zwykła firma nie powinna przejmować tego wyjątku; Dokument analizy wskazuje pozytywną trasę art. 3, brak placówki, każdy element wyjątku, wynik oraz uzasadnienie.

Analiza przedstawiciela powinna być osobnym polem po decyzji o zakresie; W ten sposób brak przedstawiciela nie jest błędnie używany jako argument, że GDPR nie obowiązuje, a samo rozważenie przedstawiciela nie staje się dowodem zakresu; Kolejność zachowuje logiczny związek obu decyzji.

Zbuduj zapis zakresu dla każdej operacji

Zapis zaczyna się od nazwy i granicy przetwarzania; Wymienia osoby, ich położenie, cel, dane, kanały, podmioty oraz okres, którego dotyczy analiza; Następnie przechodzi trzy trasy w ustalonej kolejności.

Dla placówki zapisuje stabilne rozwiązanie i związek z procesem; Dla oferty zachowuje sygnały zamiaru oraz ich kontekst; Dla monitoringu opisuje zachowanie, gromadzenie, modelowanie i ponowne użycie; Wynik nie powinien brzmieć tylko „GDPR: tak”.

Jeżeli art. 3 ust. 2 jest pozytywny, dołącz osobną analizę art. 27; Wskaż właściciela działań, założenia do zamknięcia i wyzwalacze przeglądu. Mogą nimi być nowe państwo dostawy, kampania regionalna, otwarcie zespołu w UE, wprowadzenie profilowania albo zmiana dostawcy danych.

Taki rejestr pozwala utrzymać granicę; gdy zmienia się jedna usługa, zespół nie musi ponownie rozstrzygać całej firmy. Przegląda proces, którego fakty rzeczywiście się zmieniły.

Do każdego pola dołącz źródło: ustawienie kampanii, regulamin dostawy, mapę danych, konfigurację analityki, opis roli jednostki albo zatwierdzoną decyzję. Wskaż datę i osobę odpowiedzialną za aktualność; sama lista wniosków bez ścieżki dowodowej szybko traci wartość.

Zachowuj poprzednie wersje; jeżeli lokalna usługa rozpoczyna kierowaną sprzedaż w UE, nowy dokument powinien pokazać dokładnie, które sygnały i operacje się zmieniły. Historia ułatwia ograniczenie obowiązków do właściwego procesu i zapobiega niekontrolowanemu rozszerzaniu etykiety.

Najczęstsze pytania o zasięg terytorialny

Czy globalna strona oznacza ofertę dla UE?

Nie. Wytyczne odróżniają samą dostępność od obiektywnego zamiaru kierowania ¹. Trzeba szukać spójnych sygnałów, takich jak dostawa, reklama, referencje albo szczególny kanał kontaktu ². Brak takich faktów może zachować prawdziwą gałąź poza zakresem.

Czy placówka musi być spółką?

Nie zawsze. Stabilne rozwiązanie prowadzące rzeczywistą działalność może być placówką ². Formalna rejestracja nie jest jedynym testem ³. Następnie trzeba jeszcze wykazać kontekst badanego przetwarzania, bo sama obecność w UE nie obejmuje automatycznie każdego procesu.

Czy zapłata jest konieczna przy oferowaniu?

Nie. Art. 3 obejmuje oferowanie towarów lub usług niezależnie od tego, czy wymagana jest płatność ². Liczy się cel wobec osób w UE ³. Bezpłatny produkt z unijną kampanią może spełnić test, a płatna, neutralna strona globalna nie musi.

Czy cookies zawsze oznaczają monitoring?

Nie. Narzędzie może być sygnałem, lecz trzeba zbadać zachowanie, cel i dalsze wykorzystanie ². Monitoring może obejmować profilowanie lub przewidywanie ³. Prosty pomiar techniczny nie powinien być automatycznie utożsamiany z każdą formą obserwacji behawioralnej.

Kiedy analizuje się przedstawiciela?

Dopiero po pozytywnym wyniku art. 3 ust. 2 dla podmiotu bez unijnej placówki ¹. Wyjątek wymaga łącznie sporadyczności, braku dużej skali danych z art. 9 lub 10 oraz mało prawdopodobnego ryzyka ². Organy publiczne mają odrębne zwolnienie ³.

Czy wynik obejmuje całą grupę?

Nie. Zakres pozostaje związany z konkretnym przetwarzaniem ¹. Jedna operacja może wejść przez placówkę, ofertę lub monitoring, a inna nie ². Rejestr powinien utrzymać te granice, właściciela wyniku oraz wyzwalacze ponownej analizy ³.

Wspólna marka, system albo umowa nie wystarczają, aby połączyć wszystkie przepływy. Trzeba wskazać rzeczywisty kontekst i cel. Jeżeli później procesy zostaną połączone albo dane zaczną być używane wspólnie, jest to wyzwalacz nowej oceny.