Czy UK GDPR obejmuje klientów spoza Wielkiej Brytanii?

Brytyjski producent wysyła całą sprzedaż za granicę i zakłada, że ochrona danych jest problemem państw klientów. To błędny punkt startu. Zakres prawa wynika z działalności organizacji i sposobu, w jaki dociera ona do ludzi, nie z adresu na fakturze.

Szybka odpowiedź. UK GDPR klienci spoza Wielkiej Brytanii nie wyłączają automatycznie. Brytyjska jednostka organizacyjna może podlegać przepisom przy działalności skierowanej całkowicie za granicę. Firma spoza UK podlega im, gdy oferuje towary lub usługi osobom w UK albo monitoruje ich zachowanie. Potem osobno ocenia przedstawiciela, EU GDPR i transfery ¹.

UK GDPR jest brytyjskim reżimem bez urzędowej polskiej wersji. Ogólne pojęcia administratora, procesora i danych osobowych są tu używane zgodnie z oficjalną polską terminologią EU GDPR.

Najpierw narysuj podmioty i czynności

Prawidłowa odpowiedź zaczyna się od mapy, a nie od kraju klienta. Jedna marka może obejmować brytyjską spółkę, europejskiego dystrybutora, amerykańską platformę i lokalnych sprzedawców, z których każdy wykonuje inną część procesu.

Mapa rozdziela działalności, które na pierwszy rzut oka wyglądają identycznie. Brytyjska spółka może być administratorem sprzedaży, ale procesorem wsparcia świadczonego dla zagranicznej spółki grupy. Wynik terytorialny trzeba połączyć z tą konkretną rolą.

Nie należy zaczynać od domeny internetowej, waluty ani języka strony. Są to dowody pomocnicze, lecz nie zastępują ustalenia, kto faktycznie prowadzi działalność i w jakim kontekście następuje przetwarzanie. Zapis powinien umożliwić odtworzenie każdego połączenia.

Brytyjska jednostka organizacyjna może wystarczyć

Jeżeli administrator lub procesor ma jednostkę organizacyjną w Wielkiej Brytanii, UK GDPR może obejmować przetwarzanie prowadzone w kontekście jej działalności, niezależnie od tego, czy samo przetwarzanie odbywa się w UK ¹. Nie jest konieczne, aby klient mieszkał w Wielkiej Brytanii.

Jednostka organizacyjna oznacza rzeczywistą i efektywną działalność prowadzoną przez stabilne rozwiązania; forma prawna nie jest jedynym kryterium ¹. Biuro, stały zespół albo trwała obecność gospodarcza mogą mieć znaczenie, ale ocena opiera się na faktach, nie na etykiecie używanej w umowie.

Najważniejszy jest związek czynności z działalnością jednostki. Jeżeli brytyjski zespół pozyskuje klientów, określa warunki albo obsługuje konta, oddalenie bazy danych nie odcina procesu od tej działalności. Dokument powinien wskazać konkretne osoby, decyzje i przepływy tworzące połączenie.

Organizacja spoza UK przechodzi inny test

Brak brytyjskiej jednostki organizacyjnej nie kończy analizy. UK GDPR może objąć przetwarzanie związane z oferowaniem towarów lub usług osobom znajdującym się w Wielkiej Brytanii albo monitorowaniem ich zachowania odbywającego się tam ¹.

Test dotyczy położenia osoby w odpowiednim czasie, a nie jej obywatelstwa. Brytyjski obywatel stale mieszkający i kupujący w Australii nie uruchamia przepisu wyłącznie paszportem; osoba innej narodowości znajdująca się w UK może być objęta, jeżeli oferta jest do niej kierowana.

Monitorowanie wymaga czegoś więcej niż technicznego logu potrzebnego do działania serwera. Znaczenie ma cel i późniejsze użycie obserwacji, na przykład budowanie profilu zachowania, śledzenie lokalizacji lub systematyczna analiza działań osoby. Organizacja zapisuje technologię, dane wejściowe, decyzje i obszar zachowania.

Dowody kierowania oferty ocenia się łącznie. Stała dostawa do UK, miejscowa kampania, warunki przygotowane dla rynku i obsługa brytyjskich klientów mogą pokazywać zamierzoną działalność, podczas gdy pojedyncza zagraniczna wizyta na ogólnej stronie zwykle nie niesie tej samej informacji. Zapis wskazuje, które sygnały rzeczywiście występują.

Procesor potrzebuje własnej odpowiedzi. Zagraniczny dostawca działający dla administratora objętego UK GDPR nie powinien zakładać, że rola usługowa usuwa obowiązki; umowa, instrukcje, bezpieczeństwo i pomoc w wykonywaniu praw muszą odpowiadać faktycznemu zakresowi ¹.

Kraj klienta jest dowodem, nie przełącznikiem

Adres klienta pomaga ustalić fakty, ale nie jest przełącznikiem prawa. Analizę przeprowadza się dla konkretnego podmiotu i czynności, a jej wynik zapisuje jako zdanie przyczynowe: „UK GDPR obejmuje tę czynność, ponieważ…”.

1. Ustal podmiot. Nazwij spółkę lub inną organizację, jej rolę oraz konkretną czynność przetwarzania. Oddziel dane klientów od danych pracowników, kontaktów u dostawców i użytkowników końcowych, ponieważ każda grupa może wejść do procesu inną drogą.
2. Znajdź właściwą jednostkę organizacyjną w UK. Sprawdź, czy przetwarzanie odbywa się w kontekście działalności tej jednostki. Jeżeli tak, zagraniczny adres klienta nie usuwa zakresu, a firma nadal przypisuje cel, podstawę prawną, informację i prawa ¹.
3. Gdy nie ma jednostki w UK, zbadaj kierowanie lub monitorowanie. Ustal, czy organizacja oferuje towary albo usługi osobom w UK lub monitoruje ich zachowanie tam. Oceniaj dostawę, walutę, kampanie, warunki, język, obsługę i miejsce osoby w istotnym czasie; pojedynczy sygnał nie stanowi samodzielnej reguły.
4. Oddziel ruch danych od zakresu. Zmapuj państwo odbiorcy, hosting i dostęp zagraniczny, a następnie przeprowadź osobną analizę transferu. Zagraniczny klient nie zawsze jest odbiorcą danych osobowych, natomiast dostawca albo zespół uzyskujący zdalny dostęp może nim być.
5. Każdy inny reżim sprawdź własnym testem. Dla EU GDPR lub innego prawa ponownie ustal właściwą jednostkę organizacyjną, kierowanie oferty i monitorowanie. Nie przenoś wyniku UK na drugi reżim wyłącznie na podstawie obywatelstwa, adresu konta albo etykiety „firma europejska”.

Przypadki graniczne rozstrzygaj bez skrótów

Brytyjski sklep wysyłający wyłącznie do USA. Jednostka organizacyjna i sprzedaż pozostają w UK, więc położenie klientów nie usuwa zakresu. Sklep osobno bada przepływ danych do amerykańskich dostawców.

Polska aplikacja dostępna przypadkiem w UK. Sama techniczna dostępność nie wystarcza do pewnego wniosku o kierowaniu oferty. Inaczej wygląda aplikacja reklamowana użytkownikom w UK, przyjmująca brytyjskie adresy i prowadząca stałą obsługę rynku.

Amerykański dostawca analityki śledzący osoby w UK. Jeżeli przetwarzanie monitoruje ich zachowanie w Wielkiej Brytanii, podmiot może wejść w zakres mimo braku biura i opłat pobieranych od tych osób ¹. Trzeba ustalić również role dostawcy i klienta.

Grupa z centralą w UE i magazynem w UK. Wspólne systemy nie oznaczają wspólnej odpowiedzi. Brytyjska operacja może podlegać UK GDPR, a działania kierowane do osób w EOG równolegle EU GDPR; przypisanie administratora musi odpowiadać rzeczywistym decyzjom.

Turysta z UK kupujący lokalnie za granicą. Obywatelstwo i czasowy wyjazd nie rozstrzygają same. Sprzedawca bada, czy oferował usługę osobom w UK, czy tylko obsłużył klienta obecnego na swoim lokalnym rynku.

Każdy przypadek kończy się czynnością, rolą, podstawą zakresu oraz dowodem. Skrót typu „firma jest europejska” miesza podmiot, rynek i położenie osoby, dlatego nie daje się później obronić ani wdrożyć.

Brytyjska agencja obsługująca sklep w UE. Dla własnych danych pracowników i rozliczeń może być administratorem w UK, a dla danych klientów sklepu procesorem. Zakres i obowiązki ocenia się osobno dla każdej roli; umowa nie może nazwać wszystkiego „własnością klienta” i zakończyć analizy.

Platforma bez lokalnego biura otwierająca kampanię w UK. Początkowo sporadyczne zamówienia mogły nie pokazywać kierowania, lecz reklama, miejscowa wysyłka i stała obsługa zmieniają fakty. Właściciel zapisuje moment zmiany, ponieważ od niego zależą zadania wdrożeniowe i ponowna ocena przedstawiciela.

Serwis monitorujący użytkowników podczas podróży. Sam krótki pobyt nie daje prostej odpowiedzi. Trzeba zbadać, gdzie zachowanie jest monitorowane, jaki jest cel obserwacji i czy usługa kieruje funkcję do osób w UK, zamiast wnioskować z adresu rejestracji.

Zakres UK i UE sprawdzaj równolegle

Jedna czynność może podlegać UK GDPR i EU GDPR. Nie oznacza to automatycznie dwóch zupełnie różnych programów, lecz wymaga rozdzielenia punktów, w których reżimy wskazują inny organ, przedstawiciela, mechanizm transferu lub komunikat.

Wspólne elementy obejmują mapę danych, cele, podstawy prawne, minimalizację, bezpieczeństwo, prawa i retencję. Firma może utrzymywać jeden operacyjny zapis, jeżeli każda różnica ma wyraźną kolumnę oraz właściciela. Kopiowanie dwóch zestawów dokumentów zwiększa ryzyko rozbieżności.

Wspólny rejestr zachowuje jednak dwa rozstrzygnięcia. Przy każdej czynności wskazuje podstawę zakresu, właściwy kontakt, wersję informacji, przedstawiciela i mechanizm transferu dla obu reżimów. Pole „GDPR: tak” jest za mało precyzyjne, ponieważ nie mówi zespołowi, gdzie skierować żądanie lub zgłosić naruszenie.

Obsługa praw potrzebuje reguły przekazania. Jedna osoba może kontaktować się w sprawie danych używanych przez kilka spółek, dlatego pierwszy odbiorca nie odsyła jej na podstawie domeny e-mail; ustala administratora, proces i właściwy reżim, a następnie zachowuje datę wpływu. Wewnętrzna trasa może być wspólna, lecz odpowiedzialność pozostaje rozdzielona.

Tak samo incydent obejmujący wspólną bazę wymaga równoległej oceny właściwości i terminów. Jeden raport techniczny zasila obie decyzje, ale zespół dokumentuje, do którego organu i których osób kieruje komunikację. Wspólne fakty nie tworzą jednego obowiązku.

Informacja o prywatności powinna mówić osobie, kto jest administratorem, dlaczego używa danych, komu je ujawnia i jakie prawa przysługują ^1,5. Jeżeli zakres jest podwójny, komunikat nie może sugerować jednego organu lub przedstawiciela dla wszystkich sytuacji bez sprawdzenia.

Przedstawiciel w UK nie jest automatyczny

Podmiot bez jednostki organizacyjnej w Wielkiej Brytanii, który podlega UK GDPR na podstawie oferowania lub monitorowania, może potrzebować pisemnie wyznaczonego przedstawiciela w UK ¹. Przedstawiciel jest punktem kontaktu dla osób i Information Commissioner's Office, nie zastępuje odpowiedzialności administratora lub procesora.

Wyjątek jest wąski: znaczenie mają łącznie okazjonalność, brak dużej skali szczególnych kategorii lub danych dotyczących wyroków oraz małe prawdopodobieństwo ryzyka, z uwzględnieniem charakteru, kontekstu, zakresu i celu ¹. Sama wielkość firmy nie jest wyjątkiem.

Decyzja wymaga przeglądu, gdy sprzedaż staje się stała, uruchamia się profilowanie albo zmienia rodzaj danych. Dane przedstawiciela powinny być dostępne dla osób i organu, a umowa określa obsługę kontaktów oraz dostęp do dokumentacji.

Transfery analizuj dopiero po zakresie

Zakres terytorialny i międzynarodowy transfer to dwa różne pytania. Pierwsze ustala, czy reżim obejmuje czynność; drugie bada przekazanie danych do odrębnego odbiorcy lub systemu poza właściwym obszarem oraz mechanizm, który je umożliwia ¹.

Firma mapuje nadawcę, odbiorcę, państwo, rolę, kategorie danych, cel, dostęp i dalsze przekazania. Następnie sprawdza, czy istnieje właściwa decyzja o adekwatności, odpowiednie zabezpieczenia albo ograniczony wyjątek. Nazwa dostawcy czy jego deklaracja nie zastępuje tej analizy.

Ten krok dotyczy także dostępu zdalnego i podwykonawców, nie tylko fizycznego przeniesienia serwera. Umowa powinna odpowiadać rzeczywistemu przepływowi, a właściciel procesu śledzi zmianę lokalizacji hostingu lub listy dalszych procesorów.

Rejestr transferu łączy każdą trasę z podstawą, dokumentem, oceną ryzyka i środkami dodatkowymi, jeżeli są potrzebne. Zmiana centrum danych, możliwość zdalnego dostępu z nowego państwa albo nowy dalszy procesor otwierają pozycję ponownie. Ogólna nazwa „chmura” nie pozwala sprawdzić żadnego z tych faktów.

Zakres danych ma znaczenie operacyjne. Firma usuwa z transferu pola zbędne dla usługi, ogranicza uprawnienia i ustala okres usunięcia po zakończeniu umowy. Mechanizm prawny nie zastępuje minimalizacji ani bezpieczeństwa wymaganych przez UK GDPR ¹.

Zagraniczny klient nie zawsze jest odbiorcą danych osobowych, a zagraniczny dostawca zwykle nim jest. Trzeba więc rozdzielić rynek sprzedaży od infrastruktury przetwarzania, zamiast uznać, że jedno państwo klienta opisuje cały łańcuch.

Jedna karta decyzji nadaje się do ponownego użycia

Końcowy dokument powinien pozwolić odpowiedzieć na pytanie kontrahenta bez rozpoczynania analizy od zera. Zawiera wersję mapy podmiotów, opis czynności, role, grupy osób, podstawę zakresu UK, wynik dla UE, przedstawiciela, transfery oraz właściciela przeglądu ⁴.

Pierwsza część zapisuje fakty: spółki, zespoły, rynki, kanały, zachowania monitorowane, systemy i państwa dostępu. Druga łączy każdy fakt z właściwym testem. Trzecia przekłada wynik na zadania, takie jak zmiana informacji o prywatności, umowy, punktu kontaktu lub mechanizmu transferu.

Karta zachowuje również rozważone, lecz odrzucone skróty. Zdanie „klienci są poza UK” nie wystarcza; dokument pokazuje, dlaczego działalność brytyjskiej jednostki nadal obejmuje proces albo dlaczego zagraniczna oferta nie jest kierowana do UK. Dzięki temu następny pracownik widzi tok decyzji, nie sam wynik.

Przegląd uruchamia nowy rynek, stała reklama, lokalny magazyn, przejęcie, nowy system analityczny, zmiana administratora, podwykonawca w innym państwie lub rozpoczęcie monitorowania. Coroczna data może być zabezpieczeniem, ale nie zastępuje reakcji na te zdarzenia.

Odpowiedzialność pozostaje przy organizacji. Doradca, przedstawiciel i dostawca mogą dostarczyć fakty, lecz nie zmieniają roli administratora ani procesora. Information Commissioner's Office zaleca małym organizacjom prowadzenie dokumentacji proporcjonalnej do działalności, co oznacza zapis wystarczający do wykazania rzeczywistego wyniku, nie rozbudowaną teorię ^3,4.

Na końcu właściciel sprawdza wdrożenie na jednym rzeczywistym kliencie i jednym przepływie. Czy system używa właściwego komunikatu? Czy żądanie trafi do właściwego zespołu? Czy dostawca jest na mapie? Jeżeli odpowiedzi nie wynikają z karty, analiza nie została jeszcze przełożona na pracę.

Do karty dołącza się źródła dowodów: umowę, schemat grupy, ustawienia dostawy, listę kampanii, opis analityki i wykaz dostawców, nie po to, aby gromadzić dokumenty na wszelki wypadek, lecz aby można było sprawdzić, czy zdanie uzasadniające zakres nadal odpowiada rzeczywistości i czy żaden nowy kanał sprzedaży nie zmienił wyniku bez przeglądu.

Właściciel zapisuje również wynik negatywny: jeżeli zagraniczna czynność nie kieruje oferty do osób w UK i nie monitoruje ich zachowania tam, karta pokazuje analizowane sygnały oraz granicę, po której wynik się zmieni, dzięki czemu rozwój sprzedaży nie pozostaje niewidoczny dla zespołu ochrony danych. Wynik ma granice.

Ostatnia aktualizacja: sierpień 2026.