O RGPD aplica-se a empresas fora da União Europeia?

O RGPD aplica-se fora da UE? Para uma empresa sem sede europeia, a resposta não depende apenas da localização da empresa, pois o artigo 3 liga o âmbito a tratamentos concretos através de um estabelecimento relevante, de uma oferta intencional a pessoas na União ou da monitorização do seu comportamento na União ¹.

Resposta rápida: O RGPD pode aplicar-se fora da UE quando o tratamento ocorre no contexto de um estabelecimento na União, oferece intencionalmente bens ou serviços a pessoas que aí se encontram ou monitoriza o seu comportamento na União. A mera acessibilidade não basta; analise cada atividade, os sinais objetivos e a localização relevante ².

Muitas empresas genuinamente locais ficam fora do artigo 3: um sítio visível mundialmente, um endereço eletrónico ou uma consulta espontânea de alguém na UE não provam, isoladamente, direcionamento ¹. O âmbito também não é um selo para toda a empresa: uma atividade pode estar abrangida e outra não, conforme as ligações e finalidades do tratamento ².

Uma conclusão útil identifica, portanto, a operação e o ramo exato. Também declara o que mudaria o resultado, para que uma campanha, uma nova unidade ou uma finalidade de observação não herde silenciosamente a análise de uma atividade local diferente.

Última atualização: 26 de agosto de 2026

Comece no tratamento, não na sede

Defina primeiro a operação: que dados são tratados, para que finalidade, por quem, em que localização se encontram as pessoas e como o resultado se liga à atividade empresarial ¹, e só depois teste as rotas territoriais. A morada da sede é um facto relevante, mas não responde sozinha a uma regra concebida para acompanhar atividades e ligações concretas.

Para uma empresa fora da União, esta ordem evita dois erros opostos: o primeiro é presumir que a ausência de incorporação europeia exclui sempre o RGPD; um estabelecimento estável ou uma oferta dirigida pode contrariar essa conclusão ². O segundo é tratar qualquer visitante europeu como suficiente, ignorando que a acessibilidade simples não demonstra intenção.

O teste deve conservar a perspetiva da empresa não europeia; não pergunte se um leitor europeu gostaria de proteção, mas se o tratamento da empresa satisfaz uma rota do artigo 3 ². Registe a localização física das pessoas no momento relevante, porque nacionalidade e residência não substituem a presença na União para as rotas do n.º 2 ³.

Uma ficha por atividade torna a conclusão verificável: identifique serviço, mercado pretendido, canais, sinais de entrega ou publicidade, tecnologias de observação, unidade organizacional envolvida e utilização posterior dos dados. Quando um facto ainda não é conhecido, marque a incerteza e investigue-a; não a converta em presença ou ausência presumida.

Teste separadamente as rotas do artigo 3

O artigo 3 contém rotas diferentes, com perguntas e consequências próprias ¹, pelo que uma resposta negativa numa rota não encerra as restantes ². A análise avança de forma ordenada, evitando misturar um apoio europeu com direcionamento comercial ou uma ferramenta de análise com monitorização qualificada.

Existe ainda a rota estreita do artigo 3, n.º 3, para locais onde o direito de um Estado-Membro se aplica por força do direito internacional público ¹. Ela permanece separada; não deve ser transformada numa cláusula geral para operações internacionais ². Uma empresa comum não a utiliza para dispensar o exame das três rotas operacionais acima.

O fluxo começa por definir um tratamento da empresa fora da UE. Um estabelecimento relevante exige ainda ligação contextual; sem ela, a análise continua para oferta e monitorização. Uma oferta requer sinais de direcionamento, enquanto a mera acessibilidade segue para o teste de monitorização.

Uma resposta positiva pelo n.º 2 conduz depois ao exame do artigo 27, não a uma presunção automática sobre representação, enquanto uma resposta negativa em todas as rotas sustenta “fora do artigo 3”, limitada aos factos registados. A conclusão muda se a empresa acrescentar um canal dirigido, um apoio europeu ligado ao tratamento ou uma finalidade comportamental.

O n.º 3 permanece num registo próprio porque assenta em direito internacional público e não nos sinais comerciais ou comportamentais do n.º 2. Esta separação evita que uma referência estreita seja usada como atalho para empresas cuja análise deve continuar pelas rotas normais.

Avalie o estabelecimento e a ligação contextual

Um estabelecimento pode resultar de disposições estáveis através das quais existe atividade efetiva e real, mesmo sem uma entidade formal com determinada forma jurídica ¹; a análise observa estabilidade e realidade da atividade, não apenas certificados societários. Um representante, por outro lado, não se torna automaticamente estabelecimento só por desempenhar essa função ².

Depois de identificar uma presença estável na União, pergunte se o tratamento ocorre no contexto das suas atividades ³. A operação técnica pode ser executada fora da UE e, ainda assim, ter uma ligação indissociável à atividade do estabelecimento europeu. Localizar o servidor ou a equipa de tratamento noutro país não corta, por si só, essa relação ¹.

O nexo precisa de ser demonstrado através de receitas, promoção, apoio, contratos, captação de clientes, gestão de relações e contribuição da unidade europeia para a atividade que beneficia do tratamento ². A mera pertença ao mesmo grupo não deve substituir essa prova, mas uma repartição artificial de tarefas também não deve ocultar uma conexão económica e funcional real.

Para uma empresa não europeia, o registo deve distinguir presença física na União, forma jurídica, função operacional e tratamento específico. Nenhum destes factos isolados decide sempre, por isso a conclusão explica como as atividades se ligam, que unidade influencia o tratamento e por que a ligação é ou não suficientemente estreita para acionar a rota do estabelecimento.

Uma unidade europeia pode promover, apoiar ou tornar rentável uma atividade cujo tratamento técnico ocorre noutro continente; em alternativa, pode executar funções realmente independentes. Contratos, fluxos e responsabilidades ajudam a distinguir essas situações, desde que confrontados com a prática.

Quando a presença é pequena, estabilidade e realidade continuam a ser perguntas distintas da dimensão. Uma disposição contínua pode ser relevante mesmo com poucos recursos, enquanto uma intervenção episódica pode não formar estabelecimento. A ficha conserva duração, meios, pessoas e contribuição, permitindo que o decisor explique o nexo sem confundir presença física com nacionalidade ou residência dos clientes.

Procure intenção objetiva de oferecer

Na rota de oferta, o pagamento não é necessário ¹. O ponto central é a intenção objetiva de oferecer bens ou serviços a pessoas que se encontram na União ². Essa intenção não depende da nacionalidade do cliente nem de uma declaração genérica; emerge do desenho comercial, das comunicações e das condições efetivamente disponibilizadas ³.

Outros elementos podem contribuir em combinação: contactos locais, domínio ou canais orientados para um território, entrega internacional destacada ou utilização de língua que não seja habitualmente usada no país do comerciante. Nenhum sinal, incluindo o euro ou uma língua, é decisivo sem contexto: uma empresa pode aceitar uma moeda por conveniência global; outra pode reunir vários sinais coerentes de entrada num mercado europeu.

A equipa deve conservar as provas do momento da decisão, incluindo configurações de campanha, destinos de entrega, páginas de venda, termos e instruções às equipas. Não basta anotar “clientes europeus”; é necessário mostrar se a empresa os procurou e se as pessoas estavam na União durante a atividade relevante.

Examine a combinação como um percurso comercial. Uma página genérica pode tornar-se oferta dirigida quando a publicidade escolhe um território, a entrega o serve e o apoio apresenta um contacto local; inversamente, um preço em euros isolado pode refletir uma convenção mundial. A decisão deve explicar como os sinais convergem ou permanecem desconectados.

Registe também sinais contrários. Restrições reais de entrega, campanhas limitadas a outro mercado e instruções coerentes podem sustentar ausência de intenção, embora um aviso formal não prevaleça se a prática efetiva procurar clientes na União. Comparar mensagem, configuração e execução reduz conclusões baseadas numa única captura escolhida.

Mantenha a mera acessibilidade no ramo negativo

Um sítio acessível a partir da União não demonstra, sozinho, uma oferta dirigida ², e o mesmo vale para um endereço eletrónico, outros contactos ou informação geral sobre a empresa ³. A Internet torna muitos serviços visíveis mundialmente; o artigo 3 exige mais do que essa consequência técnica.

Uma visita ou consulta não solicitada proveniente da UE também não reescreve automaticamente o mercado pretendido ²; a empresa deve observar como responde. Uma resposta administrativa isolada pode manter o ramo negativo; alterar entrega, publicidade ou condições para desenvolver ativamente esse mercado pode criar novos sinais e exigir nova análise ³.

Considere uma empresa norte-americana que serve apenas o seu mercado local, não possui estabelecimento na União, não entrega nem promove serviços a pessoas na UE e não monitoriza o seu comportamento na União. O facto de o seu sítio poder ser aberto na Europa não basta ². Nessa atividade e nesses factos, existe uma conclusão real fora do artigo 3 ³.

Esse exemplo não é uma imunidade empresarial: se a mesma empresa iniciar uma campanha dirigida, criar rotas de entrega europeias ou reutilizar perfis de comportamento observado na União, cada nova atividade reabre uma rota. O registo negativo deve conter precisamente esses eventos de reavaliação, para não sobreviver à realidade que o justificou.

A equipa comercial e a equipa técnica devem reconhecer essas condições de reabertura. A primeira pode alterar mercados, moedas ou entrega; a segunda pode introduzir persistência, perfilagem ou reutilização. Uma análise territorial guardada apenas por juristas não deteta as mudanças no momento em que surgem, pelo que a responsabilidade operacional precisa de estar ligada ao registo.

Mesmo quando chega uma encomenda inesperada, separe a resposta pontual de uma decisão de mercado. O tratamento necessário para gerir a consulta não prova automaticamente intenção de oferecer de forma geral; contudo, transformar a oportunidade num canal repetido, promover referências europeias ou adaptar condições pode alterar o conjunto de sinais e exigir nova conclusão.

Trate a monitorização como uma rota autónoma

A monitorização exige comportamento de pessoas que se encontram na União e uma intenção de recolher e reutilizar informação sobre esse comportamento ¹. A localização relevante é a do comportamento acompanhado, não a nacionalidade ou residência atribuída à pessoa ². O propósito da observação separa uma medição operacional incidental de um perfil comportamental utilizado posteriormente ³.

Analítica, publicidade comportamental, geolocalização, cookies e impressão digital podem ser indícios ¹, mas o nome da ferramenta não decide: a empresa precisa de explicar eventos recolhidos, persistência, ligação entre sessões ou dispositivos, inferências, segmentação e decisões suportadas ². Nem toda a análise de utilização constitui monitorização abrangida.

O exame deve seguir o ciclo de dados: que comportamento é observado, onde ocorre, como a empresa reconhece a pessoa ou dispositivo, o que infere e para que reutiliza o resultado ³? Uma ferramenta configurada apenas para contagem agregada não é igual a um sistema que constrói perfis para prever preferências, ainda que ambos usem a palavra “analítica”.

Também aqui a atividade é a unidade correta. Um produto pode usar métricas agregadas fora do âmbito desta rota, enquanto outro serviço da mesma empresa acompanha percursos individuais na União para personalizar preços ou mensagens. Documentar configurações e finalidades impede que uma conclusão global esconda essas diferenças.

A prova deve acompanhar a configuração efetiva, porque o mesmo fornecedor pode suportar modos muito diferentes. Identificadores persistentes, união de eventos, criação de segmentos, previsão e ativação posterior são factos mais informativos do que o nome comercial da ferramenta. Registe ainda duração, granularidade e pessoas afetadas, ligando cada elemento à finalidade declarada.

Se a localização for inferida, documente o método e as limitações. A empresa não deve substituir presença física por cidadania guardada no perfil nem presumir que uma morada de faturação revela onde o comportamento aconteceu. A conclusão explicita a base da localização e reabre a análise quando essa base deixa de ser fiável.

Compare casos fronteiriços por atividade

Os casos fronteiriços tornam visível por que a empresa, por si só, não recebe um único rótulo territorial; cada resultado abaixo é de trabalho e depende de os factos indicados permanecerem verdadeiros.

No primeiro caso, uma consulta espontânea não transforma automaticamente o serviço; no segundo, a combinação de factos mostra intenção comercial. No terceiro, a ausência de venda não elimina monitorização; no quarto, a unidade de apoio só aciona a rota do estabelecimento se o tratamento ocorrer no contexto das suas atividades.

A comparação deve conduzir a fichas separadas. Misturar cenários num parecer curto favorece conclusões excessivas: “tem clientes na UE, logo aplica-se” ou “não tem sede, logo não se aplica”. O método correto mostra factos, rota, ramo e resultado para cada tratamento.

Uma quinta combinação não deve ser inventada a partir da tabela; deve ser decomposta nas mesmas perguntas. Esse procedimento conserva consistência sem transformar os resultados de trabalho em regras gerais. Quando um facto muda, atualize apenas o cenário real e mantenha a história da decisão anterior.

O decisor deve conseguir ver por que duas atividades da mesma empresa terminam em ramos diferentes. A ficha identifica a unidade operacional, o produto, a finalidade e o período, impedindo que uma conclusão positiva alargue desnecessariamente o âmbito ou que uma conclusão negativa esconda uma oferta ou monitorização distinta.

Teste o artigo 27 apenas depois do âmbito positivo

O artigo 27 é examinado depois de uma conclusão positiva ao abrigo do artigo 3, n.º 2, e quando o responsável pelo tratamento ou subcontratante não está estabelecido na União ². Não é uma quarta rota territorial nem uma forma de tornar aplicável um regulamento que ficou fora do artigo 3 ³.

A exceção exige condições cumulativas: o tratamento é ocasional, não inclui em grande escala categorias especiais do artigo 9 nem dados do artigo 10, e é improvável que resulte em risco para direitos e liberdades ²; se uma condição falhar, a exceção não está completa ³. A equipa deve testar cada elemento e não resumir tudo com “baixo volume”.

“Ocasional” requer mais do que uma frequência reduzida descrita sem contexto ². Avalie se a atividade é regular, integrada no modelo de negócio ou repetida de modo previsível. Para os dados e o risco, registe escala, natureza, contexto, finalidades e efeitos possíveis, mantendo as duas condições distintas ³.

As autoridades e organismos públicos têm uma exclusão separada. Uma empresa privada não deve importar essa regra para a sua própria análise. Quando a representação é necessária, a decisão documenta o território relevante e a relação com as atividades abrangidas, sem tratar o representante como substituto de responsabilidade.

O resultado deve mostrar as três condições da exceção em linhas distintas, com fonte e responsável. “Ocasional e baixo risco” não prova a ausência de grande escala em dados dos artigos 9 ou 10, e “poucos titulares” não demonstra ocasionalidade. Só a satisfação conjunta sustenta a exceção.

Registe a conclusão e os critérios de revisão

O registo territorial identifica o tratamento, a entidade e unidades envolvidas, a localização física das pessoas no momento relevante e cada rota examinada; para estabelecimento, conserva estabilidade e ligação contextual, para oferta, sinais e intenção, e para monitorização, comportamento, finalidade e reutilização.

Declare o resultado por atividade: aplicável pelo estabelecimento, pela oferta, pela monitorização, ou fora do artigo 3 nos factos atuais. Se o n.º 2 for positivo e não existir estabelecimento, acrescente a análise do artigo 27. Não converta uma incerteza sobre um facto central numa conclusão definitiva.

Inclua responsável, data, provas e eventos de reavaliação, pois novas campanhas, destinos de entrega, moedas, contactos locais, unidades europeias, configurações de rastreio ou finalidades comportamentais podem mudar o ramo. Uma revisão periódica sem eventos concretos é menos eficaz do que uma responsabilidade ligada às equipas que fazem essas alterações.

O documento deve permitir reproduzir a decisão sem confundir presença com nacionalidade ou residência. Registe onde a pessoa se encontrava e por que isso importa para a atividade. Essa disciplina é especialmente importante para serviços globais, cujos perfis de conta podem conter uma morada antiga que não revela a localização do comportamento observado.

Acrescente a versão das páginas, campanhas, configurações e contratos examinados. A conclusão territorial é tão forte quanto a ligação entre factos e prova; referências vagas a um sítio que muda diariamente não permitem saber que oferta foi avaliada. Capturas datadas e responsáveis por cada canal tornam os eventos comparáveis.

Perguntas frequentes sobre o âmbito territorial

A mera acessibilidade torna o RGPD aplicável?

Não. A acessibilidade simples não prova direcionamento ¹. A orientação territorial exige sinais objetivos adicionais ², e contactos publicados ou uma visita espontânea não bastam isoladamente.

Analise como a empresa atua perante essa visita e se outros sinais convergem. Uma resposta pontual difere de um canal concebido e promovido para servir pessoas na União.

A nacionalidade de uma pessoa decide a aplicação?

Não. Para oferta e monitorização, importa que a pessoa se encontre na União ². A nacionalidade ou residência não substitui essa localização ³, que deve ser ligada ao tratamento concreto.

O registo explica como a localização foi determinada e quais limitações existem. Um atributo de conta desatualizado não deve decidir sozinho onde o comportamento ocorreu.

Uma oferta gratuita pode estar abrangida?

Sim. O pagamento não é requisito ². A intenção objetiva pode resultar de entrega, publicidade, referências, moeda ou canais combinados ³, sem que qualquer sinal único seja automaticamente decisivo.

Confronte a apresentação comercial com configurações e prática real. A coerência do conjunto é mais informativa do que uma palavra, moeda ou domínio isolado.

Qualquer ferramenta de analítica é monitorização?

Não. O teste observa comportamento na União, recolha e reutilização comportamental ². Cookies ou geolocalização podem ser relevantes ³, mas configurações e finalidade determinam o resultado.

Documente eventos, persistência, inferências e utilização posterior. O nome do produto técnico não substitui esses factos nem transforma qualquer medição em monitorização.

Quando se aplica o artigo 27?

Depois de uma rota positiva do artigo 3, n.º 2 ¹, para entidade sem estabelecimento ². A exceção é cumulativa: ocasionalidade, ausência de grande escala nos dados dos artigos 9 e 10 e risco improvável ³.

Cada condição requer prova própria. Se uma falhar, a exceção não fica completa, mesmo que as outras pareçam claramente satisfeitas.

O resultado vale para toda a empresa?

Não. O âmbito é atividade específica ¹. Registe rota e factos ², porque uma operação local pode ficar fora enquanto outra oferta ou monitorização fica abrangida ³.

Inclua critérios de revisão associados às equipas que alteram mercados, unidades e observação. Assim, cada atividade é revista quando os seus próprios factos mudam.

A conclusão vale para a versão descrita, não para futuras operações com finalidades, localizações ou canais diferentes.