Se aplică RGPD unei firme din afara Uniunii Europene?

O firmă din afara Uniunii nu intră automat sub RGPD fiindcă pagina sa poate fi deschisă dintr-un stat membru. Simpla accesibilitate nu demonstrează intenția de a oferi bunuri sau servicii persoanelor aflate în Uniune ¹. Pentru întrebarea dacă se aplică RGPD unei firme din afara UE, analiza începe cu activitatea concretă de prelucrare și cu cele trei rute din articolul 3 ².

Prima rută privește prelucrarea în contextul activităților unui sediu din Uniune, chiar dacă operațiunea are loc în altă parte ¹. A doua privește oferta intenționată de bunuri sau servicii către persoane aflate în Uniune, iar a treia monitorizarea comportamentului lor acolo ². Domeniul este specific activității: aceeași firmă poate avea o operațiune inclusă și alta în afara articolului 3.

Răspuns rapid: RGPD se aplică unei firme din afara UE numai activităților legate de un sediu din Uniune, de o ofertă intenționată către persoane aflate acolo sau de monitorizarea comportamentului lor în Uniune. Accesibilitatea globală nu este direcționare; verificați faptele, locația și articolul 27 după o rută pozitivă.

Ultima actualizare: 2 octombrie 2026

Începeți cu prelucrarea, nu cu sediul

Un dosar bine delimitat urmărește aceeași activitate de la colectare până la ștergere și identifică rolurile entităților, scopul comercial, sistemele și persoanele vizate. El separă localizarea persoanei la momentul ofertei ori observării de cetățenie, domiciliu, locul plății și infrastructură, pentru ca echipa să nu confunde un indiciu administrativ cu testul teritorial.

Articolul 3 nu acordă unei companii o etichetă teritorială permanentă, așadar inventariați activitățile de comandă, suport, analiză, publicitate, profilare, recrutare sau administrare a furnizorilor. Pentru fiecare, identificați operatorul ori persoana împuternicită, scopul, persoanele, locația lor la momentul relevant și legătura cu orice sediu din Uniune ¹.

Sediul social în afara Uniunii nu încheie analiza ², iar serverul dintr-un stat membru nu creează singur o rută, după cum nici serverul extern nu o exclude. Contează contextul funcțional al activității, intenția ofertei și monitorizarea comportamentului, nu geografia unei componente tehnice.

Pentru articolul 3 alineatul 2, „persoane aflate în Uniune” descrie prezența fizică relevantă, nu naționalitatea sau reședința ca statut abstract ³. Înregistrați indiciul de localizare și momentul fără a presupune că orice cetățean european este permanent în domeniu. O vizită temporară poate fi relevantă, însă firma trebuie totuși să ofere ori să monitorizeze în sensul rutei aplicabile.

Construiți inventarul la nivelul scopului și fluxului, nu al domeniului web. Un portal poate găzdui suport european, conținut global și o funcție locală fără legătură. Pentru fiecare traseu, păstrați contractele, configurația, campaniile și instrucțiunile care arată cine a proiectat activitatea, pentru cine și cu ce rezultat.

Testați separat cele trei rute

Evaluatorul notează separat, pentru fiecare rută, condiția unui răspuns pozitiv, faptul observat, dovada internă și pasul următor. Astfel, un sediu nerelevant nu oprește verificarea ofertei, lipsa ofertei nu ascunde monitorizarea, iar o activitate inclusă nu extinde automat concluzia asupra operațiunilor fără legătură.

Ordinea previne amestecarea unor teste diferite, deoarece criteriul sediului privește o prezență reală și contextul activităților sale ¹. Ruta ofertei caută intenția obiectivă față de persoane aflate în Uniune ², iar ruta monitorizării caută comportament în Uniune și un scop de observare și reutilizare.

Articolul 3 alineatul 3 păstrează o rută îngustă pentru locurile unde dreptul statelor membre se aplică în temeiul dreptului internațional public ¹. Nu o transformați într-o regulă generală pentru orice prezență externă. Documentați-o separat numai când există fapte juridice concrete ².

O rută pozitivă definește activitatea inclusă, nu toate datele companiei. Dacă un magazin direcționează o campanie către Uniune, acea campanie și operațiunile legate de ofertă cer analiză, dar un serviciu local fără legătură nu primește automat aceeași concluzie.

Testați rutele independent, fiindcă firma poate să nu aibă sediu în Uniune, dar să ofere intenționat, sau poate să nu ofere nimic, dar să monitorizeze. Înregistrați ramura negativă pentru fiecare, astfel încât o schimbare să redeschidă analiza afectată. Concluzia finală numește activitatea inclusă și nu devine o afirmație vagă despre întreaga companie.

Sediul presupune activitate reală și context

Comparați documentele societare cu modul efectiv de lucru. O echipă locală care negociază, promovează, sprijină și menține relația pentru serviciul extern poate contribui altfel decât un furnizor independent cu o funcție generică. Concluzia explică diferența prin decizii, venituri, instrucțiuni și dependențe operaționale, fără să lase denumirea contractuală să decidă singură.

Un sediu poate rezulta din exercitarea efectivă și reală a unei activități prin aranjamente stabile, chiar dacă forma juridică este modestă ¹. Lipsa unei filiale înregistrate nu este decisivă ², iar folosirea unui furnizor sau a unui server în Uniune nu constituie singură sediul firmei din afara Uniunii ³.

După identificarea sediului, testați legătura inextricabilă dintre activitatea sa și prelucrarea realizată peste hotare ¹. O unitate europeană care promovează, sprijină clienții sau generează venituri pentru serviciul extern poate crea un context relevant, chiar dacă baza de date și decizia operațională rămân în afara Uniunii ². Trebuie descrisă contribuția efectivă, nu doar structura grupului.

Evitați două scurtături: prima presupune că orice entitate din același grup extinde RGPD asupra întregii activități mondiale, deși testul rămâne contextual, iar a doua presupune că separarea contractuală elimină legătura, deși activitățile comerciale și de suport sunt interdependente; contractele sunt dovezi, nu substitut pentru realitate.

Intervievați separat unitatea din Uniune și persoana responsabilă de procesul extern, apoi comparați răspunsurile. Cine atrage clientul, cine gestionează relația, cine poate modifica serviciul și ce venit susține activitatea? O legătură comercială generică este insuficientă, însă un circuit coordonat și esențial poate demonstra contextul. Păstrați organigrama, fluxul și exemple operaționale, nu doar descrierea juridică.

Oferta cere intenție obiectivă

Priviți parcursul complet al clientului, de la reclamă sau rezultatul de căutare până la livrare, plată, asistență și reînnoire. O pagină neutră poate fi însoțită de o campanie geografică intenționată, iar o monedă ori o limbă aparent europeană poate avea o explicație locală. Inventarul păstrează probele și contraprobe, apoi explică rezultatul ansamblului.

Plata nu este obligatorie pentru ca o ofertă de bunuri sau servicii să intre în analiză ¹. Întrebarea este dacă firma a prevăzut și urmărit servirea persoanelor aflate în Uniune. Orientările cer evaluarea indiciilor în combinație, nu alegerea unui simbol universal ².

Alte indicii pot include rute locale de contact sau o limbă care nu este folosită în mod obișnuit în țara comerciantului. Niciun indiciu nu este decisiv singur, deoarece euro poate fi monedă curentă și în afara Uniunii, iar o limbă poate deservi o comunitate locală; explicați de ce ansamblul dovedește sau nu intenția.

Diagrama separă accesibilitatea de direcționare și păstrează monitorizarea ca rută distinctă.

Definiți activitatea, verificați contextul activităților unui sediu și apoi intenția ofertei. Accesibilitatea simplă trece către testul monitorizării, nu direct către aplicarea RGPD. Numai după o rută pozitivă a articolului 3 alineatul 2 se deschide analiza articolului 27.

Verificați semnalele la data activității, deoarece o campanie încheiată nu dovedește neapărat intenția unei funcții noi, iar condițiile actuale nu șterg o ofertă anterioară. Păstrați versiunile paginilor, țările de livrare, audiențele și rutele de suport. Ansamblul include și contraprobe, nu doar elementele selectate pentru concluzia dorită.

Accesibilitatea simplă păstrează ramura nu

Pentru o firmă cu adevărat locală, fișa poate consemna restricțiile de livrare, absența campaniilor și a suportului european, tratamentul solicitărilor externe și lipsa urmăririi comportamentale. Ea numește și evenimentele care ar invalida concluzia: acceptarea repetată a comenzilor, crearea unei audiențe geografice, localizarea serviciului sau introducerea unei funcții care reutilizează comportamentul persoanelor aflate în Uniune.

O pagină globală, o adresă de e-mail ori date de contact generale nu demonstrează singure că firma urmărește piața Uniunii ². Aceeași rezervă se aplică unei solicitări spontane sau vizitei nesolicitate a unei persoane din Uniune ³. Concluzia trebuie să distingă reacția accidentală de o strategie orientată.

Luați o firmă americană fără sediu în Uniune, care servește numai piața internă, livrează numai local și nu monitorizează comportamentul în Uniune. Faptul că un turist deschide pagina sau trimite un mesaj nu transformă activitatea într-o ofertă europeană ³. Dacă firma refuză livrarea externă și nu creează un traseu comercial pentru Uniune, ramura negativă rămâne reală.

Nu transformați însă o declarație „doar SUA” într-un scut dacă practica arată campanii europene, livrare, suport local sau clienți urmăriți. Verificați configurația, facturile, audiențele și instrucțiunile echipei ². În sens invers, o singură adresă europeană apărută într-un jurnal nu dovedește o strategie.

Pentru solicitările nesolicitate, documentați răspunsul firmei, deoarece o vânzare izolată acceptată manual nu este identică extinderii intenționate, dar repetarea, suportul dedicat sau promovarea ulterioară pot schimba ansamblul. Definiți evenimentul care transformă excepția într-un canal și trimiteți-l persoanei responsabile înainte de repetare.

Ramura „nu” are limite explicite: țări livrate, public vizat, urmărire și rolul unității europene. Fără limite, echipa nu recunoaște când configurația comercială schimbă concluzia. Revizuirea periodică ajută, însă declanșatorul legat de campanie sau integrare este mai rapid ³.

Monitorizarea cere comportament și scop

Evaluatorul urmărește datele din browser sau dispozitiv până la profil, segment și acțiunea ulterioară. Verifică durata identificatorilor, combinarea între servicii, scopul declarat și cel configurat, precum și reutilizarea de către furnizor. Această analiză distinge măsurarea agregată limitată de observarea intenționată pentru predicție, clasificare, publicitate ori adaptarea tratamentului viitor.

Monitorizarea este distinctă de ofertă, deoarece trebuie să existe comportament al persoanelor în Uniune și o activitate orientată spre colectarea și reutilizarea informațiilor comportamentale ¹. Orientările leagă analiza de urmărirea persoanelor și de profilarea ulterioară ².

Instrumentele de analiză, publicitatea comportamentală, geolocalizarea, modulele cookie și amprentarea pot furniza dovezi ³. Numele instrumentului nu decide: o statistică agregată, fără traseu individual și fără reutilizare, poate avea alt rezultat decât construirea unui profil persistent pentru predicție sau influențare, astfel că trebuie examinate identificatorii, durata, combinarea, scopul și acțiunea declanșată ¹.

Locația comportamentului trebuie dovedită în mod proporțional ², deoarece cetățenia persoanei nu substituie prezența în Uniune, iar domiciliul declarat poate să nu descrie momentul urmăririi. În același timp, firma nu poate evita testul ignorând deliberat semnale de localizare pe care le folosește pentru publicitate sau segmentare ³.

Nu orice analiză este monitorizare în sensul articolului 3, astfel că dosarul explică scopul, granularitatea și reutilizarea, apoi stabilește dacă activitatea urmărește comportamentul persoanei în Uniune.

Examinați traseul identificatorului: unde este creat, cu ce date se asociază, cât persistă și ce decizie influențează. O funcție activată de furnizor poate conta chiar dacă echipa nu deschide tabloul, iar una disponibilă, dar dezactivată și testată, nu este tratată automat drept activă; contractul, configurația și testul trebuie să coincidă.

Separarea dintre măsurare și monitorizare este revalidată când granularitatea crește. Trecerea de la statistici agregate la profil individual, geolocalizare ori reutilizare publicitară poate deschide ruta. Persoana responsabilă păstrează configurația aprobată și un eveniment de revizuire pentru asemenea schimbări.

Rezolvați cazurile limită pe activitate

În atelier, aceeași echipă aplică tabelul unor activități diferite și explică fiecare rezultat fără să invoce numele companiei. Exercițiul arată când reputația grupului, dimensiunea produsului ori existența unei entități europene au înlocuit faptele. Păstrează totodată rezultatul legitim în care o funcție globală accesibilă rămâne în afara articolului 3, iar o campanie sau profilare separată intră în domeniu.

Tabelul nu înlocuiește probele, astfel că pentru fiecare scenariu echipa notează contractele, campaniile, livrarea, configurarea urmăririi și contribuția unităților. Două activități ale aceleiași firme pot ajunge la rezultate diferite, deoarece articolul 3 urmărește prelucrarea în contextul ei.

Rezultatul fiecărui rând rămâne condiționat de fapte: pentru SaaS, livrarea nouă poate schimba oferta; pentru profilator, oprirea urmăririi individuale poate schimba monitorizarea; pentru grup, reorganizarea suportului poate schimba contextul. Înregistrați proba și responsabilul fiecărei celule.

Folosiți cazurile pentru consistență, nu pentru analogie superficială: două produse accesibile global pot avea rezultate opuse dacă unul refuză piața Uniunii, iar altul o cultivă prin campanii și suport. Activitatea reală are prioritate față de categoria comercială.

Testați articolul 27 numai după articolul 3

Analiza reprezentantului precizează entitatea, rolul și activitatea din articolul 3 alineatul 2, apoi regularitatea, categoriile de date, amploarea și riscul. Condițiile excepției sunt verificate împreună, pe aceeași bază factuală. Dacă desemnarea este necesară, mandatul și contactul se leagă de operațiunile acoperite, fără transferul responsabilității operatorului ori persoanei împuternicite.

Reprezentantul nu este o rută care face RGPD aplicabil, întrucât articolul 27 se analizează după o concluzie pozitivă potrivit articolului 3 alineatul 2 și numai pentru un operator sau o persoană împuternicită fără sediu în Uniune ^2,3. O concluzie negativă la articolul 3 nu se repară prin desemnarea voluntară a unui reprezentant.

Excepția pentru anumite prelucrări este cumulativă: activitatea trebuie să fie ocazională, să nu includă pe scară largă categoriile speciale ori datele din articolul 10 și să fie improbabil să genereze risc pentru drepturi și libertăți ^2,3. Dacă lipsește o singură condiție, excepția nu este demonstrată, iar frecvența, regularitatea, volumele și integrarea în modelul de afaceri trebuie susținute prin fapte.

Autoritățile și organismele publice au o excepție separată ^2,3. Nu amestecați cele două trasee și nu extindeți excepția publică asupra unui furnizor privat. Dosarul indică baza exactă, entitatea, activitatea și motivul.

Dacă reprezentantul este necesar, documentați mandatul, accesibilitatea și activitatea acoperită. Desemnarea nu transferă responsabilitatea și nu remediază alte obligații. Dacă firma invocă excepția cumulativă, evaluați fiecare condiție pe aceeași prelucrare; nu combinați caracterul ocazional al unei activități cu riscul redus al alteia.

Documentați concluzia și declanșatorii

O concluzie reproductibilă arată fiecărei echipe ce poate schimba rezultatul. Responsabilul pentru piață urmărește țările și campaniile, cel pentru produs urmărește localizarea și funcțiile comportamentale, iar cel pentru structură urmărește aranjamentele stabile. Modificările sunt comparate cu versiunea aprobată înainte de activarea noii activități.

Fișa teritorială identifică activitatea, operatorul, persoanele împuternicite, persoanele vizate și locul lor la momentul relevant. Pentru criteriul sediului, descrie aranjamentele și legătura funcțională; pentru ofertă, inventariază semnalele și contraprobe; pentru monitorizare, explică scopul și reutilizarea.

Concluzia numește ruta, activitatea inclusă și activitățile neacoperite, iar dacă articolul 3 alineatul 2 este pozitiv, fișa adaugă analiza articolului 27, inclusiv fiecare condiție cumulativă. Responsabilul, data, sursele interne și aprobatorul permit reproducerea deciziei.

Declanșatorii includ o unitate nouă în Uniune, o campanie geografică, livrare nouă, monedă ori rută de contact, extinderea urmăririi sau schimbarea furnizorului de analiză. Revizuirea se face înainte ca schimbarea să redefinească activitatea, nu după ce vechea concluzie devine convenabilă.

Conectați fișa la aprobarea campaniilor, configurarea produsului și integrarea furnizorilor. Responsabilul analizei teritoriale nu poate observa o piață nouă dacă schimbarea rămâne numai în instrumentul publicitar. Fluxul de lansare cere țările vizate, livrarea, identificatorii și suportul, apoi compară răspunsurile cu concluzia existentă.

La revizuire, păstrați versiunea anterioară și explicați diferența. Trecerea de la „nu” la „da” identifică activitatea și data; trecerea la „nu” dovedește oprirea semnalelor ori monitorizării, nu doar schimbarea textului. Aprobatorul confirmă consecințele operaționale și analiza reprezentantului, când aceasta se aplică.

Întrebări frecvente despre aplicarea teritorială

Răspunsurile scurte trebuie reconciliate cu inventarul activității. Prezența fizică se demonstrează pentru momentul relevant, intenția rezultă din conduită observabilă, monitorizarea se leagă de reutilizare, iar criteriul sediului, de contextul activității. Articolul 27 rămâne consecința unei rute pozitive, nu o modalitate de a presupune domeniul teritorial. Fiecare răspuns păstrează activitatea și perioada la care se referă.

Se aplică automat unei firme externe?

Nu, deoarece fiecare activitate este testată prin criteriul sediului ¹, ofertă ori monitorizare ², iar sediul extern nu exclude domeniul, dar accesibilitatea globală nu îl creează singură.

Accesul din Uniune înseamnă ofertă?

Nu, deoarece accesibilitatea, e-mailul sau contactele generale sunt insuficiente ^2,3. Intenția rezultă din semnale combinate, precum livrarea, publicitatea și referințele orientate.

Contează cetățenia persoanei?

Articolul 3 alineatul 2 privește persoana aflată în Uniune, nu cetățenia ca etichetă ^2,3. Dovada trebuie să lege prezența fizică relevantă de ofertă ori monitorizare.

Orice analiză este monitorizare?

Nu, deoarece contează comportamentul în Uniune, scopul urmăririi și reutilizarea ^2,3, iar un instrument poate fi relevant, dar numele lui nu decide.

Când este necesar reprezentantul?

După o rută pozitivă a articolului 3 alineatul 2, entitatea fără sediu în Uniune testează articolul 27, iar excepția privată este cumulativă ^1,2,3.

Ce redeschide analiza?

Un sediu, o piață, o campanie, o livrare sau o tehnologie nouă poate schimba ruta ¹. Dosarul păstrează responsabilul și dovezile ^2,3, astfel încât concluzia să fie revizuită înaintea activității extinse.

Răspunsurile trebuie citite în secvență: activitate, prezență fizică relevantă, sediu, intenție, monitorizare și abia apoi reprezentant. Dacă echipa începe cu cetățenia, serverul sau existența unui reprezentant, răspunde altei întrebări. Refaceți traseul pe dovezi și păstrați explicit ramura firmei cu adevărat locale.

Verificați separat operațiunile istorice și cele viitoare, deoarece o concluzie pentru lansarea curentă nu șterge o campanie trecută și nu autorizează o extindere planificată. Versiunile permit echipei să explice când și de ce s-a aplicat fiecare rută, fără o etichetă permanentă la nivel de companie, iar dosarul identifică activitatea, perioada, persoanele și faptele decisive pentru fiecare versiune, astfel încât firma să poată demonstra nu doar rezultatul actual, ci și momentul în care o ofertă, monitorizare ori legătură cu sediul a schimbat analiza.