Il presente regolamento si applica al trattamento dei dati personali effettuato nell'ambito delle attività di uno stabilimento da parte di un titolare del trattamento o di un responsabile del trattamento nell'Unione, indipendentemente dal fatto che il trattamento sia effettuato o meno nell'Unione.
Il presente regolamento si applica al trattamento dei dati personali di interessati che si trovano nell'Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell'Unione, quando le attività di trattamento riguardano: a) l'offerta di beni o la prestazione di servizi ai suddetti interessati nell'Unione, indipendentemente dall'obbligatorietà di un pagamento dell'interessato; oppure b) il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all'interno dell'Unione.
Il presente regolamento si applica al trattamento dei dati personali effettuato da un titolare del trattamento che non è stabilito nell'Unione, ma in un luogo soggetto al diritto di uno Stato membro in virtù del diritto internazionale pubblico.
Spiegazione
Il GDPR si applica quando il trattamento è collegato alle attività di un’impresa o organizzazione stabilita nell’Unione, anche se i dati vengono trattati altrove. Può applicarsi anche a soggetti stabiliti fuori dall’Unione che offrono beni o servizi a persone che si trovano nell’Unione, anche gratuitamente. Vale inoltre quando questi soggetti osservano il comportamento di persone nell’Unione. Si applica infine ai trattamenti svolti da titolari stabiliti in luoghi sottoposti, in base al diritto internazionale pubblico, alla legge di uno Stato membro.
Perché esiste questa norma
La norma mira a tutelare le persone nell’Unione anche quando i loro dati sono trattati da soggetti o infrastrutture situati altrove. Collega l’applicazione del GDPR alla presenza di attività nell’Unione, all’offerta rivolta alle persone che vi si trovano e al monitoraggio del loro comportamento, evitando che la sola collocazione geografica del trattamento escluda tale tutela.
Domande frequenti
Un’azienda italiana che archivia i dati dei clienti su server fuori dall’Unione deve rispettare il GDPR?
Sì, se il trattamento avviene nell’ambito delle attività del suo stabilimento nell’Unione. La collocazione dei server, da sola, non esclude l’applicazione del regolamento.
Un negozio online con sede fuori dall’Unione che vende a persone che si trovano in Italia deve rispettare il GDPR?
Sì, quando il trattamento riguarda l’offerta di beni a persone che si trovano nell’Unione. Il fatto che il venditore sia stabilito all’estero non basta a escludere il regolamento.
Una app gratuita di un’azienda extraeuropea rientra nel GDPR?
Può rientrarvi se offre servizi a persone che si trovano nell’Unione: non è necessario che l’utente paghi. Conta il collegamento del trattamento con tale offerta.
Un sito straniero che raccoglie dati per osservare cosa fanno gli utenti in Europa è soggetto al GDPR?
Sì, se il trattamento riguarda il monitoraggio del comportamento di persone che si trovano nell’Unione e il comportamento osservato ha luogo al suo interno.
Un sito accessibile dall’Italia, ma che non offre beni o servizi alle persone nell’Unione e non ne monitora il comportamento, è automaticamente soggetto al GDPR?
Non per il solo fatto di essere accessibile dall’Italia. Per la regola applicabile ai soggetti non stabiliti nell’Unione, occorre che il trattamento riguardi l’offerta di beni o servizi oppure il monitoraggio indicati dalla norma.