Navigation
GDPR > 3 straipsnis. Teritorinė taikymo sritis
Download PDF

3 straipsnis BDAR. Teritorinė taikymo sritis

1. Šis reglamentas taikomas asmens duomenų tvarkymui, kai asmens duomenis Sąjungoje tvarko duomenų valdytojo arba duomenų tvarkytojo buveinė, vykdydama savo veiklą, neatsižvelgiant į tai, ar duomenys tvarkomi Sąjungoje, ar ne.

Guidelines & Case Law Recitals

(22) bet koks asmens duomenų tvarkymas, kai asmens duomenis Sąjungoje vykdydama savo veiklą tvarko duomenų valdytojo arba duomenų tvarkytojo buveinė, turėtų vykti pagal šį reglamentą, neatsižvelgiant į tai, ar pati tvarkymo operacija atliekama Sąjungoje. Buveinė reiškia, kad per stabilias struktūras vykdoma veiksminga ir reali veikla. Teisinė tokių struktūrų forma, neatsižvelgiant į tai, ar tai filialas ar patronuojamoji bendrovė, turinti juridinio asmens statusą, tuo požiūriu nėra lemiamas veiksnys;

(14) šiuo reglamentu užtikrinama apsauga turėtų būti taikoma fiziniams asmenims tvarkant jų asmens duomenis, neatsižvelgiant į jų pilietybę ar gyvenamąją vietą. Šis reglamentas neapimama juridinių asmenų ir visų pirma su juridinio asmens statusą turinčių įmonių duomenų, įskaitant juridinio asmens pavadinimą, teisinę formą ir kontaktinius duomenis, tvarkymo;

Related

2. Šis reglamentas taikomas asmens duomenų tvarkymui, kai Sąjungoje esančių duomenų subjektų asmens duomenis tvarko Sąjungoje neįsisteigęs duomenų valdytojas arba duomenų tvarkytojas ir duomenų tvarkymo veikla yra susijusi su:

a) prekių arba paslaugų siūlymu tokiems duomenų subjektams Sąjungoje, nepaisant to, ar už šias prekes arba paslaugas duomenų subjektui reikia mokėti; arba

Recitals

(23) kad fiziniams asmenims būtų užtikrinta apsauga, į kurią jie turi teisę pagal šį reglamentą, šis reglamentas turėtų būti taikomas Sąjungoje esančių duomenų subjektų asmens duomenų, kuriuos tvarko Sąjungoje neįsisteigęs duomenų valdytojas arba duomenų tvarkytojas, tvarkymui, kai duomenų tvarkymo veikla yra susijusi su prekių ar paslaugų siūlymu tokiems duomenų subjektams, neatsižvelgiant į tai, ar tai susiję su mokėjimu. Siekiant nustatyti, ar toks duomenų valdytojas arba duomenų tvarkytojas siūlo prekes ar paslaugas Sąjungoje esantiems duomenų subjektams, turėtų būti įsitikinta, ar akivaizdu, kad tas duomenų valdytojas arba duomenų tvarkytojas numato teikti paslaugas duomenų subjektams vienoje ar keliose valstybėse narėse Sąjungoje. Kadangi vien tik to, kad Sąjungoje yra prieinami duomenų valdytojo, duomenų tvarkytojo ar tarpininko interneto svetainė ar el. pašto adresas, ir kiti kontaktiniai duomenys arba kad vartojama kalba, kuri paprastai vartojama trečiojoje valstybėje, kurioje yra įsisteigęs duomenų valdytojas, nepakanka įsitikinti, kad esama tokio ketinimo, tokie veiksniai kaip kalbos ar valiutos, paprastai vartojamų (naudojamų) vienoje ar keliose valstybėse narėse, vartojimas (naudojimas) su galimybe užsisakyti prekes ir paslaugas ta kita kalba, arba Sąjungoje esančių vartotojų ar naudotojų minėjimas gali būti aspektai, iš kurių aišku, kad duomenų valdytojas numato siūlyti prekes ar paslaugas duomenų subjektams Sąjungoje;

Related

b) elgesio, kai jie veikia Sąjungoje, stebėsena.

Recitals

(24) šis reglamentas taip pat turėtų būti taikomas Sąjungoje esančių duomenų subjektų asmens duomenų, kuriuos tvarko Sąjungoje neįsisteigęs duomenų valdytojas arba duomenų tvarkytojas, tvarkymui, kai duomenų tvarkymas susijęs su tokių duomenų subjektų elgesio tiek, kiek jų elgesys vyksta Sąjungoje, stebėsena. Siekiant nustatyti, ar duomenų tvarkymo veikla gali būti laikoma duomenų subjektų elgesio stebėsena, reikėtų įsitikinti, ar fiziniai asmenys internete atsekami, be kita ko, vėliau galbūt taikant asmens duomenų tvarkymo metodus, kuriais fiziniam asmeniui suteikiamas profilis, ypač siekiant priimti su juo susijusius sprendimus arba išnagrinėti ar prognozuoti jo asmeninius pomėgius, elgesį ir požiūrius;

Related

3. Šis reglamentas taikomas asmens duomenų tvarkymui, kai asmens duomenis tvarko duomenų valdytojas, įsisteigęs ne Sąjungoje, o vietoje, kurioje pagal viešąją tarptautinę teisę taikoma valstybės narės teisė.

Recitals

(25) kai pagal tarptautinę viešąją teisę taikoma valstybės narės teisė, pavyzdžiui, valstybių narių diplomatinėse atstovybėse ar konsulinėse įstaigose, šis reglamentas taip pat turėtų būti taikomas Sąjungoje neįsisteigusiems duomenų valdytojams;

Expert commentary Recitals Guidelines & Case Law Leave a comment
Expert commentary

One of the most frequent questions asked is whether a company falls within the scope of the GDPR. It relates, among other things, to the definition of the European regulation’s territorial scope.

Here you can find a little self-assessment test:

Does the GDPR apply in these cases?

  1. A Russian mobile application processes the geolocation data of Russian and foreign nationals in the EU.
  2. A Belarusian dating site collects contact information from all its users. Americans and Europeans who come to Belarus and want to meet local women can also register on the site.
  3. An Italian chain has opened a new hotel in Kyiv, where both Europeans and citizens of other countries stay. Guests registration is carried out on the Italian site, and data are processed in the head office of the management company in Italy.
  4. An American training platform uses personal data to sell online courses around the world.
  5. EU nationals, who are on vacation in India, came to an Austrian airline’s local office in Mumbai to fly to Bali for a couple of days. For this purpose, their passport information and bank card data were collected, as well as the information that the passengers are vegetarians.
  6. EU users visit the site of a company from Rostov-on-Don 2-3 times a month and order flower deliveries in the city for their loved ones. The site is in Russian. Deliveries are only in Rostov. The currency of payment is the Russian ruble.

If you doubt the answers, go on reading and you will find the detailed analysis in the video lesson at the bottom of this article (in Russian).

Here are three cases, which show when it is necessary to observe the GDPR:

  1. When data are processed in the context of the activities of an establishment in the EU. In other words, if the office is physically located in any of the EU countries and the data are processed in that office, the GDPR applies. Thus, the correct answer to the third question concerning the Italian hotel is affirmative, i.e. it is necessary to comply with the GDPR.

By the way, this paragraph does not apply only to a physical office or a registered legal entity. There are many other unobvious examples of what should be considered as the “context of the activities of an establishment”. We describe them in detail in the video.

  1. When the data subject is in the EU and the processing relates to the supply of goods and services. In this case, “data subject” does not refer only to European citizens, but also to people from other countries who are passing through, traveling, or staying temporary in Europe. At the same time, the goods and services do not necessarily have to be paid for. For example, a free mobile app that you have downloaded.

Therefore, if, for example, a Russian citizen, being in Latvia, has used a Russian mobile application, she or he is protected by the GDPR. So the correct answer to the first question is affirmative, i.e. it is necessary to comply with the GDPR.

By the way, according to this paragraph, the GDPR also applies to other cases, which we have mentioned at the beginning of this article. For instance, in the second case, the Belarusian dating site provides a service to European citizens, as well as the American platform from the fourth case.

In comparison, in the fifth case concerning the purchase of tickets to Bali, the GDPR is not applicable, as these people have left the EU and are buying tickets in the office in India.

Do you know why in the sixth case concerning the flower delivery the GDPR does not apply, although the data of European citizens are processed? The reason is that the exception described in the recitals of the Regulation is based on a specific judicial precedent.

For more details on these recitals and court precedent, please see our video lesson.

  1. When you monitor behaviour within the EU. These situations are rare. And that rule does not apply to any of the cases from this article. More detailed information can be found in the video.

We hope that the information was helpful. Share it with your colleagues and make sure to see our detailed video lesson below in which you will find:

  • A detailed explanation of the diagram “the territorial scope of the GDPR”;
  • Explanation of articles, recitals, judicial precedents, and clarification by the supervisory authority;
  • Further examples and cases from practice;
  • Detailed case analysis from this article.

[…]


to read the full text

Author
Siarhei Varankevich
Siarhei Varankevich CIPP/E, CIPM, CIPT, MBA, FIP
FIP_IAPP
Co-Founder & CEO of Data Privacy Office LLC. Data Protection Trainer and Principal Consultant
Recitals

(22) bet koks asmens duomenų tvarkymas, kai asmens duomenis Sąjungoje vykdydama savo veiklą tvarko duomenų valdytojo arba duomenų tvarkytojo buveinė, turėtų vykti pagal šį reglamentą, neatsižvelgiant į tai, ar pati tvarkymo operacija atliekama Sąjungoje. Buveinė reiškia, kad per stabilias struktūras vykdoma veiksminga ir reali veikla. Teisinė tokių struktūrų forma, neatsižvelgiant į tai, ar tai filialas ar patronuojamoji bendrovė, turinti juridinio asmens statusą, tuo požiūriu nėra lemiamas veiksnys;

(23) kad fiziniams asmenims būtų užtikrinta apsauga, į kurią jie turi teisę pagal šį reglamentą, šis reglamentas turėtų būti taikomas Sąjungoje esančių duomenų subjektų asmens duomenų, kuriuos tvarko Sąjungoje neįsisteigęs duomenų valdytojas arba duomenų tvarkytojas, tvarkymui, kai duomenų tvarkymo veikla yra susijusi su prekių ar paslaugų siūlymu tokiems duomenų subjektams, neatsižvelgiant į tai, ar tai susiję su mokėjimu. Siekiant nustatyti, ar toks duomenų valdytojas arba duomenų tvarkytojas siūlo prekes ar paslaugas Sąjungoje esantiems duomenų subjektams, turėtų būti įsitikinta, ar akivaizdu, kad tas duomenų valdytojas arba duomenų tvarkytojas numato teikti paslaugas duomenų subjektams vienoje ar keliose valstybėse narėse Sąjungoje. Kadangi vien tik to, kad Sąjungoje yra prieinami duomenų valdytojo, duomenų tvarkytojo ar tarpininko interneto svetainė ar el. pašto adresas, ir kiti kontaktiniai duomenys arba kad vartojama kalba, kuri paprastai vartojama trečiojoje valstybėje, kurioje yra įsisteigęs duomenų valdytojas, nepakanka įsitikinti, kad esama tokio ketinimo, tokie veiksniai kaip kalbos ar valiutos, paprastai vartojamų (naudojamų) vienoje ar keliose valstybėse narėse, vartojimas (naudojimas) su galimybe užsisakyti prekes ir paslaugas ta kita kalba, arba Sąjungoje esančių vartotojų ar naudotojų minėjimas gali būti aspektai, iš kurių aišku, kad duomenų valdytojas numato siūlyti prekes ar paslaugas duomenų subjektams Sąjungoje;

(24) šis reglamentas taip pat turėtų būti taikomas Sąjungoje esančių duomenų subjektų asmens duomenų, kuriuos tvarko Sąjungoje neįsisteigęs duomenų valdytojas arba duomenų tvarkytojas, tvarkymui, kai duomenų tvarkymas susijęs su tokių duomenų subjektų elgesio tiek, kiek jų elgesys vyksta Sąjungoje, stebėsena. Siekiant nustatyti, ar duomenų tvarkymo veikla gali būti laikoma duomenų subjektų elgesio stebėsena, reikėtų įsitikinti, ar fiziniai asmenys internete atsekami, be kita ko, vėliau galbūt taikant asmens duomenų tvarkymo metodus, kuriais fiziniam asmeniui suteikiamas profilis, ypač siekiant priimti su juo susijusius sprendimus arba išnagrinėti ar prognozuoti jo asmeninius pomėgius, elgesį ir požiūrius;

(25) kai pagal tarptautinę viešąją teisę taikoma valstybės narės teisė, pavyzdžiui, valstybių narių diplomatinėse atstovybėse ar konsulinėse įstaigose, šis reglamentas taip pat turėtų būti taikomas Sąjungoje neįsisteigusiems duomenų valdytojams;

Guidelines & Case Law Leave a comment
[js-disqus]