Статья 3 📖 GDPR. Территориальная сфера действия

Статья 3 GDPR. Территориальная сфера действия

Article 3 GDPR. Territorial scope

1. Настоящий Регламент применяется к обработке персональных данных в контексте деятельности организационной единицы контролёра или процессора в Союзе, независимо от того, производится обработка в Союзе или нет.

1. This Regulation applies to the processing of personal data in the context of the activities of an establishment of a controller or a processor in the Union, regardless of whether the processing takes place in the Union or not.

Руководство и прецедентное право Преамбулы Связанные статьи

Руководство и прецедентное право

(EN)

Documents

WP29, Update of Opinion on applicable law in light of the CJEU judgement in Google Spain (2010).

Case Law

CJEU, Google Spain SL/Agencia española de protección de datos, C-131/12 (2014):

55. In the light of that objective of Directive 95/46 and of the wording of Article 4(1)(a), it must be held that the processing of personal data for the purposes of the service of a search engine such as Google Search, which is operated by an undertaking that has its seat in a third State but has an establishment in a Member State, is carried out ‘in the context of the activities’ of that establishment if the latter is intended to promote and sell, in that Member State, advertising space offered by the search engine which serves to make the service offered by that engine profitable.

56. In such circumstances, the activities of the operator of the search engine and those of its establishment situated in the Member State concerned are inextricably linked since the activities relating to the advertising space constitute the means of rendering the search engine at issue economically profitable and that engine is, at the same time, the means enabling those activities to be performed. (page 14)

CJEU, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein/Wirtschaftsakademie Schleswig-Holstein GmbH, C-210/16 (2018):

… where an undertaking established outside the European Union has several establishments in different Member States, the supervisory authority of a Member State is entitled to exercise the powers conferred on it by Article 28(3) of that directive with respect to an establishment of that undertaking situated in the territory of that Member State even if, as a result of the division of tasks within the group, first, that establishment is responsible solely for the sale of advertising space and other marketing activities in the territory of that Member State and, second, exclusive responsibility for collecting and processing personal data belongs, for the entire territory of the European Union, to an establishment situated in another Member State. (page 14)

Преамбулы

(22) Любая обработка персональных данных в контексте деятельности организационной единицы контролёра или процессора в Союзе должна осуществляться в соответствии с настоящим Регламентом, независимо от того, осуществляется ли сама обработка собственно на территории Союза. Организационная единица подразумевает эффективное и реальное осуществление деятельности постоянных структур. При этом, правовая форма таких структур, будь то филиал или правосубъектное дочернее предприятие, не является определяющим фактором.

(22) Any processing of personal data in the context of the activities of an establishment of a controller or a processor in the Union should be carried out in accordance with this Regulation, regardless of whether the processing itself takes place within the Union. Establishment implies the effective and real exercise of activity through stable arrangements. The legal form of such arrangements, whether through a branch or a subsidiary with a legal personality, is not the determining factor in that respect.

(14) Защита, предусмотренная настоящим Регламентом, должна применяться к физическим лицам, независимо от их гражданства или места жительства, в связи с обработкой их персональных данных. Настоящий Регламент не распространяется на обработку персональных данных юридических лиц и, в частности, на предприятия, созданные как юридические лица, включая наименование и организационно-правовую форму юридического лица, а также и реквизиты юридического лица.

(14) The protection afforded by this Regulation should apply to natural persons, whatever their nationality or place of residence, in relation to the processing of their personal data. This Regulation does not cover the processing of personal data which concerns legal persons and in particular undertakings established as legal persons, including the name and the form of the legal person and the contact details of the legal person.

Связанные статьи

Руководство по территориальной сфере действия GDPR (статья 3)

Guidelines 3/2018 on the territorial scope of the GDPR (Article 3)

Организационная единица в Союзе

“An establishment in the Union”

Порог для «постоянных структур [9]» может быть довольно низким, когда деятельность контролера сосредоточена на предоставлении услуг в режиме онлайн. В результате в некоторых обстоятельствах присутствие в Союзе одного единственного сотрудника или агента не-ЕС-организации, может быть достаточным для создания постоянной структуры (приравненной к «организационной единице» для целей статьи 3(1)), если этот сотрудник или агент действует с достаточной степенью постоянства. И наоборот, когда сотрудник находится в ЕС, но обработка не выполняется в Союзе в контексте деятельности сотрудника из ЕС (т. е. Обработка относится к действиям контролера за пределами ЕС), простое присутствие сотрудника в ЕС не приведет к тому, что эта обработка попадет в сферу действия GDPR. Другими словами, простого присутствия работника в ЕС недостаточно для применения GDPR, поскольку для того, чтобы рассматриваемая обработка попадала в сферу действия GDPR, она также должна выполняться в контексте деятельности сотрудника из ЕС.

The threshold for “stable arrangement [9]” can actually be quite low when the centre of activities of a controller concerns the provision of services online. As a result, in some circumstances, the presence of one single employee or agent of a non-EU entity in the Union may be sufficient to constitute a stable arrangement (amounting to an ‘establishment’ for the purposes of Art 3(1)) if that employee or agent acts with a sufficient degree of stability. Conversely, when an employee is based in the EU but the processing is not being carried out in the context of the activities of the EU-based employee in the Union (i.e. the processing relates to activities of the controller outside the EU), the mere presence of an employee in the EU will not result in that processing falling within the scope of the GDPR. In other words, the mere presence of an employee in the EU is not as such sufficient to trigger the application of the GDPR, since for the processing in question to fall within the scope of the GDPR, it must also be carried out in the context of the activities of the EU-based employee.

_{[9] Weltimmo, параграф 31.}

_{[9] Weltimmo, paragraph 31.}

Тот факт, что организация, не являющаяся членом ЕС, ответственна за обработку данных, не имеет филиала или дочерней компании в государстве-члене, не исключает возможности наличия ее организационной единицы в значении закона ЕС о защите данных. Хотя понятие организационной единицы является широким, оно не без ограничений. Невозможно сделать вывод о том, что организация не из ЕС, имеет организационную единицу в Союзе только потому, что веб-сайт организации доступен в Союзе [10].

The fact that the non-EU entity responsible for the data processing does not have a branch or subsidiary in a Member State does not preclude it from having an establishment there within the meaning of EU data protection law. Although the notion of establishment is broad, it is not without limits. It is not possible to conclude that the non-EU entity has an establishment in the Union merely because the undertaking’s website is accessible in the Union [10].

_{[10] CJEU, Verein für Konsumenteninformation v. Amazon EU Sarl, Дело C‑191/15, 28 Июль 2016, параграф 76 (далее — “Verein für Konsumenteninformation”).}

_{[10] CJEU, Verein für Konsumenteninformation v. Amazon EU Sarl, Case C‑191/15, 28 July 2016, paragraph 76 (hereafter “Verein für Konsumenteninformation”).}

Обработка персональных данных осуществляется «в контексте деятельности» организационной единицы

Processing of personal data carried out “in the context of the activities of” an establishment

EDPB считает, что для целей статьи 3(1) «обработка персональных данных в контексте деятельности организационной единицы контролёра или процессора» должна пониматься исходя из соответствующего прецедентного права. С одной стороны, с целью достижения цели обеспечения эффективной и полной защиты, значение «в контексте деятельности организационной единицы» не может толковаться ограничительно [12]. С другой стороны, существование организационной единицы по смыслу GDPR не следует толковать слишком широко, чтобы сделать вывод о том, что существование какого-либо присутствия на территории ЕС, имеющего даже самые отдаленные связи с деятельностью организации, расположенной не на территории ЕС, по обработке данных будет достаточным, чтобы включить эту обработку в сферу действия закона ЕС о защите данных. Некоторая коммерческая деятельность, осуществляемая организацией, расположенной не на территории ЕС, в государстве-члене, действительно может быть настолько не связана с обработкой персональных данных этой организацией, что осуществление коммерческой деятельности на территории ЕС будет недостаточным для отнесения обработки данных организацией, не расположенной на территории ЕС, к сфере действия закона ЕС о защите данных [13].

The EDPB considers that, for the purpose of Article 3(1), the meaning of “processing in the context of the activities of an establishment of a controller or a processor” is to be understood in light of the relevant case law. On the one hand, with a view to fulfilling the objective of ensuring effective and complete protection, the meaning of “in the context of the activities of an establishment” cannot be interpreted restrictively [12]. On the other hand, the existence of an establishment within the meaning of the GDPR should not be interpreted too broadly to conclude that the existence of any presence in the EU with even the remotest links to the data processing activities of a non-EU entity will be sufficient to bring this processing within the scope of EU data protection law. Some commercial activity carried out by a non-EU entity within a Member State may indeed be so far removed from the processing of personal data by this entity that the existence of the commercial activity in the EU would not be sufficient to bring the data processing by the non-EU entity within the scope of EU data protection law [13].

_{[12] Weltimmo, параграф 25 и Google Испания, параграф 53.}

_{[12] Weltimmo, paragraph 25 and Google Spain, paragraph 53.}

_{[13] G29 WP 179 обновление — Обновление мнения 8/2010 о применимом праве в свете CJEU решения Google Испания, 16 декабря 2015.}

_{[13] G29 WP 179 update — Update of Opinion 8/2010 on applicable law in light of the CJEU judgment in Google Spain, 16th December 2015}

Рассмотрение следующих двух факторов может помочь определить, выполняется ли обработка контролёром или процессором в контексте его организационной единицы в Союзе.

Consideration of the following two factors may help to determine whether the processing is being carried out by a controller or processor in the context of its establishment in the Union

i) Отношения между контролёром данных или процессором, находящегося за пределами Союза, и его организационной единицей в Союзе

i) Relationship between a data controller or processor outside the Union and its local establishment in the Union

Деятельность контролёра или процессора данных, имеющих организационную единицу за пределами ЕС, по обработке данных может быть неразрывно связана с деятельностью местной организационной единицы в государстве-члене и, таким образом, может инициировать применимость законодательства ЕС, даже если эта местная организационная единица фактически не принимает какое-либо участие в самой обработке данных [14]. Если в каждом конкретном случае анализ фактов показывает, что существует неразрывная связь между обработкой персональных данных, осуществляемой контроллером или процессором, не находящихся в ЕС, и деятельностью организационной единицы, расположенной в ЕС, то закон ЕС будет применяться к такой обработке организации, расположенной за пределами ЕС, вне зависимости от организационной единицы, расположенной в ЕС, в этой обработке данных [15].

The data processing activities of a data controller or processor established outside the EU may be inextricably linked to the activities of a local establishment in a Member State, and thereby may trigger the applicability of EU law, even if that local establishment is not actually taking any role in the data processing itself [14]. If a case by case analysis on the facts shows that there is an inextricable link between the processing of personal data carried out by a non-EU controller or processor and the activities of an EU establishment, EU law will apply to that processing by the non-EU entity, whether or not the EU establishment plays a role in that processing of data [15].

_{[14] CJEU, Google Испания, Дело C‑131/12}

_{[14] CJEU, Google Spain, Case C‑131/12}

_{[15] G29 WP 179 обновление — обновление мнения 8/2010 о применимом праве в свете решения CJEU Google Испания, 16 декабря 2015}

_{[15] G29 WP 179 update — Update of Opinion 8/2010 on applicable law in light of the CJEU judgment in Google Spain, 16th December 2015}

ii) Получение доходов в Союзе

ii) Revenue raising in the Union

Получение доходов в ЕС местной организационной единицей в той степени, в которой такая деятельность может рассматриваться как «неразрывно связанная» с обработкой персональных данных, происходящей за пределами ЕС, и обработкой персональных данных отдельных лиц в ЕС, может свидетельствовать об обработке контролёром или процессором, расположенным за пределами ЕС, осуществляемой «в контексте деятельности организационной единицы в ЕС» и может быть достаточным для применения законодательства ЕС к такой обработке [16].

Revenue-raising in the EU by a local establishment, to the extent that such activities can be considered as “inextricably linked” to the processing of personal data taking place outside the EU and individuals in the EU, may be indicative of processing by a non-EU controller or processor being carried out “in the context of the activities of the EU establishment”, and may be sufficient to result in the application of EU law to such processing [16].

_{[16] Это может потенциально иметь место, например, для любого иностранного оператора с офисом продаж или некоторым другим присутствием в ЕС, даже если этот офис не играет никакой роли в фактической обработке данных, в частности, когда обработка происходит в контексте деятельности по продажам в ЕС и деятельности организационной единицы, ориентированной на жителей государств-членов, в которых находится организационная единица(обновление WP179).}

_{[16] This may potentially be the case, for example, for any foreign operator with a sales office or some other presence in the EU, even if that office has no role in the actual data processing, in particular where the processing takes place in the context of the sales activity in the EU and the activities of the establishment are aimed at the inhabitants of the Member States in which the establishment is located (WP179 update).}

2. Настоящий Регламент применяется к обработке персональных данных субъектов данных, находящихся в Союзе, контролёром или процессором, не имеющими организационной единицы в Союзе, если процессы обработки данных касаются:

2. This Regulation applies to the processing of personal data of data subjects who are in the Union by a controller or processor not established in the Union, where the processing activities are related to:

Связанные статьи

Руководство по территориальной сфере действия GDPR (статья 3)

Guidelines 3/2018 on the territorial scope of the GDPR (Article 3)

Субъекты данных в Союзе

Data subjects in the Union

Формулировка статьи 3(2) относится к «персональным данным субъектов данных, которые находятся в Союзе» . Таким образом, применение критерия таргетинга не ограничивается гражданством, местом жительства или другим типом правового статуса субъекта данных, чьи личные данные обрабатываются. Пункт 14 декларативной части подтверждает это толкование и гласит, что «защита, предоставляемая настоящим Регламентом, должна применяться к обработкам персональных данных физических лиц вне зависимости от их национальности или места жительства».

The wording of Article 3(2) refers to “personal data of data subjects who are in the Union”. The application of the targeting criterion is therefore not limited by the citizenship, residence or other type of legal status of the data subject whose personal data are being processed. Recital 14 confirms this interpretation and states that “[t]he protection afforded by this Regulation should apply to natural persons, whatever their nationality or place of residence, in relation to the processing of their personal data”.

Хотя местонахождение субъекта данных на территории Союза является определяющим фактором для применения критерия таргетинга согласно статье 3(2), EDPB считает, что гражданство или правовой статус субъекта данных, который находится в Союзе, не могут ограничивать или сужать территориальную сферу действия Регламента.

While the location of the data subject in the territory of the Union is a determining factor for the application of the targeting criterion as per Article 3(2), the EDPB considers that the nationality or legal status of a data subject who is in the Union cannot limit or restrict the territorial scope of the Regulation.

Требование, чтобы субъект данных находился в Союзе, должно оцениваться в момент, когда происходит соответствующая таргетинговая деятельность, то есть в момент предложения товаров или услуг или в момент, когда поведение отслеживается, независимо от продолжительности предложения или мониторинга.

The requirement that the data subject be located in the Union must be assessed at the moment when the relevant trigger activity takes place, i.e. at the moment of offering of goods or services or the moment when the behaviour is being monitored, regardless of the duration of the offer made or monitoring undertaken.

(a) предложения товаров и услуг субъектам данных, находящимся в Союзе, независимо от того, требуется ли от них оплата, или нет, либо

(a) the offering of goods or services, irrespective of whether a payment of the data subject is required, to such data subjects in the Union; or

Преамбулы Связанные статьи

Преамбулы

(23) В целях обеспечения защиты физических лиц, право на которую они имеют в соответствии с настоящим Регламентом, обработка персональных данных субъектов данных, находящихся в Союзе, контролёром или процессором, не имеющим организационной единицы в Союзе, подпадает под действие настоящего Регламента в случаях, когда обработка связана с предложением товаров или услуг субъектам данных, независимо от того, требуется ли от них оплата, или нет. Чтобы определить, предлагает ли такой контролёр или процессор товары или услуги субъектам данных, находящимся в Союзе, следует установить очевидность того, что контролёр или процессор намеревается предлагать услуги субъектам данных в одном или нескольких государствах-членах. Несмотря на доступность веб-сайта контролёра, процессора или посредника в Союзе, адреса электронной почты, иные контактные данные либо использование языка третьей страны, в которой учреждён контролёр, являются недостаточными для установления подобных намерений. Признаки, среди которых использование языка или валюты одного или нескольких государств-членов, с возможностью заказывать товары и услуги на этом языке, либо упоминание потребителей или пользователей, которые находятся в Союзе, могут подтверждать очевидность того, что контролёр намерен предлагать товары или услуги субъектам данных в Союзе.

(23) In order to ensure that natural persons are not deprived of the protection to which they are entitled under this Regulation, the processing of personal data of data subjects who are in the Union by a controller or a processor not established in the Union should be subject to this Regulation where the processing activities are related to offering goods or services to such data subjects irrespective of whether connected to a payment. In order to determine whether such a controller or processor is offering goods or services to data subjects who are in the Union, it should be ascertained whether it is apparent that the controller or processor envisages offering services to data subjects in one or more Member States in the Union. Whereas the mere accessibility of the controller's, processor's or an intermediary's website in the Union, of an email address or of other contact details, or the use of a language generally used in the third country where the controller is established, is insufficient to ascertain such intention, factors such as the use of a language or a currency generally used in one or more Member States with the possibility of ordering goods and services in that other language, or the mentioning of customers or users who are in the Union, may make it apparent that the controller envisages offering goods or services to data subjects in the Union.

Связанные статьи

Руководство по территориальной сфере действия GDPR (статья 3)

Guidelines 3/2018 on the territorial scope of the GDPR (Article 3)

Предложение товаров или услуг независимо от того, требуется ли оплата от субъекта данных субъектам данных в Союзе

Offering of goods or services, irrespective of whether a payment of the data subject is required, to data subjects in the Union

Первым видом деятельности, влекущим применение статьи 3(2), является «предложение товаров или услуг», концепция, которая получила дальнейшее развитие в законодательстве и прецедентном праве ЕС, что следует учитывать при применении критерия таргетинга. Предложение услуг также включает предложение услуг информационного общества, определенное в пункте (b) статьи 1(1) Директивы (ЕС) 2015/1535 [23] как «любая услуга информационного общества, то есть — любая услуга, обычно предоставляемая за вознаграждение, на расстоянии с помощью электронных средств и по индивидуальному запросу получателя услуг».

The first activity triggering the application of Article 3(2) is the “offering of goods or services”, a concept which has been further addressed by EU law and case law, which should be taken into account when applying the targeting criterion. The offering of services also includes the offering of information society services, defined in point (b) of Article 1(1) of Directive (EU) 2015/1535 [23] as “any Information Society service, that is to say, any service normally provided for remuneration, at a distance, by electronic means and at the individual request of a recipient of services”.

_{[23] Директива (ЕС) 2015/1535 Европейского парламента и Совета от 9 сентября 2015 года, устанавливающая порядок предоставления информации в области технических регламентов и правил об услугах информационного общества.}

_{[23] Directive (EU) 2015/1535 of the European Parliament and of the Council of 9 September 2015 laying down a procedure for the provision of information in the field of technical regulations and of rules on Information Society services.}

Другой ключевой элемент, который необходимо оценить при определении того, может ли критерий таргетинга по статье 3(2)(а) быть удовлетворен, заключается в том, направлено ли предложение товаров или услуг на какое-либо лицо в Союзе, или, другими словами, является ли поведение со стороны контролера, который определяет цели и средства обработки, демонстрирующим намерение предложить товары или услуги субъекту данных, расположенному в Союзе. Пункт 23 декларативной части GDPR действительно разъясняет, что «для того, чтобы определить, предлагает ли такой контролер или процессор товары или услуги субъектам данных, которые находятся в Союзе, должно быть установлено, является ли очевидным то, что контролер или процессор предусматривают предложение услуги субъектам данных в одном или нескольких государствах-членах Союза».

Another key element to be assessed in determining whether the Article 3(2)(a) targeting criterion can be met is whether the offer of goods or services is directed at a person in the Union, or in other words, whether the conduct on the part of the controller, which determines the means and purposes of processing, demonstrates its intention to offer goods or a services to a data subject located in the Union. Recital 23 of the GDPR indeed clarifies that “in order to determine whether such a controller or processor is offering goods or services to data subjects who are in the Union, it should be ascertained whether it is apparent that the controller or processor envisages offering services to data subjects in one or more Member States in the Union.”

Элементы, перечисленные в пункте 23 декларативной части, повторяют и соответствуют прецедентному праву CJEU, основанному на Постановлении Совета 44/2001 [25] о юрисдикции и признании и исполнении судебных решений по гражданским и коммерческим вопросам, и, в частности, статьи 15(1)(с). В деле Pammer v Reederei Karl Schlüter GmbH & Co и Hotel Alpenhof v Heller (объединенные дела C-585/08 и C-144/09) Суду было предложено разъяснить, что означает «прямая деятельность» по смыслу статьи 15(1)(c) Регламента 44/2001 (Brussels I). CJEU постановил, что для того, чтобы определить, можно ли считать, что трейдер «направляет» свою деятельность в государство-член по месту жительства потребителя, по смыслу статьи 15(1)(c) Brussels I, трейдер должен проявить намерение установить коммерческие отношения с такими потребителями. В этом контексте CJEU рассмотрел доказательства, демонстрирующие, что трейдер намеревался вести бизнес с потребителями, проживающими в государстве-члене.

The elements listed in Recital 23 echo and are in line with the CJEU case law based on Council Regulation 44/2001 [25] on jurisdiction and the recognition and enforcement of judgments in civil and commercial matters, and in particular its Article 15(1)(c). In Pammer v Reederei Karl Schlüter GmbH & Co and Hotel Alpenhof v Heller (Joined cases C-585/08 and C-144/09), the Court was asked to clarify what it means to “direct activity” within the meaning of Article 15(1)(c) of Regulation 44/2001 (Brussels I). The CJEU held that, in order to determine whether a trader can be considered to be “directing” its activity to the Member State of the consumer’s domicile, within the meaning of Article 15(1)(c) of Brussels I, the trader must have manifested its intention to establish commercial relations with such consumers. In this context, the CJEU considered evidence able to demonstrate that the trader was envisaging doing business with consumers domiciled in a Member State.

_{[25] Постановление Совета (ЕС) № 44/2001 от 22 декабря 2000 года о юрисдикции и признании и исполнении судебных решений по гражданским и коммерческим вопросам.}

_{[25] Council Regulation (EC) No 44/2001 of 22 December 2000 on jurisdiction and the recognition and enforcement of judgments in civil and commercial matters.}

Хотя понятие «направление деятельности» отличается от «предложения товаров или услуг», EDPB считает, что прецедентное право, а именно Pammer v Reederei Karl Schlüter GmbH & Co и Hotel Alpenhof v Heller (Объединенные дела C-585/08 и C -144/09) [26] может оказаться полезным при рассмотрении вопроса о том, предлагаются ли товары или услуги субъекту данных в Союзе. Принимая во внимание конкретные обстоятельства дела, можно, среди прочего, учитывать следующие факторы, возможно, в сочетании друг с другом:

While the notion of “directing an activity” differs from the “offering of goods or services”, the EDPB deems this case law in in Pammer v Reederei Karl Schlüter GmbH & Co and Hotel Alpenhof v Heller (Joined cases C-585/08 and C-144/09) [26] might be of assistance when considering whether goods or services are offered to a data subject in the Union. When taking into account the specific facts of the case, the following factors could therefore inter alia be taken into consideration, possibly in combination with one another:

_{[26] Это тем более имеет отношение, потому что в соответствии со статьей 6 Регламента (ЕС) № 593/2008 Европейского парламента и Совета от 17 июня 2008 года о праве, применимом к договорным обязательствам (Рим I), при отсутствии выбора права критерий «направления деятельности» в страну обычного проживания потребителя принимается во внимание, чтобы выбрать закон обычного проживания потребителя в качестве права, применимого к договору.}

_{[26] It is all the more relevant that, under Article 6 of Regulation (EC) No 593/2008 of the European Parliament and of the Council of 17 June 2008 on the law applicable to contractual obligations (Rome I), in absence of choice of law, this criterion of “directing activity” to the country of the consumer’s habitual residence is taken into account to designate the law of the consumer’s habitual residence as the law applicable to the contract.}

— ЕС или, по крайней мере, одно государство-член обозначено по имени со ссылкой на предлагаемый товар или услугу;

— The EU or at least one Member State is designated by name with reference to the good or service offered;

— Контролер данных или процессор платят оператору поисковой системы за службу интернет-ссылок, чтобы облегчить доступ к сайту для потребителей в Союзе; или контролер или процессор начали маркетинговые и рекламные компании, направленные на аудиторию стран ЕС

— The data controller or processor pays a search engine operator for an internet referencing service in order to facilitate access to its site by consumers in the Union; or the controller or processor has launched marketing and advertisement campaigns directed at an EU country audience

— международный характер рассматриваемой деятельности, такой как определенные виды туристической деятельности;

— The international nature of the activity at issue, such as certain tourist activities;

— упоминание выделенных адресов или телефонных номеров для связи со страной ЕС;

— The mention of dedicated addresses or phone numbers to be reached from an EU country;

— использование доменного имени верхнего уровня, отличного от имени третьей страны, в которой установлен контролер или процессор, например «.de», или использование нейтральных доменных имен верхнего уровня, таких как «.eu»;

— The use of a top-level domain name other than that of the third country in which the controller or processor is established, for example “.de”, or the use of neutral top-level domain names such as “.eu”;

— описание инструкций по поездке из одного или нескольких других государств-членов ЕС в место, где предоставляется услуга;

— The description of travel instructions from one or more other EU Member States to the place where the service is provided;

— упоминание международной клиентуры, состоящей из клиентов, проживающих в различных государствах-членах ЕС, в частности, путем представления аккаунтов, созданных такими клиентами;

— The mention of an international clientele composed of customers domiciled in various EU Member States, in particular by presentation of accounts written by such customers;

— использование языка или валюты, отличной от той, которая обычно используется в стране трейдера, особенно языка или валюты одной или нескольких стран-членов ЕС;

— The use of a language or a currency other than that generally used in the trader’s country, especially a language or currency of one or more EU Member states;

— Контролер данных предлагает доставку товаров в страны-члены ЕС.

— The data controller offers the delivery of goods in EU Member States.

(b) мониторинга их поведения, если такое поведение происходит в Союзе.

(b) the monitoring of their behaviour as far as their behaviour takes place within the Union.

Преамбулы Связанные статьи

Преамбулы

(24) Обработка персональных данных субъектов данных, находящихся в Союзе, контролёром или процессором, не имеющими организационной единицы в Союзе, также должна регулироваться настоящим Регламентом в случаях, связанных с мониторингом поведения таких субъектов данных в той мере, в какой их деятельность происходит в Союзе. Чтобы определить, можно ли признать деятельность по обработке как «мониторинг проведения» субъекта данных, необходимо установить, наблюдаются ли физические лица в Интернете, включая возможное последующее использование методов обработки персональных данных, включающими профилирование физического лица, в том числе, чтобы принять решение по данному лицу либо проанализировать или предсказать его личные предпочтения, поведение и отношения.

(24) The processing of personal data of data subjects who are in the Union by a controller or processor not established in the Union should also be subject to this Regulation when it is related to the monitoring of the behaviour of such data subjects in so far as their behaviour takes place within the Union. In order to determine whether a processing activity can be considered to monitor the behaviour of data subjects, it should be ascertained whether natural persons are tracked on the internet including potential subsequent use of personal data processing techniques which consist of profiling a natural person, particularly in order to take decisions concerning her or him or for analysing or predicting her or his personal preferences, behaviours and attitudes.

Связанные статьи

Руководство по территориальной сфере действия GDPR (статья 3)

Guidelines 3/2018 on the territorial scope of the GDPR (Article 3)

Мониторинг поведения субъектов данных

Monitoring of data subjects’ behaviour

Для того, чтобы статья 3(2)(b) повлекла применение GDPR, отслеживаемое поведение должно сначала относиться к субъекту данных в Союзе, и, как совокупный критерий, отслеживаемое поведение должно иметь место на территории Союза.

For Article 3(2)(b) to trigger the application of the GDPR, the behaviour monitored must first relate to a data subject in the Union and, as a cumulative criterion, the monitored behaviour must take place within the territory of the Union.

Характер процесса обработки, который можно рассматривать как поведенческий мониторинг, дополнительно описан в пункте 24 декларативной части, в котором говорится, что «для того чтобы определить, можно ли рассматривать обработку в качестве мониторинга поведения субъектов данных, следует определить, отслеживаются ли физические лица в Интернете, включая возможное последующее использование методов обработки персональных данных, которые включают в себя профилирование физического лица, особенно для принятия решений, касающихся его или ее или для анализа или прогнозирования ее или его личных предпочтений, поведения и отношений». В то время как пункт 24 декларативной части относится исключительно к мониторингу поведения посредством отслеживания человека в Интернете, EDPB считает, что отслеживание через другие типы сетей или технологий, включающих обработку персональных данных, также должно приниматься во внимание при определении того, составляет ли обработка мониторинг поведения, например, через портативные и другие умные устройства.

The nature of the processing activity which can be considered as behavioural monitoring is further specified in Recital 24 which states that “in order to determine whether a processing activity can be considered to monitor the behaviour of data subjects, it should be ascertained whether natural persons are tracked on the internet including potential subsequent use of personal data processing techniques which consist of profiling a natural person, particularly in order to take decisions concerning her or him or for analysing or predicting her or his personal preferences, behaviours and attitudes.” While Recital 24 exclusively relates to the monitoring of a behaviour through the tracking of a person on the internet, the EDPB considers that tracking through other types of network or technology involving personal data processing should also be taken into account in determining whether a processing activity amounts to a behavioural monitoring, for example through wearable and other smart devices.

В отличие от положения Статьи 3(2)(а), ни Статья 3(2)(b), ни пункт 24 декларативной части явно не вводят необходимую степень «намерения таргетировать» со стороны контролера данных или процессора, чтобы определить, может ли деятельность по мониторингу повлечь применение GDPR к обработкам. Тем не менее использование слова «мониторинг» подразумевает, что контролер имеет конкретную цель для сбора и последующего повторного использования соответствующих данных о поведении человека в ЕС. EDPB не считает, что любой онлайн-сбор или анализ личных данных отдельных лиц в ЕС автоматически будет считаться «мониторингом». Необходимо будет рассмотреть цели контролера для обработки данных и, в частности, любые последующие методы поведенческого анализа или профилирования с использованием этих данных. EDPB учитывает формулировку пункта 24 декларативной части, которая указывает на то, что для определения того, включает ли обработка мониторинг поведения субъекта данных, ключевым фактором является отслеживание физических лиц в Интернете, включая потенциальное последующее использование методов профилирования.

As opposed to the provision of Article 3(2)(a), neither Article 3(2)(b) nor Recital 24 expressly introduce a necessary degree of “intention to target” on the part of the data controller or processor to determine whether the monitoring activity would trigger the application of the GDPR to the processing activities. However, the use of the word “monitoring” implies that the controller has a specific purpose in mind for the collection and subsequent reuse of the relevant data about an individual’s behaviour within the EU. The EDPB does not consider that any online collection or analysis of personal data of individuals in the EU would automatically count as “monitoring”. It will be necessary to consider the controller’s purpose for processing the data and, in particular, any subsequent behavioural analysis or profiling techniques involving that data. The EDPB takes into account the wording of Recital 24, which indicates that to determine whether processing involves monitoring of a data subject behaviour, the tracking of natural persons on the Internet, including the potential subsequent use of profiling techniques, is a key consideration.

Применение статьи 3(2)(b), когда контролер данных или процессор контролируют поведение субъектов данных, находящихся в Союзе, может, таким образом, охватывать широкий спектр мероприятий по мониторингу, включая, в частности:

The application of Article 3(2)(b) where a data controller or processor monitors the behaviour of data subjects who are in the Union could therefore encompass a broad range of monitoring activities, including in particular:

— Поведенческая реклама

— Behavioural advertisement

— геолокализация деятельности, в частности, в маркетинговых целях

— Geo-localisation activities, in particular for marketing purposes

— Онлайн отслеживание с помощью файлов cookie или других методов отслеживания, таких как дактилоскопия

– Online tracking through the use of cookies or other tracking techniques such as fingerprinting

— Персонализированные услуги для анализа питания и здоровья онлайн

— Personalised diet and health analytics services online

— Кабельное телевидение

— CCTV

— Обзоры рынка и другие исследования поведения на основе индивидуальных профилей

— Market surveys and other behavioural studies based on individual profiles

— Мониторинг или регулярные отчеты о состоянии здоровья человека

— Monitoring or regular reporting on an individual’s health status

3. Настоящий Регламент применяются к обработке персональных данных контролёром, не имеющим организационной единицы в Союзе, но имеющим организационную единицу в том месте, где согласно международному публичному праву действует законодательство государства-члена.

3. This Regulation applies to the processing of personal data by a controller not established in the Union, but in a place where Member State law applies by virtue of public international law.

Преамбулы

(25) В случаях, когда согласно международному публичному праву действует законодательство государства-члена, данный Регламент должен также применяться к контролёру, не имеющему организационной единицы в Союзе, например, в дипломатическом представительстве или консульском учреждении государства-члена.

(25) Where Member State law applies by virtue of public international law, this Regulation should also apply to a controller not established in the Union, such as in a Member State’s diplomatic mission or consular post.

Общий регламент защиты персональных данных (GDPR) Европейского союза

Перевод на русский язык выполнен одновременно с 4 официальных языков Евросоюза (английский, польский, французский и немецкий) коллективом профессионалов в области информационной приватности: С.Воронкевич, А.Богуславская, П.Лозовенко, И.Чернышева, С.Радыно, С.Головнева. Общая редакция: Сергей Воронкевич CIPP/E, CIPM, FIP, MBA. Маппинг статей и преамбул сделан на основе публикации ICO — https://ico.org.uk/media/about-the-ico/disclosure-log/2014536/irq0680151-disclosure.pdf
© Перевод на русский ООО «Дата Прайваси Офис».

General Data Protection Regulation (EU GDPR)

The latest consolidated version of the Regulation with corrections by Corrigendum, OJ L 127, 23.5.2018, p. 2 ((EU) 2016/679). Source: EUR-lex.

Комментарий эксперта Преамбулы Руководство и прецедентное право Оставить комментарий

Комментарий эксперта

“Попадает ли наша компания под действие Регламента GDPR?” — это один из самых частых вопросов. И связан он, в том числе, с определением территории действия этого европейского документа.

Вот вам небольшой тест для самопроверки:

Применяется ли GDPR в данных ситуациях?

Российское мобильное приложение обрабатывает данные о геолокации российских и иностранных граждан, находящихся в ЕС.
Белорусский сайт знакомств собирает контактные данные всех своих пользователей. На сайте зарегистрированы также американцы и европейцы, приезжающие в Беларусь и желающие познакомиться с местными девушками.
Итальянская сеть открыла новый отель в Киеве, в котором останавливаются как европейцы, так и граждане других стран. Регистрация постояльцев ведется на итальянском сайте, а данные обрабатываются в головном офисе управляющей компании в Италии.
Американская платформа обучения использует персональные данные, чтобы продавать онлайн-курсы по всему миру.
Граждане ЕС, которые находятся на отдыхе в Индии, пришли в местный офис австрийской авиакомпании в Мумбаи, чтобы на пару дней слетать на Бали. Для этого были собраны данные паспортов и банковской карты, а также информация о том, что пассажиры вегетарианцы.
На сайт компании из Ростова-на-Дону 2-3 раза в месяц заходят пользователи из ЕС и заказывают доставку цветов по городу для своих родственников и любимых. Сайт на русском языке, доставка только по Ростову, валюта оплаты — российский рубль.

Если вы сомневаетесь в ответах — то читайте дальше и смотрите подробный разбор в видеоуроке внизу статьи.

Схема «Территория действия GDPR»

3 случая, когда необходимо соблюдать Регламент:

1. Если обработка данных ведется в контексте деятельности организационной единицы в ЕС. Другими словами, если офис физически находится в любой из стран Евросоюза, и в этом офисе производится обработка данных, то GDPR обязателен. Поэтому правильный ответ на 3-й вопрос, про итальянский отель в Киеве, — да, GDPR необходим.

К слову, этот пункт распространяется не только на физический офис или зарегистрированное юрлицо. Есть много других неочевидных примеров того, что следует считать “контекстом деятельности организационной единицы”. Мы рассказали о них подробнее на видео.

…

Войти
для доступа к полному тексту

Автор