GDPR для международного бизнеса: когда европейские правила применяются к компании за пределами ЕС

Компания не обязана быть зарегистрирована в Европейском союзе, чтобы на неё распространялся GDPR. Европейские правила могут применяться к бизнесу из Грузии, Армении, Сербии, Великобритании, США или другой страны, если он связан с людьми, находящимися в ЕС.

При этом сам факт доступности сайта из Европы ещё не означает, что компания обязана выполнять все требования GDPR. Для определения применимости Регламента необходимо оценить, есть ли у бизнеса подразделение в ЕС, предлагает ли он товары или услуги людям на территории Евросоюза и отслеживает ли их поведение.

Основные критерии территориального действия закреплены в статье 3 GDPR.

Когда GDPR применяется к иностранной компании

У компании есть подразделение в Европейском союзе

GDPR применяется, если обработка персональных данных связана с деятельностью представительства, филиала, офиса или другого устойчивого подразделения компании в ЕС.

Юридическая форма присутствия не является решающей. Важно, ведёт ли компания реальную и стабильную деятельность на территории Евросоюза. Например, значение могут иметь местный офис, команда продаж, сотрудники или подразделение, которое поддерживает работу с европейским рынком.

При этом серверы и основная команда могут находиться за пределами ЕС. Если обработка данных осуществляется в контексте деятельности европейского подразделения, GDPR всё равно может применяться.

Компания предлагает товары или услуги потребителям в ЕС

GDPR распространяется на иностранный бизнес, если он намеренно предлагает товары или услуги потребителям, находящимся в Европейском союзе. Платные они или бесплатные, значения не имеет. Также не имеет значение, были ли реальные продажи в ЕС, достаточно усилий для привлечения пользователей из ЕС.

О намерении работать с европейской аудиторией могут говорить:

• реклама, ориентированная на конкретные страны ЕС;
• версии сайта на языках европейских государств;
• возможность оплаты в евро или другой местной валюте;
• доставка в страны Евросоюза;
• упоминание европейских клиентов;
• отдельные тарифы или условия для пользователей из ЕС;
• использование домена, связанного с государством Евросоюза.

Ни один из этих признаков не является безусловным доказательством сам по себе. Оценивается вся модель работы компании.

Например, если онлайн-сервис из Армении запускает рекламу в Германии, предлагает немецкую версию интерфейса и принимает регистрации пользователей из Германии, GDPR будет применяться к обработке их данных.

Компания отслеживает поведение людей в ЕС

Европейские правила также могут применяться, если иностранная компания собирает информацию за поведением людей, находящихся в ЕС, и это поведение происходит на территории Евросоюза.

К мониторингу могут относиться отслеживание действий на сайте, построение пользовательских профилей, анализ интересов, персонализация рекламы, оценка поведения и прогнозирование предпочтений. Само использование аналитического инструмента ещё не всегда означает мониторинг в смысле GDPR. Необходимо учитывать, какие данные собираются, связываются ли они с конкретным пользователем и для каких целей используется полученная информация.

Что само по себе не делает GDPR применимым

Сайт открывается из стран ЕС

Обычная доступность сайта для европейского пользователя недостаточна. Иначе GDPR автоматически распространялся бы почти на любой международный интернет-ресурс.

Должны присутствовать признаки того, что компания ориентируется на людей в ЕС или отслеживает их поведение.

Компания использует английский язык

Английский применяется во многих странах и сам по себе не показывает намерение работать с рынком Евросоюза. Иная ситуация может сложиться, если бизнес использует язык конкретной страны ЕС вместе с местной валютой, рекламой и специальными условиями.

В базе есть данные гражданина ЕС

GDPR защищает не только граждан Евросоюза. Для применения критерия предложения услуг или мониторинга важно, где человек находится в соответствующий момент, а не какой у него паспорт.

Поэтому, например, если у вас туристический бизнес в Грузии, то наличие данных гражданина Франции, который у вас купил тур, само по себе не делает GDPR применимым. И наоборот, GDPR защищает человека без гражданства ЕС, если он находится на территории Евросоюза.

Также GDPR не распространяется, если у вас была случайная покупка резидентом ЕС. Например, вы сербский онлайн магазин, не рекламируете свои услуги в ЕС, не имеете иных языковых версий, кроме английской, сербской и русской, цены выставляете в сербских динарах и долларах — и у вас покупает товар с доставкой резидент Польши. В данном случае, GDPR к вам не применяется, так как вы не ориентировали специально свою активность на потребителей в ЕС.

Как определить, ориентирована ли компания на европейский рынок

Оценивать нужно не только сайт, но и всю деятельность бизнеса. Полезно проверить, откуда приходят пользователи, на какие страны настроена реклама, какие языки и валюты доступны, предусматривают ли договоры работу с европейскими клиентами и осуществляется ли доставка или поддержка в ЕС.

Рассмотрим несколько ситуаций:

Сервис доступен по всему миру, но не продвигается в ЕС. На сайте нет локализованных версий, оплаты в европейских валютах и рекламы для стран Евросоюза. Одной технической доступности обычно недостаточно для применения критерия предложения услуг.

Онлайн-платформа целенаправленно работает с пользователями из ЕС. Компания запускает рекламу во Франции и Испании, переводит интерфейс и принимает оплату в евро. Такая деятельность указывает на намерение предлагать услуги людям в Евросоюзе.

Компания использует данные для поведенческой рекламы. Пользователи из ЕС отслеживаются на разных страницах, распределяются по сегментам, после чего им показывается персонализированная реклама. Такая обработка может считаться мониторингом поведения.

Бизнес работает с европейскими корпоративными клиентами. Сам договор с компанией из ЕС не всегда означает прямое применение GDPR ко всей деятельности иностранного поставщика. Однако европейский клиент может передавать ему персональные данные сотрудников или пользователей и требовать заключения DPA, соблюдения правил безопасности и законного оформления международной передачи данных.

Какие обязанности возникают у компании

Если GDPR применяется, недостаточно просто разместить Privacy Policy. Компания должна выстроить весь процесс обработки персональных данных.

Сначала необходимо определить, какие данные собираются, откуда они поступают, для каких целей используются и кому передаются. Затем для каждой операции выбирается правовое основание: договор, согласие, законный интерес, выполнение юридической обязанности или другое основание, предусмотренное Регламентом.

Кроме того, компании может потребоваться:

• предоставить пользователям полную информацию об обработке;
• организовать обработку запросов на доступ, исправление и удаление данных;
• заключить DPA с подрядчиками и клиентами;
• проверить международную передачу персональных данных;
• вести реестр операций по обработке;
• внедрить технические и организационные меры безопасности;
• установить порядок действий при утечке данных;
• провести DPIA для обработки с повышенным риском;
• назначить специалиста по персданным (DPO), если характер и масштаб деятельности этого требуют.

Конкретный набор документов и процедур зависит от роли компании, категорий данных, используемых сервисов и рисков для пользователей.

Когда нужен представитель в Европейском союзе

Компания, которая не имеет подразделения в ЕС, но подпадает под GDPR из-за предложения товаров или услуг либо мониторинга поведения, обычно должна назначить представителя в Евросоюзе.

Представитель служит контактным лицом для пользователей и европейских надзорных органов. Он должен находиться в одной из стран, где находятся люди, чьи данные обрабатывает компания. Исключение может применяться, если обработка носит эпизодический характер, не включает масштабную работу с чувствительными данными и с малой вероятностью создает риск для прав и свобод людей.

Представителя не следует путать с DPO. Представитель обеспечивает взаимодействие компании с пользователями и органами ЕС, а DPO контролирует вопросы защиты данных внутри организации. Это разные функции, и в некоторых случаях бизнесу могут потребоваться оба специалиста.

Что проверить международному бизнесу

Для начала нужно ответить на четыре вопроса.

1. Есть ли у компании устойчивое присутствие в ЕС? Следует учитывать не только зарегистрированные филиалы, но и фактическую деятельность местных сотрудников и подразделений.
2. Ориентирован ли продукт на людей в Евросоюзе? Анализируются реклама, языки, валюты, условия продаж и география пользователей.
3. Отслеживает ли компания их поведение? Необходимо проверить аналитику, рекламные инструменты, профилирование и персонализацию.
4. Какую роль компания выполняет при обработке данных? Она может самостоятельно определять цели обработки, действовать по поручению клиента или совместно принимать решения с другим бизнесом.

Ответы позволяют определить, применяется ли GDPR, какие документы нужны и требуется ли представитель в ЕС.