Čl. 3 · Místní působnost

Související ustanovení: čl. 2 (věcná působnost); čl. 4 bod 16 (hlavní provozovna); čl. 27 (zástupce v Unii); čl. 44 až 50 (předávání do třetích zemí); čl. 56 (vedoucí dozorový úřad)

Související předpisy EU: čl. 2 nařízení (EU) 2024/1689 (AI Act) jako pozdější převzetí téhož vzoru

Judikatura: C-131/12 Google Spain; C-230/14 Weltimmo; C-507/17 Google (územní dosah výmazu)

I. Tři samostatné vstupy

1 Článek 3 má tři odstavce a každý je samostatnou vstupní branou. Stačí jediná. Odstavec 1 váže působnost na provozovnu v Unii, odstavec 2 na to, kde se nacházejí subjekty údajů a co s nimi správce dělá, odstavec 3 na mezinárodní právo veřejné (typicky ambasády a lodě pod vlajkou členského státu).

2 Je to jeden z nejúspěšnějších exportních článků evropského práva. Stejnou konstrukci, tedy dosah na subjekty mimo Unii podle toho, kam míří jejich činnost, převzal později AI Act v čl. 2. Kdo umí čl. 3 GDPR, čte tu část AI Actu bez překvapení.

II. Provozovna a „v souvislosti s činnostmi” (odst. 1)

3 Odstavec 1 se použije na zpracování „v souvislosti s činnostmi provozovny správce nebo zpracovatele v Unii bez ohledu na to, zda zpracování probíhá v Unii či mimo ni”. Dvě věci k tomu patří. Za prvé, nerozhoduje, kde stojí server. Za druhé, nemusí zpracovávat sama ta provozovna; stačí, že zpracování souvisí s jejími činnostmi.

4 Pojem provozovny je věcný, ne formální. Soudní dvůr ve věci C-230/14 Weltimmo dovodil, že k provozovně může stačit i minimální, ale stálá přítomnost s reálnou činností, včetně jediného zástupce; zápis do rejstříku není podmínkou. Argument „nemáme tu pobočku, jen zástupce” tedy sám o sobě nestačí.

5 Vazba „v souvislosti s činnostmi” je široká. Ve věci C-131/12 Google Spain Soudní dvůr uzavřel, že prodej reklamy dceřinou společností ve členském státě stačí k tomu, aby zpracování prováděné mateřskou společností mimo Unii spadalo pod evropskou úpravu, protože obě činnosti jsou neoddělitelně spjaty. Tady se rozhoduje většina sporů o působnost u nadnárodních skupin.

III. Cílení a monitorování (odst. 2)

6 Odstavec 2 dopadá na správce a zpracovatele bez provozovny v Unii, pokud zpracovávají údaje subjektů, které se v Unii nacházejí, a činnost souvisí buď s nabídkou zboží či služeb těmto subjektům, nebo s monitorováním jejich chování v Unii.

7 U nabídky text výslovně dodává „bez ohledu na to, zda je od subjektů údajů požadována platba”. Bezplatná služba tedy působnost nezakládá o nic méně než placená. Rozhodující je záměr cílit, ne dostupnost webu; pouhá skutečnost, že stránka jde z Evropy otevřít, nestačí. Indicií cílení je jazyk, měna, doména, doprava do EU nebo reklama mířená na evropské publikum.

8 U monitorování je hranice ještě nižší. Sledování chování na webu pomocí identifikátorů, profilování a cílená reklama monitorováním jsou. Podmínka „pokud k němu dochází v rámci Unie” míří na chování subjektu, ne na místo serveru.

9 Na odstavec 2 navazuje čl. 27: takový správce nebo zpracovatel si má písemně určit zástupce v Unii. Povinnost se v praxi hojně nedodržuje a je to jedna z prvních věcí, které dozorový úřad u zahraničního subjektu zjišťuje.

IV. Co z působnosti neplyne

10 Působnost není totéž co vymahatelnost. To, že nařízení na zahraniční subjekt dopadá, ještě neznamená, že se rozhodnutí českého úřadu v jeho zemi vykoná. Praktickou pákou proto bývají spíš unijní protistrany, platební infrastruktura a přístup na trh než přímý výkon rozhodnutí.

11 A obráceně: působnost nařízení neznamená, že se na zpracování nepoužijí i pravidla třetí země. Souběh je běžný a čl. 48 na něj výslovně reaguje tím, že cizí rozhodnutí samo o sobě předání údajů neospravedlní.