L’articolo 3 definisce l’ambito di applicazione territoriale del regolamento, che si applica anche al trattamento di dati personali effettuato da un titolare del trattamento o un responsabile del trattamento che non è stabilito nell’UE. In particolare, l’articolo 3, paragrafo 2, afferma che:
“Il presente regolamento si applica al trattamento dei dati personali di interessati che si trovano nell’Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell’Unione, quando le attività di trattamento riguardano:
a) l’offerta di beni o la prestazione di servizi ai suddetti interessati nell’Unione, indipendentemente dall’obbligatorietà di un pagamento dell’interessato; oppure
b) il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all’interno dell’Unione”.
Anche l’articolo 3, paragrafo 3, è pertinente al riguardo e afferma che:
“Il presente regolamento si applica al trattamento dei dati personali effettuato da un titolare del trattamento che non è stabilito nell’Unione, ma in un luogo soggetto al diritto di uno Stato membro in virtù del diritto internazionale pubblico”.
Se un titolare del trattamento non stabilito nell’UE è soggetto all’articolo 3, paragrafo 2, oppure all’articolo 3, paragrafo 3, e constata una violazione, è quindi comunque vincolato agli obblighi di notifica di cui agli articoli 33 e 34. L’articolo 27 impone al titolare del trattamento (e al responsabile del trattamento) di designare un rappresentante nell’Unione europea nel caso in cui si applichi l’articolo 3, paragrafo 2. In tali casi, il Gruppo di lavoro raccomanda di inviare la notifica all’autorità di controllo dello Stato membro in cui è stabilito il rappresentante del titolare del trattamento nell’UE. Analogamente, se un responsabile del trattamento è soggetto all’articolo 3, paragrafo 2, sarà tenuto a rispettare gli obblighi imposti ai responsabili del trattamento, in particolare l’obbligo di notificare una violazione al titolare del trattamento ai sensi dell’articolo 33, paragrafo 2.
