GDPR и английское право: территориальное применение или by reference

GDPR и английское право: территориальное применение или by reference

Недавно при рассмотрении одного договора на продажу программного обеспечения, возник казус с контрагентом клиента. Контрагент утверждал, что вследствие подчинения договора английскому праву, стороны будут связаны положениями GDPR. Моя позиция заключалась в том, что положения GDPR применяются только по территориальному принципу.

Применение GDPR

GDPR применяется: (1) по материальному принципу; и (2) территориальному принципу. GDPR не является правовым инструментом наподобие Венской Конвенции по договорам международной купли-продажи товаров 1980 г., которая может быть применена, если стороны включили ссылку на неё в контракте т.е. by reference.

Материальный принцип применения закреплен в пункте 1 статьи 2 GDPR, который гласит:

«Данный Регламент применяется к обработке персональных данных, осуществляемой полностью или частично с помощью автоматизированных средств, а также к неавтоматизированной обработке персональных данных, формирующих часть системы данных либо предназначающихся, чтобы стать частью системы данных».

Территориальный принцип применения закреплен в пунктах 1-2 статьи 3 GDPR, которые гласят:

«1. Настоящий Регламент применяется к обработке персональных данных в контексте деятельности организационной единицы контролёра или процессора в Союзе, независимо от того, производится ли обработка на территории Союза.

2. Настоящий Регламент применяется к обработке персональных данных субъектов данных, находящихся в Союзе, контролёром или процессором, не имеющими организационной единицы в Союзе, если процессы обработки данных касаются:

(a) предложения товаров и услуг субъектам данных, находящимся в Союзе, независимо от того, требуется ли от них оплата, или нет,

(b) мониторинга их поведения, если такое поведение происходит в Союзе».

GDPR делает исключение к территориальному принципу в случае, когда обработка персональных данных контролёром, не имеющим организационной единицы в Союзе, но имеющим организационную единицу производится «в том месте, где согласно международному публичному праву действует законодательство государства-члена» (пункт 3 статьи 3 GDPR).

В настоящем случае английское право применяется в силу международного частного права, а не международного публичного права, что исключает применение GDPR в таких случаях.

Применение Закона Англии об охране данных (Data Protection Act)

В Англии GDPR применяется не прямо, а посредством законодательного инструмента, т.е. Закон об охране данных от 2018 г. В частности, пункты 1-3 статьи 207 настоящего Закона гласят:

«1.Настоящий Закон применяется только к обработке персональных данных, описанных в подразделах (2) и (3).

2. Он применяется к обработке персональных данных в контексте деятельности организации контроллера или обработчика персональных данных в Соединенном Королевстве, независимо от того, проводилась ли обработка в Соединенном Королевстве или нет.

3. Он также применяется к обработке персональных данных, к которым применяется пункт 2 статьи 2 GPDR в случаях когда

(а) обработка производится в контексте деятельности организации контроллера или обработчика в стране или территории, не являющейся договаривающимся Государством, в независимости от того, имела ли место обработка в этой стране или территории;
(b) персональная дата связана с субъектом данных который находится в Соединенном Королевстве когда проводится обработка, и

(c) деятельность по обработке связанна с –

(i) предложением товаров или услуг субъектам данных в Соединенном Королевстве, несмотря на то, за оплату или нет, или

(ii) мониторинг поведения субъектов данных в Соединенном Королевстве».

Как видно из вышеприведенных пунктов, положения Закона применятся только тогда, когда обработка информации имеет определенную связь с Соединенным Королевством. Само по себе, применение английского права в контракте не означает, что данный закон будет применяться к правоотношениям возникающим между сторонами по договору.

Вместо заключения

Несмотря на то, что я категорически считаю, что ни GDPR, ни Data Protection Act 2018 не применяются к правоотношениям между сторонами по договору, подчиненному английскому праву, я тем не менее хотел бы узнать мнение коллег касательно этой проблемы.

Айбек Ахмедов

Член арбитражного суда

Ташкентский Международный Арбитражный Центр

Закон.ру

Поделиться постом

Похожие новости