Wanneer is de Wbp van toepassing op gegevensverwerkingen van internationaal opererende bedrijven? Uitgangspunt voor de beantwoording van deze vraag is de plaats van vestiging van de verantwoordelijke voor de gegevensverwerkingen.
Vestiging van de verantwoordelijke in Nederland of de Europese Unie
Is de verantwoordelijke in Nederland gevestigd, dan is de Wbp van toepassing op alle verwerkingen van persoonsgegevens die in het kader van de activiteiten van die vestiging plaatsvinden, ongeacht waar de gegevens worden verwerkt of de betrokken personen zich bevinden. Is de verantwoordelijke gevestigd in een andere lidstaat van de Europese Unie, dan is de wetgeving van die andere lidstaat van toepassing.
Het begrip “vestiging” heeft volgens de Europese privacyrichtlijn betrekking op centra van economische activiteit, die zich in verschillende lidstaten van de Unie kunnen bevinden. Daarbij is niet relevant of het gaat om een bijkantoor of om een dochteronderneming met rechtspersoonlijkheid. De vestiging op het grondgebied van een lidstaat veronderstelt het effectief en daadwerkelijk uitoefenen van activiteiten voor een onbepaalde periode. In een concreet geval zal dus aan de hand van de feiten moeten worden vastgesteld of sprake is van een vestiging in de zin van de richtlijn en welk nationaal recht van toepassing is.
Heeft een verantwoordelijke meerdere vestigingen in de Europese Unie, dan dient hij ervoor zorg te dragen dat elk van de vestigingen voldoet aan de regels van het land waar de vestiging zich bevindt.
Vestiging van de verantwoordelijke buiten de Europese Unie
Wanneer de verantwoordelijke niet gevestigd is in de Europese Unie en met behulp van in Nederland aanwezige middelen persoonsgegevens verwerkt, is de Wbp ook van toepassing tenzij deze middelen slechts worden gebruikt voor de doorvoer van persoonsgegevens. In dergelijke gevallen moet de verantwoordelijke een persoon of instantie hebben die hem in Nederland vertegenwoordigt.