Si la organización está establecida en el EEE, el tratamiento de los datos personales entrará en el régimen del RGPD, independientemente de que los datos se refieran a interesados de fuera del EEE o de que hayan sido recogidos/tratados fuera del EEE o no (artículo 3, apartado 1). Además, el RGPD también se aplicará si la oferta de bienes y servicios, así como el seguimiento del comportamiento, tiene lugar dentro del EEE (art. 3(2)(a) y art. 3(2)(b)), independientemente de que el responsable o el encargado del tratamiento estén situados en el EEE. El RGPD también se aplica al tratamiento de datos personales en lugares en los que “se aplique el Derecho de los Estados miembros en virtud del Derecho internacional público” (art. 3.3), aunque el responsable del tratamiento no esté situado en la UE.

Si los datos se transfieren fuera del EEE, también debe notificarse al interesado, y esta transferencia internacional de datos debe estar respaldada por algún mecanismo que la haga legal (art. 14(1) (f)) (Véase “Transferencia de datos a terceros” en la sección de la Parte II “Principales herramientas y acciones”)