Non. Le paragraphe 1 s’applique que le traitement ait lieu ou non dans l’Union. Ce qui importe est que le traitement soit effectué dans le cadre des activités d’un établissement situé dans l’Union, de sorte qu’un responsable du traitement dont le bureau dans l’Union est indissociablement lié à un traitement réalisé sur des serveurs situés ailleurs relève pleinement du champ d’application.

Lorsque ses activités de traitement sont liées à l’offre de biens ou de services à des personnes concernées qui se trouvent sur le territoire de l’Union, qu’un paiement soit exigé ou non. Le considérant 23 retient des facteurs tels que l’utilisation d’une langue ou d’une monnaie de l’Union et la mention de clients de l’Union comme indices de ce que le responsable du traitement envisage d’offrir des biens ou des services à des personnes se trouvant dans l’Union, alors que la simple accessibilité d’un site internet ne suffit pas.

La disposition saisit le traitement effectué par un responsable du traitement ou un sous-traitant qui n’est pas établi dans l’Union et qui est lié au suivi du comportement de personnes concernées, dans la mesure où il s’agit d’un comportement qui a lieu au sein de l’Union. Le considérant 24 indique que cela inclut le pistage des personnes sur internet, en particulier en vue de les profiler afin d’analyser ou de prédire leurs préférences, comportements et attitudes personnels.

Non. Le paragraphe 2 se réfère aux personnes concernées qui se trouvent sur le territoire de l’Union, un critère de présence physique et non de nationalité ou de résidence. Inversement, en vertu du paragraphe 1, le règlement protège toute personne concernée, où qu’elle se trouve, dès lors que le traitement est effectué dans le cadre des activités d’un établissement situé dans l’Union.