Ако компанията ви е регистрирана само в Нидерландия и нарушението на данни засяга засегнати лица в Нидерландия, докладвате го както обикновено: към органа за защита на личните данни. Ако компанията ви има клон и в друга държава от ЕС, или нарушението засяга засегнати лица в няколко държави-членки, то Регламентът въвежда специален механизъм: принципът на единственото място на контакт. При този механизъм Регламентът назначава един надзорен орган, който координира случая, дори ако са включени няколко страни.
Този един координиращ надзорен орган се нарича компетентен надзорен орган. По правило това е органът на страната, където се намира вашето главно управление: местото, където се вземат най-важните решения относно целите и средствата на обработката. Периодът от 72 часа за докладване не се променя, дори ако са включени няколко страни — този период е фиксиран в самия Регламент и се прилага в цялата ЕС.
Кога е нарушение на данни трансграничното
Нарушение на данни е трансгранично, когато обработката, за която се отнася нарушението, се извършва в контекста на дейности на клонове в повече от една държава-членка, или когато нарушението значително засяга засегнати лица в няколко държави-членки. Последното не е същото като "имаме и клиенти в чужбина": въпросът е дали самата обработка е организирана трансгранично, например защото клон в друга страна участва в решенията относно това как да се обработват данните. Онлайн магазин, който продава от Нидерландия на клиенти в Германия без германски клон, обикновено не попада под това определение.
Принципът на еднопрозоречния прозорец на практика
Идеята зад принципа на еднопрозоречния прозорец е, че предприятие със седалища в няколко държави членки не трябва да се обръща отделно към всеки национален орган по надзор. Органът по надзор, действащ като водещ орган, поема инициативата, координира с органите по надзор на останалите засегнати държави и осигурява един обединен акт вместо няколко, потенциално противоречиви акта. За вас като предприятие това означава главно, че знаете при кого трябва да се обърнете: органът по надзор на вашето основното седалище, а не на всяка държава, в която живее засегнат субект.
EDPB е публикувало насоки относно това как се определя основното седалище и как органите по надзор сътрудничат помежду си. Тези насоки са релевантни, когато вашето предприятие действително е активно в няколко държави със собствени седалища, а не просто когато имате международни клиенти.
Какво остава същото, къде е разликата
Ядрото на задължението за докладване — кога дадено нарушение трябва да се докладва, периода от 72 часа и въпросът дали засегнатите субекти трябва сами да бъдат информирани — е установено в GDPR и се прилага в еврейска държава членка по един и същи начин. Това, което наистина може да се различава, е практическото измерение: портала за докладване на всеки национален орган по надзор работи малко по-различно, някои държави използват свой език за докладването, а начинът, по който се определя водещият орган по надзор, понякога изисква допълнително проучване, ако не е веднага ясно кое седалище е основното седалище. Последното е един от пунктовете, по които държавите членки на ЕС могат да се различават в практиката на прилагане, дори и когато подлежащата норма е една и съща.
За МСП без чуждестранни седалища
Повечето МСП и самостоятелни предприятия нямат собствено място на дейност в чужбина, дори и ако имат клиенти или доставчици отвъд границите. В този случай на практика малко се променя: докладвате за нарушение на сигурността на данните просто към Органа по защита на данните, по същия начин и в същия срок както при нарушение, което засяга само допустимите заинтересовани лица в България. Ако се колебаете дали вашата ситуация все пак има трансграничен характер, например защото имате дъщерно предприятие в друга държава от ЕС, което участва в вземането на решение по обработката, това е въпрос, който най-добре да обсъдите с адвокат или директно с Органа по защита на данните. С решавача в няколко въпроса видете дали нещо е нарушение на сигурността на данните, което подлежи на докладване получавате предварителна указание, дори ако все още не знаете дали има трансграничен аспект.
За да видите как такова докладване се съотнася с вашия регистър на дейности по обработка и договорите с доставчици, е полезно да погледнете по-широко от само задължението за докладване. Платформата базата от знания с обяснение по всяка тема събира разпръснатите задължения и обяснение относно това откъде идва информацията показва кои източници са зад всеки отговор, включително указанията на EDPB.
Имате ли въпроси относно вашата собствена ситуация, например защото се колебаете дали вашето място на дейност в чужбина се счита за основно място на дейност? Тогава направете безплатното бързо сканиране или прегледайте често задавани въпроси относно нарушения на сигурността на данните и задълженията за докладване за да видите кой въпрос най-близо съответства на вашата ситуация. За окончателна преценка относно вашия собствен случай адвокатът или Органът по защита на данните остават правилния контакт.