Кратък отговор
Самият GDPR не се променя, когато продавате и на клиенти в чужбина. Регламентът е европейски регламент, не директива, и затова важи пряко и по един и същи начин в każдо държавно членство на ЕС и ЕИП. Това, което наистина се различава, не е в самия GDPR, а в националните закони, които продължават да съществуват отдалечено, като правилата за бисквитки, и в практически аспекти като езикът на вашето известие за поверителност и кой контролен орган обръщате при въпрос или жалба.
За онлайн магазин, който продава само в рамките на Нидерландия, това разграничение често не е от значение. Щом имате посетители или клиенти в други държави на ЕС или отвън, е добре да знаете къде свършва общата база и където начинаат национални правила или международен трансфер.
Защо основата е еднаква навсякъде
Тъй като GDPR е регламент, държавите членки не трябва първо да го преобразуват в собствено законодателство, както при европейска директива. Правата на лицата, които са обект на обработка, основанията за обработка и задължението да се поддържа регистър на дейностите по обработка важат със същия текст в Германия, Франция или Испания както в Нидерландия. Разликите в тълкуването възникват главно, защото контролни органи в различни страни понякога поставят различно ударение в своите ръководства, което виждате отразено в публикациите на EDPB и на самите национални контролни органи.
Където наистина има разлика: бисквитки и подобни технологии
Поставянето на бисквитки и подобни технологии на компютъра на посетител не попада под GDPR, а под правилата за ePrivacy. Те са установени в Европа в директива, а директива трябва да бъде преобразувана в национално законодателство във всяка страна. Поради това начинът, по който се иска и регистрира съгласие за бисквитки, може да се различава в детайл между страни, дори и отправната точка да е везде сравнима. За онлайн магазин, насочен към няколко страни, това е едно от малкото места, където правилата наистина се различават по страна, а не само в тълкуването им.
Език и задължение да се предоставя информация
GDPR предписва че информацията на лицата, които са обект на обработка, трябва да бъде разбираема, но не дава определен список на задължителни езици. На практика контролни органи гледат кой посещава вашия онлайн магазин: ако се насочвате активно към клиенти в Германия, немскоезично известие за поверителност е логично, просто защото информацията иначе не е разбираема за тази целева група. Това не е отделно juridical rule per country, а практическо приложение на същото изискване, което важи везде.
Трансграничска обработка и компетентният контролен орган
Когато вашата компания работи в няколко държави на ЕС, може да възникне въпросът кой контролен орган е компетентен, ако нещо се случи. GDPR предвижда т. нар. механизъм "един прозорец": фирми с дейност в няколко държавни членства се сблъскват в определени случаи с един водещ контролен орган, обикновено този на страната, където е главното седалище. За малка компания със само холандско седалище, която случайно продава на чужди клиенти, това е различно от компания с няколко седалища в ЕС. Точното определение на това е описано в самия GDPR и в ръководствата на EDPB; за вашата конкретна ситуация това е въпрос за юрист или компетентния контролен орган, не нещо, което трябва да преценявате сами.
Продажба извън ЕС и ЕИП
Друго е положението, когато данните на клиентите се пренесат извън територията на ЕС и ЕИП, например защото доставчик, платежен доставчик или хостинг партньор е установен извън Европа. Тогава вече не е въпрос на разлики между страните от ЕС помежду си, а на правилата за прехвърляне на личните данни в страна извън това пространство. GDPR позволява това при условия, като решение за адекватност на Европейската комисия за съответната страна, или допълнителни договорености като клаузули за модални договори. Това е един от моментите, в които договор за обработка на данни с международна страна заслужава специално внимание, и по който банката на знания по тема обяснява контекста.
Какво означава това за вашия регистър и документи
За самия регистър на обработката на данни нищо не се изменя по отношение на задължението: вие отчитате какви обработки се осъществяват, с каква цел и на каква правна основа, независимо в коя страна се намират вашите клиенти. Това, което е разумно да се документира, е дали и къде данните покидават територията на ЕС и ЕИП, така че това да остане ясно, ако клиент, надзорен орган или застраховател попита. Този, който иска да има контрол над това без да трябва да го отчита ръчно, може да го проследи чрез преглед на това къде се намират данните и как са защитени.
Независимо дали вашия онлайн магазин тепърва начина да продава над граници или вече го прави по-дълго, главното е да се направи разлика между това, което регулира самия GDPR, и това, което зависи от национални закони или от прехвърляния извън Европа. Отговори на често задавани въпроси по това, включително позицията в официалния текст, намирате тук в събиране на често задавани въпроси.
Искате ли да видите как това се случва за вашия собствен бизнес, без да трябва сами да прекарате час в погурване? С безплатния преглед получавате първа посока, и след това можете сами да преценяват дали бизнес акаунт е за вас.