Pokud je vaše společnost založena pouze v Holandsku a únik údajů se týká subjektů v Holandsku, hlásíte to obvyklým způsobem: Úřadu pro ochranu osobních údajů. Pokud má vaše společnost také pobočku v jiné zemi EU nebo se únik týká subjektů ve více členských státech, GDPR stanovuje zvláštní mechanismus: princip jednoho podání. Při tomto principu nařízení určuje jeden dozorčí úřad, který případ koordinuje, i když je zapojeno více zemí.
Jediný koordinující dozorčí úřad se nazývá vedoucí dozorčí úřad. Jedná se v zásadě o dozorčí úřad země, kde se vaše hlavní sídlo nachází: místo, kde se přijímají hlavní rozhodnutí o účelech a prostředcích zpracování. Lhůta 72 hodin na hlášení se nemění, ani když je zapojeno více zemí — tato lhůta je stanovena v samotném GDPR a platí v celé EU.
Kdy je únik údajů přeshraniční
Únik údajů je přeshraniční, jakmile zpracování, na které se únik vztahuje, probíhá v rámci činností poboček ve více než jednom členském státě, nebo když únik významně ovlivňuje subjekty ve více členských státech. To není totéž jako "máme také zákazníky v zahraničí": jde o to, zda je samo zpracování organizováno přeshraniční, například proto, že pobočka v jiné zemi se podílí na rozhodování o nakládání s údaji. E-shop, který prodává ze Holandska zákazníkům v Německu bez německé pobočky, obvykle pod to nespadá.
Princip jednoho podání v praxi
Smyslem principu jednoho podání je, aby společnost s pobočkami ve více členských státech nemusela jednat s každým národním dozorčím úřadem zvlášť. Vedoucí dozorčí úřad převezme vedení, koordinuje se s dozorčími úřady ostatních zúčastněných zemí a zajistí jediné rozhodnutí místo několika, případně protichůdných rozhodnutí. Pro vás jako podnik to znamená především to, že víte, na koho se obrátit: na dozorčí úřad vaší hlavní pobočky, nikoli na úřad každé země, kde subjekt bydlí.
EDPB zveřejnila pokyny o tom, jak se určuje hlavní sídlo a jak spolu dozorčí úřady spolupracují. Tyto pokyny jsou relevantní, jakmile je vaše podnik skutečně činný ve více zemích s vlastními pobočkami, nikoli jen když máte mezinárodní zákazníky.
Co zůstává stejné, kde je rozdíl
Podstata povinnosti hlášení — kdy je únik hlášením povinný, lhůta 72 hodin a otázka, zda musí být sami subjekty informováni — je obsažena v GDPR a ve všech členských státech platí stejným způsobem. Co se však může lišit, je praktická stránka: portál pro hlášení každého národního dozorčího úřadu funguje trochu jinak, některé země používají pro hlášení vlastní jazyk a způsob, jakým se určuje vedoucí dozorčí úřad, někdy vyžaduje další prošetření, pokud není ihned jasné, která pobočka je hlavním sídlem. To je jeden z bodů, v nichž se mohou členské státy EU lišit v praxi provádění, i když je základní norma stejná.
Pro malý a střední podnik bez zahraniční pobočky
Většina malých a středních podniků a osob samostatně činných nemá vlastní pobočku v zahraničí, ani když mají zákazníky nebo dodavatele přes hranice. V takové situaci se v praxi moc nemění: o porušení ochrany údajů hlásíte jednoduše příslušnému orgánu pro ochranu osobních údajů stejným způsobem a ve stejné lhůtě jako při porušení, které se týká pouze českých subjektů údajů. Pochybujete, zda vaše situace má přeshraniční charakter, například proto, že máte dceřinou společnost v jiném členském státě EU, která má vliv na zpracování údajů, pak je to otázka, kterou je nejlepší projednat s právníkem nebo přímo s příslušným orgánem pro ochranu osobních údajů. S rozhodovacím stromem v několika otázkách zjistíte, zda jde o porušení ochrany údajů, které je třeba hlásit získáte alespoň prvotní orientaci, i když si ještě nejste jisti, zda má situace přeshraniční aspekt.
Chcete-li vidět, jak se takové hlášení vztahuje k vašemu registru zpracovatelských činností a dohodám s dodavateli, je užitečné se dívat lépe než jen na povinnost hlášení. Platforma znalostní bázi s vysvětlením podle tématu spojuje jednotlivé povinnosti dohromady, a vysvětlení, odkud informace pocházejí ukazuje, které zdroje stojí za každou odpovědí, včetně pokynů EDPB.
Máte otázky ohledně vaší konkrétní situace, například proto, že si nejste jisti, zda se vaše pobočka v zahraničí počítá jako hlavní pobočka? Pak si dejte bezplatný rychlý přehled nebo si prohlédněte nejčastěji kladené otázky o porušeních ochrany údajů a hlášení abyste viděli, která otázka se nejblíže shoduje s vaší situací. Pro konečné rozhodnutí o vaší konkrétní věci zůstává právník nebo příslušný orgán pro ochranu osobních údajů vhodným kontaktem.