Stručná odpověď
Samotné GDPR se nezmění, jakmile prodáváte i zákazníkům v zahraničí. Nařízení je evropským nařízením, nikoli směrnicí, a proto se přímo a stejným způsobem uplatňuje v každém členském státě EU a EHP. Co se liší, není v samotném GDPR, ale v národních právních předpisech, které vedle něj zůstávají, jako pravidla o cookies, a v praktických věcech, jako je jazyk vašeho prohlášení o ochraně osobních údajů a který dozorčí orgán oslovíte s dotazem nebo stížností.
Pro internetový obchod, který prodává pouze v Česku, není tento rozdíl často důležitý. Jakmile máte návštěvníky nebo zákazníky v jiných zemích EU nebo mimo ni, je dobré vědět, kde končí společný základ a kde vstupují v platnost národní pravidla nebo mezinárodní přenosy.
Proč je základ všude stejný
Protože GDPR je nařízení, nemusí členské státy nejprve provádět jeho transpozici do vlastní legislativy, jak je tomu u evropské směrnice. Práva subjektů údajů, právní základy pro zpracování a povinnost vést evidenci zpracovatelských činností se proto uplatňují stejným textem v Německu, Francii nebo Španělsku jako v České republice. Rozdíly v interpretaci vznikají především proto, že dozorčí orgány v různých zemích někdy v různých pokynech kладou jiný důraz, což najdete v publikacích EDPB a samotných národních dozorčích orgánů.
Kde se to liší: cookies a podobné technologie
Umísťování cookies a podobných technologií do počítače návštěvníka nespadá pod GDPR, ale pod pravidla ePrivacy. Ty jsou v Evropě stanoveny směrnicí a směrnice se musí v každé zemi provést v národní legislativě. Způsob, jakým se musí souhlasu s cookies požádat a zaznamenat, se proto v detailech může lišit mezi státy, i když je výchozí princip všude podobný. Pro internetový obchod zaměřený na více zemí je toto jedno z mála míst, kde se pravidla mezi státy skutečně liší, a ne pouze v jejich interpretaci.
Jazyk a povinnost poskytovat informace
GDPR stanoví, že informace poskytované subjektům údajů musí být srozumitelné, ale neurčuje pevný seznam povinných jazyků. V praxi dozorčí orgány posuzují, kdo navštěvuje váš internetový obchod: cílíte-li se na zákazníky v Německu, je vhodné mít prohlášení o ochraně osobních údajů v německém jazyce, jednoduše proto, aby byla informace pro tuto cílovou skupinu srozumitelná. Nejde o samostatné právní pravidlo pro danou zemi, ale o praktické naplnění stejné povinnosti, která platí všude.
Přeshraniční zpracování a příslušný dozorční orgán
Když vaše společnost působí v několika zemích EU, může se řešit otázka, který dozorční orgán je příslušný, když se něco pokazí. GDPR má pro to takzvaný mechanismus one-stop-shop: podnikům s pobočkami v několika členských státech se v určitých případech dostane jednoho vedoucího dozorčího orgánu, obvykle toho v zemi, kde je sídlo hlavní činnosti. U malé společnosti se sídlem pouze v České republice, která prodává příležitostně zahraničním zákazníkům, je to jiné než u společnosti s pobočkami v několika státech EU. Přesné vymezení je popsáno v samotném GDPR a v pokynech EDPB; pro vaši konkrétní situaci je to otázka pro právníka nebo příslušný dozorčí orgán, nikoli něco, co byste měl hodnotit sám.
Prodej mimo EU a EHP
Jiný případ nastává, jakmile se údaje o zákaznících přesouvají mimo území EU a EHP, například proto, že dodavatel, poskytovatelem plateb nebo poskytovatel hostingu sídlí mimo Evropu. Pak již nejde o rozdíly mezi jednotlivými zeměmi EU, ale o pravidla pro přenos osobních údajů do země mimo EU a EHP. GDPR to umožňuje za určitých podmínek, například na základě rozhodnutí Evropské komise o adekvátnosti pro danou zemi, nebo dodatečných dohod, jako jsou ustanovení o modelových smlouvách. Toto je jeden z bodů, na kterých si smlouva o zpracování údajů se zahraniční stranou zaslouží zvláštní pozornost, a kterému banka znalostí vysvětluje pozadí pro jednotlivá témata.
Co to znamená pro váš registr a dokumenty
Pro samotný registr zpracování se na povinnosti nic nemění: zaznamenáváte, která zpracování probíhají, s jakým účelem a na jakém právním základě, bez ohledu na to, v jaké zemi se vaši zákazníci nacházejí. Co je však rozumné zaznamenat, je, zda a kde údaje opouštějí území EU a EHP, aby to zůstalo jasné, pokud se na to zeptá zákazník, dohledový orgán nebo pojišťovna. Kdo si chce tuto oblast pohlídat bez nutnosti to ručně sledovat, může to nechát sledovat v přehledu míst, kde se údaje nacházejí a jak jsou chráněny.
Ať už váš e-shop právě začíná s prodejem přes hranice nebo to dělá již delší dobu, je především důležité rozlišit mezi tím, co řeší samotné GDPR, a co závisí na národních zákonech nebo na přenosu mimo Evropu. Odpovědi na nejčastěji kladené otázky na toto téma, včetně odkazů na oficiální text, najdete v sbírce nejčastějších otázek.
Chcete vidět, jak se to skládá dohromady pro vaši vlastní firmu, aniž byste se do toho museli sami ponořit na odpoledne? Pomocí bezplatné rychlé kontroly získáte první indikaci a poté si sami můžete posoudit, zda obchodní účet vám stojí za to.