Hvis dit firma kun er etableret i Danmark, og et databrud rammer danske berørte parter, anmelder du det på sædvanlig vis: til Datatilsynet. Har dit firma også en filial i et andet EU-land, eller rammer bruddet berørte parter i flere medlemsstater, så er der i GDPR en særlig mekanisme: one-stop-shop-princippet. Herved udpeger forordningen én tilsynsmyndighed, som koordinerer sagen, selv om flere lande er involveret.
Den ene, koordinerende tilsynsmyndighed kaldes den ledende tilsynsmyndighed. Dette er som hovedregel tilsynsmyndigheden i det land, hvor dit hovedkontor er beliggende: det sted, hvor de vigtigste beslutninger om formål og midler ved behandlingen træffes. 72-timersfristen for anmeldelse ændres ikke, selv om flere lande er involveret — denne frist er fastsat i selve GDPR og gælder på tværs af EU.
Hvornår er et databrud grænsekrydsende
Et databrud er grænsekrydsende, så snart behandlingen, som bruddet vedrører, finder sted i forbindelse med aktiviteter ved filialer i mere end én medlemsstat, eller når bruddet påvirker berørte parter i flere medlemsstater væsentligt. Dette er ikke det samme som "vi har også kunder i udlandet": det handler om, hvorvidt behandlingen selv er organiseret på grænsekrydset, for eksempel fordi en filial i et andet land medbestemmer, hvordan data håndteres. En webshop, der sælger fra Danmark til kunder i Tyskland uden et tysk datterselskab, falder typisk ikke ind herunder.
One-stop-shop-princippet i praksis
Idéen bag one-stop-shop-princippet er, at en virksomhed med filialer i flere medlemsstater ikke skal behandle hver national tilsynsmyndighed separat. Den ledende tilsynsmyndighed går forrest, koordinerer med tilsynsmyndighederne i de øvrige involverede lande og sikrer én afgørelse i stedet for flere, muligt modstridende, afgørelser. For dig som virksomhed betyder dette især, at du ved, hvem du skal kontakte: tilsynsmyndigheden for dit hovedkontor, ikke myndigheden i hvert land, hvor en berørt part bor.
EDPB har offentliggjort retningslinjer om, hvordan et hovedkontor fastslås, og hvordan tilsynsmyndigheder samarbejder indbyrdes. Disse retningslinjer er relevante, så snart din virksomhed faktisk er aktiv i flere lande med egne filialer, ikke blot fordi du har internationale kunder.
Hvad forbliver det samme, hvor ligger forskellene
Kernen i anmeldelsespligten — hvornår et brud skal anmeldes, 72-timersfristen, og spørgsmålet om, hvorvidt berørte parter selv skal underrettes — står i GDPR og gælder på samme måde i hver medlemsstat. Hvad der kan være forskelligt, er af praktisk art: hver national tilsynsmyndigheds anmeldelseportal fungerer lidt anderledes, nogle lande bruger deres eget sprog til anmeldelsen, og måden, hvorpå en ledende tilsynsmyndighed fastslås, kræver nogle gange nærmere undersøgelse, hvis det ikke er umiddelbart klart, hvilken filial der er hovedkontoret. Sidstnævnte er ét af de punkter, hvor EU-medlemsstater kan afvige i implementeringspraksis, selv om den underliggende norm er den samme.
For en mindre eller mellemstor virksomhed uden udenlandsk filial
De fleste små og mellemstore virksomheder og selvstændige har ingen egen etablering i udlandet, selv ikke hvis de har kunder eller leverandører på tværs af grænserne. I så fald ændrer der sig praktisk talt ikke meget: du anmelder et datalæk simpelthen til Datatilsynet på samme måde og inden for samme frist som ved et læk, der kun rammer danske registrerede. Er du usikker på, om din situation alligevel har et grænsekrydsende præg, for eksempel fordi du har et datterselskab i en anden EU-stat, som medvirker til afgørelser om behandlingen, så er det et spørgsmål, du bedst diskuterer med en jurist eller direkte med Datatilsynet. Med beslutningsstien kan du i et par spørgsmål se, om noget er et anmeldelsespligtigt datalæk får du i hvert tilfælde en første indikation, også hvis du endnu ikke ved, om der er en grænsekrydsende side ved det.
For at se, hvordan sådan en anmeldelse forholder sig til dit behandlingsregister og aftaler med leverandører, er det nyttigt at se bredere end kun anmeldelsespligten. videnbanken med forklaringer emne for emne samler de løse forpligtelser, og en uddybning af hvor oplysningerne kommer fra viser, hvilke kilder der ligger bag hvert svar, herunder EDPB's retningslinjer.
Har du spørgsmål om din egen situation, for eksempel fordi du er usikker på, om din etablering i udlandet tæller som hovedetablering? Foretag da den gratis hurtigskanning eller gennemse hyppigt stillede spørgsmål om datalæk og anmeldelsespligt for at se, hvilket spørgsmål der ligger tættest på din situation. For en endelig vurdering af din egen sag er en jurist eller Datatilsynet det rette kontaktpunkt.