Kort svar
GDPR ændres ikke, blot fordi du også sælger til kunder i udlandet. Forordningen er en europæisk forordning, ikke et direktiv, og gælder derfor direkte og på samme måde i hver medlemsstat i EU og EØS. Hvad der derimod varierer, ligger ikke i selve GDPR, men i de nationale love, der fortsat eksisterer ved siden af, såsom regler om cookies, og i praktiske forhold såsom sproget i din privatlivserklæring og hvilken tilsynsmyndighed du henvender dig til ved et spørgsmål eller en klage.
For en webshop, der kun sælger inden for Danmark, er denne sondring ofte ikke relevant. Så snart du har besøgende eller kunder i andre EU-lande eller uden for EU, er det godt at vide, hvor det fælles grundlag ophører, og hvor nationale regler eller international dataoverførsel kommer på banen.
Hvorfor grundlaget er ens overalt
Fordi GDPR er en forordning, behøver medlemsstater ikke først at implementere den i egen lovgivning, som det kræves ved et europæisk direktiv. Rettighederne for de registrerede, grundlaget for behandling og pligten til at føre et register over behandlingsaktiviteter gælder derfor med det samme ordlyd i Tyskland, Frankrig eller Spanien som i Danmark. Forskelle i fortolkningen opstår primært, fordi tilsynsmyndigheder i forskellige lande nogle gange lægger lidt forskellig vægt i deres vejledninger, noget du finder igen i EDPB's publikationer og de nationale tilsynsmyndigheders egne.
Hvor det derimod varierer: cookies og lignende teknologi
Placering af cookies og lignende teknologier på besøgendes computer falder ikke under GDPR, men under e-privatlivets regler. Disse er fastsat i Europa i et direktiv, og et direktiv skal implementeres i national lovgivning i hvert land. Derfor kan måden, hvorpå samtykke til cookies skal anmodes om og registreres, variere i detaljer mellem lande, selv om udgangspunktet er sammenligneligt overalt. For en webshop, der henvender sig til flere lande, er dette et af de få steder, hvor reglerne faktisk divergerer fra land til land, og ikke blot i fortolkningen af dem.
Sprog og informationspligt
GDPR foreskriver, at oplysninger til de registrerede skal være forståelige, men fastlægger ingen fast liste over obligatoriske sprog. I praksis vurderer tilsynsmyndigheder, hvem der besøger din webshop: hvis du aktivt henvender dig til kunder i Tyskland, er en tysk privatlivserklæring logisk, simpelthen fordi oplysningerne ellers ikke er forståelige for den målgruppe. Dette er ikke en særskilt juridisk regel pr. land, men en praktisk udfyldelse af samme krav, som gælder overalt.
Grænseoverskridende behandling og den relevante tilsynsmyndighed
Når dit firma er aktivt i flere EU-lande, kan spørgsmålet opstå, hvilken tilsynsmyndighed der er kompetent, hvis noget går galt. GDPR har til formål det såkaldte one-stop-shop-mekanisme: virksomheder med etablering i flere medlemsstater får i visse tilfælde at gøre med én ledende tilsynsmyndighed, normalt fra landet, hvor hovedkontoret er beliggende. For en lille virksomhed med kun et dansk kontorsted, der tilfældigt sælger til udenlandske kunder, ser det anderledes ud end for en virksomhed med flere etableringssted i EU. Den præcise udformning heraf er beskrevet i selve GDPR og i EDPB's vejledninger; for din egen situation er dette et spørgsmål til en jurist eller den relevante tilsynsmyndighed, ikke noget, du selv behøver at vurdere.
Salg uden for EU og EØS
En anden regel gælder, når kundernes data forlader EU- og EØS-området, for eksempel fordi en leverandør, betalingsprovider eller hostingpartner er etableret uden for Europa. Så handler det ikke længere om forskelle mellem EU-lande indbyrdes, men om reglerne for overførsel af persondata til et land uden for området. GDPR tillader dette under visse betingelser, såsom en passende afgørelse fra Kommissionen om det pågældende land, eller tillæggsaftaler såsom modelkontraktbestemmelser. Dette er et af de punkter, hvor en databehandleraftale med en udenlandsk part fortjener særlig opmærksomhed, og som den videnbase forklarer baggrund for hvert emne om.
Hvad dette betyder for dit register og dokumenter
For selve behandlingsregisteret ændrer der sig ingenting ved forpligtelsen: du registrerer hvilke behandlinger der finder sted, med hvilket formål og på hvilket grundlag, uanset hvilket land dine kunder befinder sig i. Det, der er klogt at dokumentere, er om og hvor data forlader EU- og EØS-området, så det forbliver klart, hvis en kunde, tilsynsmyndighed eller forsikringsselskab spørger dertil. Hvis nogen ønsker at få kontrol herover uden at skulle holde styr på det manuelt, kan dette følge med i det overblik over hvor data er og hvordan de er sikret.
Om din webshop netop begynder at sælge på tværs af grænserne eller allerede har gjort det i længere tid, er det vigtigste at skelne mellem hvad GDPR selv regulerer, og hvad der afhænger af nationale love eller overførsel uden for Europa. Svar på hyppigt stillede spørgsmål herom, herunder kilder i den officielle tekst, finder du i det samlingen af ofte stillede spørgsmål.
Vil du se hvordan dette hænger sammen i din egen virksomhed uden selv at bruge en eftermiddag på det? Med den gratis quick-scan får du en første indikation, og kan derefter selv vurdere om en erhvervskonto er noget for dig.