Εάν η εταιρεία σας είναι εγκατεστημένη μόνο στην Ελλάδα και μια παραβίαση δεδομένων αφορά ελληνικά υποκείμενα, την αναφέρετε όπως συνηθίζετε: στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Εάν η εταιρεία σας έχει επίσης τοποθεσία σε άλλο κράτος μέλος της ΕΕ, ή η παραβίαση αφορά υποκείμενα σε πολλά κράτη μέλη, τότε ο Κανονισμός έχει έναν ξεχωριστό μηχανισμό: την αρχή του ενός σημείου επαφής. Σύμφωνα με αυτή, ο Κανονισμός ορίζει μία αρχή εποπτείας που συντονίζει την υπόθεση, ακόμη και αν περισσότερες χώρες εμπλέκονται.
Η μία αρχή εποπτείας που συντονίζει ονομάζεται κύρια αρχή εποπτείας. Αυτή είναι κατ' αρχήν η αρχή εποπτείας της χώρας όπου βρίσκεται η κύρια τοποθεσία σας: ο τόπος όπου λαμβάνονται οι σημαντικότερες αποφάσεις σχετικά με τους σκοπούς και τα μέσα της επεξεργασίας. Η προθεσμία 72 ωρών για την αναφορά δεν αλλάζει, ακόμη και αν περισσότερες χώρες εμπλέκονται — αυτή η προθεσμία είναι καθορισμένη στον ίδιο τον Κανονισμό και ισχύει σε όλη την ΕΕ.
Πότε είναι μια παραβίαση δεδομένων διασυνοριακή
Μια παραβίαση δεδομένων είναι διασυνοριακή από τη στιγμή που η επεξεργασία στην οποία σχετίζεται η παραβίαση διενεργείται στο πλαίσιο δραστηριοτήτων τοποθεσιών σε περισσότερα από ένα κράτη μέλη, ή όταν η παραβίαση αφορά ουσιωδώς υποκείμενα σε πολλά κράτη μέλη. Το τελευταίο δεν είναι το ίδιο με το «υπάρχουν και πελάτες στο εξωτερικό»: πρόκειται για το ερώτημα αν η ίδια η επεξεργασία είναι οργανωμένη διασυνοριακά, για παράδειγμα επειδή μια τοποθεσία σε άλλη χώρα συμμετέχει στις αποφάσεις σχετικά με τον τρόπο χρήσης των δεδομένων. Ένα διαδικτυακό κατάστημα που πουλά από την Ελλάδα σε πελάτες σε άλλη χώρα χωρίς τοποθεσία εκεί, συνήθως δεν εμπίπτει σε αυτό.
Η αρχή του ενός σημείου επαφής στην πράξη
Η ιδέα πίσω από την αρχή του ενός σημείου επαφής είναι ότι μια εταιρεία με τοποθεσίες σε πολλά κράτη μέλη δεν χρειάζεται να επικοινωνεί ξεχωριστά με κάθε εθνική αρχή εποπτείας. Η κύρια αρχή εποπτείας παίρνει τη διεύθυνση, συντονίζεται με τις αρχές εποπτείας των άλλων εμπλεκόμενων χωρών και διασφαλίζει μία απόφαση αντί για πολλές, ενδεχομένως αντικρουόμενες, αποφάσεις. Για εσάς ως εταιρεία, αυτό σημαίνει κυρίως ότι γνωρίζετε σε ποια αρχή θα πρέπει να επικοινωνήσετε: την αρχή εποπτείας της κύριας τοποθεσίας σας, όχι αυτή κάθε χώρας όπου μένει ένα υποκείμενο.
Το Συμβούλιο Προστασίας Δεδομένων έχει δημοσιεύσει κατευθυντήριες γραμμές σχετικά με το πώς καθορίζεται μια κύρια τοποθεσία και πώς συνεργάζονται μεταξύ τους οι αρχές εποπτείας. Αυτές οι κατευθυντήριες γραμμές είναι σχετικές από τη στιγμή που η εταιρεία σας είναι πραγματικά ενεργή σε πολλές χώρες με ιδίες τοποθεσίες, όχι από τη στιγμή που έχετε απλώς διεθνή πελάτες.
Τι παραμένει ίδιο, πού υπάρχει διαφορά
Η ουσία της υποχρέωσης αναφοράς — πότε μια παραβίαση πρέπει να αναφερθεί, η προθεσμία 72 ωρών και το ερώτημα αν τα υποκείμενα θα πρέπει να ενημερωθούν — είναι στον Κανονισμό και ισχύει με τον ίδιο τρόπο σε κάθε κράτος μέλος. Αυτό που μπορεί να διαφέρει είναι πρακτικής φύσης: η πύλη αναφοράς κάθε εθνικής αρχής εποπτείας λειτουργεί λίγο διαφορετικά, ορισμένες χώρες χρησιμοποιούν τη δική τους γλώσσα για την αναφορά και ο τρόπος καθορισμού μιας κύριας αρχής εποπτείας μερικές φορές απαιτεί περαιτέρω έρευνα εάν δεν είναι αμέσως σαφές ποια τοποθεσία είναι η κύρια. Το τελευταίο είναι ένα από τα σημεία στα οποία τα κράτη μέλη της ΕΕ μπορούν να διαφέρουν στην εφαρμοστική πράξη, ακόμη και αν ο υποκείμενος κανόνας είναι ο ίδιος.
Για μια μικρομεσαία επιχείρηση χωρίς τοποθεσία στο εξωτερικό
Τα περισσότερα μικρά και μεσαία επιχειρήματα και ελεύθεροι επαγγελματίες δεν έχουν δικό τους γραφείο στο εξωτερικό, ακόμη και αν έχουν πελάτες ή προμηθευτές πέρα από τα σύνορα. Σε αυτήν την περίπτωση, στην πράξη αλλάζει πολύ λίγα: ειδοποιείτε απλώς την Αρχή Προστασίας Δεδομένων για μια παραβίαση δεδομένων, με τον ίδιο τρόπο και εντός της ίδιας προθεσμίας όπως σε περίπτωση παραβίασης που αφορά μόνο ενδιαφερόμενα μέρη από τις Κάτω Χώρες. Αν αμφιβάλλετε εάν η κατάστασή σας έχει πραγματικά διασυνοριακό χαρακτήρα, για παράδειγμα επειδή έχετε μια θυγατρική εταιρεία σε άλλο κράτος μέλος της ΕΕ που συμμετέχει στις αποφάσεις σχετικά με την επεξεργασία, αυτό είναι ένα θέμα που είναι καλύτερα να το συζητήσετε με έναν δικηγόρο ή απευθείας με την Αρχή Προστασίας Δεδομένων. Με τον δένδρο απόφασης σε μερικές ερωτήσεις δείτε εάν κάτι είναι μια ειδοποιούμενη παραβίαση δεδομένων λαμβάνετε τουλάχιστον μια πρώτη ένδειξη, ακόμη και αν δεν ξέρετε ακόμη εάν υπάρχει διασυνοριακή πτυχή.
Για να δείτε πώς μια τέτοια ειδοποίηση σχετίζεται με το καταγραφικό σας των δραστηριοτήτων επεξεργασίας και τις συμφωνίες με τους προμηθευτές, είναι χρήσιμο να δείτε ευρύτερα από μόνο την υποχρέωση ειδοποίησης. Το χώρο γνώσης με επεξήγηση ανά θέμα συγκεντρώνει τις χαλαρές υποχρεώσεις και το μια εξήγηση του πού προέρχονται οι πληροφορίες δείχνει ποιες πηγές υπάρχουν πίσω από κάθε απάντηση, συμπεριλαμβανομένων των κατευθυντήριων γραμμών του EDPB.
Έχετε ερωτήσεις σχετικά με τη δική σας κατάσταση, για παράδειγμα επειδή αμφιβάλλετε εάν η θέση σας στο εξωτερικό λαμβάνεται υπόψη ως κύρια θέση; Κάντε τότε τη δωρεάν γρήγορη σάρωση ή ξεφυλλίστε τις συχνές ερωτήσεις σχετικά με παραβιάσεις δεδομένων και υποχρέωση ειδοποίησης για να δείτε ποια ερώτηση είναι πιο κοντά στην κατάστασή σας. Για μια οριστική απόφαση σχετικά με τη δική σας υπόθεση, ένας δικηγόρος ή η Αρχή Προστασίας Δεδομένων παραμένει το κατάλληλο σημείο επικοινωνίας.