Σύντομη απάντηση
Το ίδιο το GDPR δεν αλλάζει μόλις πωλείτε και σε πελάτες στο εξωτερικό. Ο Κανονισμός είναι ένας ευρωπαϊκός κανονισμός, όχι οδηγία, και γι' αυτό ισχύει άμεσα και με τον ίδιο τρόπο σε κάθε κράτος μέλος της ΕΕ και της ΕΟΧ. Αυτό που διαφέρει πράγματι, δεν βρίσκεται στο ίδιο το GDPR αλλά στους εθνικούς νόμους που παραμένουν δίπλα του, όπως οι κανόνες για τα cookies, και σε πρακτικά ζητήματα όπως η γλώσσα της δήλωσης απορρήτου σας και ποια αρχή εποπτείας θα απευθύνεστε σε περίπτωση ερώτησης ή παράπονου.
Για ένα ηλεκτρονικό κατάστημα που πουλά μόνο στην Ολλανδία, αυτή η διάκριση συχνά δεν είναι σχετική. Μόλις έχετε επισκέπτες ή πελάτες σε άλλες χώρες της ΕΕ, ή πέρα από αυτό, είναι καλό να γνωρίζετε πού τελειώνει η κοινή βάση και πού εμφανίζονται εθνικοί κανόνες ή διεθνείς μεταφορές δεδομένων.
Γιατί η βάση είναι η ίδια παντού
Επειδή το GDPR είναι ένας κανονισμός, τα κράτη μέλη δεν χρειάζεται να το ενσωματώσουν πρώτα στη δική τους νομοθεσία, όπως πρέπει να γίνει σε περίπτωση ευρωπαϊκής οδηγίας. Τα δικαιώματα των υποκειμένων, τα νομικά αίτια για την επεξεργασία και η υποχρέωση διατήρησης καταγραφής δραστηριοτήτων επεξεργασίας ισχύουν επομένως με το ίδιο κείμενο στη Γερμανία, τη Γαλλία ή την Ισπανία όπως και στην Ολλανδία. Οι διαφορές στην ερμηνεία προκύπτουν κυρίως επειδή οι αρχές εποπτείας σε διαφορές χώρες μερικές φορές έχουν μια ελαφρώς διαφορετική έμφαση στις κατευθυντήριες γραμμές τους, κάτι που θα βρείτε στις δημοσιεύσεις του EDPB και των εθνικών αρχών εποπτείας.
Όπου διαφέρει πράγματι: cookies και παρόμοιες τεχνολογίες
Η τοποθέτηση cookies και παρόμοιων τεχνολογιών στον υπολογιστή ενός επισκέπτη δεν εμπίπτει στο GDPR, αλλά στους κανόνες ηλεκτρονικής ιδιωτικότητας. Αυτοί είναι καθιερωμένοι στην Ευρώπη σε μια οδηγία, και μια οδηγία πρέπει να ενσωματωθεί σε κάθε χώρα στη δική της εθνική νομοθεσία. Γι' αυτό ο τρόπος με τον οποίο πρέπει να ζητηθεί και να καταγραφεί η συγκατάθεση για cookies μπορεί να διαφέρει λεπτομερώς μεταξύ χωρών, παρόλο που το σημείο εκκίνησης είναι ομοιόμορφο παντού. Για ένα ηλεκτρονικό κατάστημα που στοχεύει πολλές χώρες, αυτό είναι ένα από τα λίγα μέρη όπου οι κανόνες διαφέρουν πραγματικά ανά χώρα, και όχι μόνο στην ερμηνεία τους.
Γλώσσα και υποχρέωση πληροφόρησης
Το GDPR προσδιορίζει ότι οι πληροφορίες στα υποκείμενα πρέπει να είναι κατανοητές, αλλά δεν δίνει σταθερό κατάλογο υποχρεωτικών γλωσσών. Στην πράξη, οι αρχές εποπτείας κοιτάζουν ποιος επισκέπτεται το ηλεκτρονικό κατάστημά σας: αν στοχεύετε ενεργά πελάτες στη Γερμανία, τότε μια δήλωση απορρήτου στα γερμανικά είναι λογική, απλώς και μόνο επειδή διαφορετικά οι πληροφορίες δεν είναι κατανοητές για εκείνο το κοινό. Αυτό δεν είναι ένας ξεχωριστός νομικός κανόνας ανά χώρα, αλλά μια πρακτική υλοποίηση της ίδιας απαίτησης που ισχύει παντού.
Διασυνοριακή επεξεργασία και η αρμόδια αρχή εποπτείας
Όταν η επιχείρησή σας είναι ενεργή σε πολλές χώρες της ΕΕ, μπορεί να τίθεται το ερώτημα ποια αρχή εποπτείας είναι αρμόδια εάν κάτι πάει στραβά. Το GDPR καθιερώνει για αυτό τον λεγόμενο μηχανισμό του ενιαίου σημείου επαφής: εταιρείες με εγκαταστάσεις σε πολλά κράτη μέλη αντιμετωπίζουν σε ορισμένες περιπτώσεις μία κύρια αρχή εποπτείας, συνήθως εκείνη του κράτους όπου βρίσκεται η κύρια διεύθυνση. Για μια μικρή επιχείρηση με μόνο μία εγκατάσταση στην Ολλανδία που πουλά περιστασιακά σε ξένους πελάτες, αυτό είναι διαφορετικό από ό,τι για μια επιχείρηση με πολλές εγκαταστάσεις στην ΕΕ. Η ακριβής υλοποίηση αυτού περιγράφεται στο ίδιο το GDPR και στις κατευθυντήριες γραμμές του EDPB. για την ίδια σας κατάσταση, αυτό είναι μια ερώτηση για έναν δικηγόρο ή την αρμόδια αρχή εποπτείας, όχι κάτι που πρέπει να αξιολογήσετε μόνοι σας.
Πώληση εκτός της ΕΕ και της ΕΟΧ
Ένας διαφορετικός κανόνας ισχύει από τη στιγμή που τα δεδομένα των πελατών φεύγουν από την περιοχή της ΕΕ και του ΕΟΧ, για παράδειγμα επειδή ένας προμηθευτής, πάροχος πληρωμών ή παροχος φιλοξενίας έχει έδρα έξω από την Ευρώπη. Τότε δεν πρόκειται πλέον για διαφορές μεταξύ των χωρών της ΕΕ, αλλά για τους κανόνες μεταφοράς δεδομένων προσώπων σε χώρα εκτός αυτής. Ο GDPR επιτρέπει αυτό υπό προϋποθέσεις, όπως μια απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής για τη χώρα που αφορά, ή συμπληρωματικές συμφωνίες όπως οι όροι του τυπικού συμβολαίου. Αυτό είναι ένα από τα σημεία στα οποία ένα συμφωνητικό επεξεργασίας με ένα εξωτερικό μέρος αξίζει ειδικής προσοχής, και σχετικά με αυτό η κάθε θέμα της γνωσιακής βάσης εξηγεί τα υπόβαθρα.
Τι σημαίνει αυτό για το μητρώό σας και τα έγγραφα
Για το ίδιο το μητρώο επεξεργασίας, δεν υπάρχει αλλαγή στην υποχρέωση: καταγράφετε ποιες επεξεργασίες λαμβάνουν χώρα, για ποιο σκοπό και με ποια νομική βάση, ανεξάρτητα από τη χώρα όπου βρίσκονται οι πελάτες σας. Ωστόσο, είναι σκόπιμο να τεκμηριώσετε εάν και πού τα δεδομένα φεύγουν από την περιοχή της ΕΕ και του ΕΟΧ, ώστε να παραμείνει ορατό εάν ένας πελάτης, αρχή εποπτείας ή ασφαλιστής το ρωτήσει. Όποιος θέλει να ελέγξει αυτό χωρίς να χρειάζεται να το παρακολουθεί χειροκίνητα, μπορεί να το παρακολουθεί στη επισκόπηση του τόπου όπου βρίσκονται τα δεδομένα και πώς προστατεύονται.
Είτε το διαδικτυακό σας κατάστημα μόλις ξεκινά να πουλά διασυνοριακά είτε το κάνει εδώ και καιρό, το κύριο πράγμα είναι να διακρίνετε μεταξύ αυτού που ρυθμίζει ο ίδιος ο GDPR και αυτού που εξαρτάται από εθνικούς νόμους ή από μεταφορά έξω από την Ευρώπη. Απαντήσεις σε συχνές ερωτήσεις σχετικά με αυτό, συμπεριλαμβανομένης της θέσης στο επίσημο κείμενο, μπορείτε να βρείτε στη συλλογή συχνών ερωτήσεων.
Θέλετε να δείτε πώς αυτό ταιριάζει στη δική σας εταιρεία, χωρίς να χρειάζεται να διαθέσετε μια απόγευμα; Με τη δωρεάν γρήγορη σάρωση λαμβάνετε μια πρώτη ένδειξη, και στη συνέχεια μπορείτε να αποφασίσετε μόνοι σας εάν έναν επιχειρηματικό λογαριασμό έχει αξία για εσάς.