Si su empresa solo está establecida en los Países Bajos y una incumplimiento de datos afecta a interesados holandeses, notifíquelo como está acostumbrado: a la Autoridad de Protección de Datos. Si su empresa también tiene una ubicación en otro país de la UE, o si la incumplimiento afecta a interesados en varios Estados miembros, el RGPD establece un mecanismo especial: el principio de ventanilla única. Conforme a este principio, el Reglamento designa una autoridad de supervisión que coordina el caso, aunque haya varios países implicados.
Esa única autoridad de supervisión coordinadora se denomina autoridad de supervisión principal. En principio, es la autoridad de supervisión del país donde se encuentra su establecimiento principal: el lugar donde se toman las decisiones más importantes sobre los fines y medios del tratamiento. El plazo de 72 horas para notificar no cambia, ni siquiera cuando hay varios países implicados — ese plazo está establecido en el RGPD mismo y se aplica en toda la UE.
Cuándo es una incumplimiento de datos transfronteriza
Una incumplimiento de datos es transfronteriza en cuanto el tratamiento al que se refiere la incumplimiento se realiza en el contexto de las actividades de establecimientos en más de un Estado miembro, o cuando la incumplimiento afecta de manera significativa a interesados en varios Estados miembros. Esto no es lo mismo que "también tenemos clientes en el extranjero": se trata de la cuestión de si el tratamiento en sí está organizado de manera transfronteriza, por ejemplo porque un establecimiento en otro país codecide cómo se tratan los datos. Una tienda en línea que vende desde los Países Bajos a clientes en Alemania sin tener un establecimiento alemán, generalmente no entra en esta categoría.
El principio de ventanilla única en la práctica
La idea detrás del principio de ventanilla única es que una empresa con establecimientos en varios Estados miembros no tenga que tratar por separado con cada autoridad de supervisión nacional. La autoridad de supervisión principal toma la iniciativa, se coordina con las autoridades de supervisión de los demás países implicados, y garantiza una única decisión en lugar de varias decisiones potencialmente contradictorias. Para usted como empresa, esto significa principalmente saber a quién acudir: la autoridad de supervisión de su establecimiento principal, no la de cada país donde vive un interesado.
La EDPB ha publicado directrices sobre cómo se determina un establecimiento principal y cómo colaboran las autoridades de supervisión entre sí. Estas directrices son pertinentes en cuanto su empresa está realmente activa en varios países con establecimientos propios, no simplemente porque tiene clientes internacionales.
Qué permanece igual, dónde está la diferencia
El núcleo de la obligación de notificación — cuándo una incumplimiento debe notificarse, el plazo de 72 horas y la cuestión de si los interesados deben ser informados por sí mismos — está en el RGPD y se aplica en cada Estado miembro de la misma manera. Lo que sí puede variar es de naturaleza práctica: el portal de notificación de cada autoridad de supervisión nacional funciona de manera ligeramente diferente, algunos países utilizan su propio idioma para la notificación, y la forma en que se determina una autoridad de supervisión principal a veces requiere una investigación adicional si no queda inmediatamente claro cuál es el establecimiento principal. Este último es uno de los puntos en los que los Estados miembros de la UE pueden diferir en la práctica de aplicación, aunque la norma subyacente sea la misma.
Para una pequeña o mediana empresa sin establecimiento en el extranjero
La mayoría de las pequeñas y medianas empresas y trabajadores autónomos no tienen una sucursal propia en el extranjero, incluso si tienen clientes o proveedores al otro lado de la frontera. En ese caso, en la práctica cambia poco: notifica una infracción de seguridad simplemente a la Autoridad de Protección de Datos, del mismo modo y dentro del mismo plazo que en caso de una infracción que afecte solo a interesados neerlandeses. Si duda de si su situación tiene un carácter transfronterizo, por ejemplo porque tiene una filial en otro país de la UE que participa en la decisión sobre el tratamiento, es una pregunta que es mejor discutir con un abogado o directamente con la Autoridad de Protección de Datos. Con el árbol de decisión en unas pocas preguntas ver si algo es una infracción de seguridad notificable obtiene al menos una primera indicación, incluso si aún no sabe si hay un aspecto transfronterizo.
Para ver cómo tal notificación se relaciona con su registro de tratamiento y los acuerdos con los proveedores, es útil mirar más allá del mero deber de notificación. El banco de conocimiento con explicaciones por tema reúne las obligaciones sueltas, y una explicación de dónde proviene la información muestra qué fuentes hay detrás de cada respuesta, incluidas las directrices del EDPB.
¿Tiene preguntas sobre su propia situación, por ejemplo porque duda de si su sucursal en el extranjero cuenta como establecimiento principal? Realice entonces el escaneo rápido gratuito o consulte el preguntas más frecuentes sobre infracciones de seguridad y deber de notificación para ver qué pregunta se acerca más a su situación. Para un dictamen definitivo sobre su propio caso, un abogado o la Autoridad de Protección de Datos siguen siendo el interlocutor indicado.