Respuesta breve
El RGPD en sí no cambia cuando también vende a clientes en el extranjero. El reglamento es una regulación europea, no una directiva, y por lo tanto se aplica directamente y de la misma manera en todos los Estados miembros de la UE y el EEE. Lo que sí varía no está en el RGPD en sí, sino en las leyes nacionales que siguen existiendo junto a él, como las normas sobre cookies, y en cuestiones prácticas como el idioma de su declaración de privacidad y qué autoridad de control se dirige cuando tiene una pregunta o queja.
Para una tienda en línea que vende solo dentro de los Países Bajos, esa distinción a menudo no es relevante. En cuanto tenga visitantes o clientes en otros países de la UE o fuera de ella, es bueno saber dónde termina la base común y dónde entran en juego las normas nacionales o la transferencia internacional.
Por qué la base es igual en todas partes
Porque el RGPD es un reglamento, los Estados miembros no necesitan convertirlo en legislación propia, como sí deben hacer con una directiva europea. Los derechos de los interesados, las bases para el tratamiento y la obligación de mantener un registro de actividades de tratamiento se aplican, por lo tanto, con el mismo texto en Alemania, Francia o España que en los Países Bajos. Las diferencias en la interpretación surgen principalmente porque los supervisores en diferentes países a veces ponen énfasis ligeramente diferente en sus directrices, algo que encontrará en las publicaciones de la EDPB y los supervisores nacionales mismos.
Dónde sí varía: cookies y técnicas similares
La colocación de cookies y técnicas similares en el ordenador de un visitante no cae bajo el RGPD, sino bajo las normas de privacidad electrónica. Están establecidas en Europa en una directiva, y una directiva debe ser transpuesta en cada país a la legislación nacional. Por lo tanto, la forma en que el consentimiento para cookies debe solicitarse y registrarse puede diferir en detalle entre países, incluso si el punto de partida es comparable en todas partes. Para una tienda en línea que se dirige a múltiples países, este es uno de los pocos lugares donde las reglas realmente varían entre países, y no solo en su interpretación.
Idioma y obligación de información
El RGPD prescribe que la información para los interesados debe ser comprensible, pero no proporciona una lista fija de idiomas obligatorios. En la práctica, los supervisores miran a quién visita su tienda en línea: si se dirige activamente a clientes en Alemania, entonces una declaración de privacidad en alemán es apropiada, simplemente porque de otro modo la información no sería comprensible para ese grupo objetivo. Esa no es una regla legal separada por país, sino una aplicación práctica del mismo requisito que se aplica en todas partes.
Tratamiento transfronterizo y la autoridad de control competente
Cuando su empresa opera en varios países de la UE, puede surgir la pregunta de qué autoridad de control es competente si algo sale mal. El RGPD prevé el mecanismo denominado ventanilla única para esto: las empresas con establecimientos en varios Estados miembros se enfrentan en ciertos casos a una autoridad de control principal, generalmente la del país donde se encuentra el establecimiento principal. Para una pequeña empresa con solo un establecimiento en los Países Bajos que vende incidentalmente a clientes extranjeros, esto es diferente que para una empresa con múltiples establecimientos en la UE. La aplicación exacta de esto se describe en el RGPD en sí y en las directrices de la EDPB; para su propia situación, esta es una pregunta para un abogado o la autoridad de control competente, no algo que deba evaluar usted mismo.
Venta fuera de la UE y el EEE
Otra historia es la que ocurre cuando los datos de los clientes salen del territorio de la UE y el EEE, por ejemplo porque un proveedor, procesador de pagos o empresa de alojamiento tiene su sede fuera de Europa. Entonces ya no se trata de diferencias entre países de la UE, sino de las normas sobre transferencia de datos personales a un país situado fuera de ese territorio. El RGPD lo permite bajo ciertas condiciones, como una decisión de adecuación de la Comisión Europea para el país en cuestión, o acuerdos adicionales como cláusulas contractuales tipo. Este es uno de los puntos para los que un contrato de procesamiento con una parte extranjera merece una atención específica, y sobre el que la base de conocimientos por tema explica los antecedentes.
Lo que esto significa para su registro y documentos
En cuanto al propio registro de tratamiento, no cambia nada en la obligación: usted registra qué tratamientos se realizan, para qué fin y sobre qué base, independientemente de en qué país se encuentren sus clientes. Lo que sí es aconsejable documentar es si y dónde los datos salen del territorio de la UE y el EEE, para que esto siga siendo transparente cuando un cliente, autoridad supervisora o asegurador lo pregunte. Quien quiera tener control sobre esto sin tener que hacerlo manualmente, puede dejar que esto se refleje en el descripción de dónde se encuentran los datos y cómo están protegidos.
Ya sea que su tienda en línea acaba de empezar a vender en el extranjero o lleva haciéndolo más tiempo, lo importante es distinguir entre lo que regula el propio RGPD y lo que depende de las leyes nacionales o de transferencias fuera de Europa. Las respuestas a preguntas frecuentes al respecto, incluyendo la referencia en el texto oficial, las encontrará en la colección de preguntas frecuentes.
¿Desea ver cómo encaja esto en su propio negocio, sin tener que dedicar una tarde a estudiarlo usted mismo? Con el análisis rápido gratuito obtiene una primera indicación y luego puede evaluar si una cuenta de empresa le resulta útil.