Kui teie ettevõte on asutatud ainult Eestis ja andmeülekaanne puudutab eestiaegseid isikuid, teatate sellest tavalisel viisil: Andmekaitse Inspektsioonile. Kui teie ettevõttel on osak ka teises ELi riigis, või andmeülekaanne puudutab isikuid mitmes liikmesriigis, siis kehtib GDPR-il eraldi mehhanism: ühe kõrve põhimõte. Selle kohaselt määrab määrus ühele järelevalveasutusele juhtiva rolli, kuigi rohkem kui üks riik on kaasatud.
Seda ühte juhtivat järelevalveasutust nimetatakse juhtivaks järelevalveasutuseks. See on põhimõtteliselt järelevalveasutus riigis, kus asub teie peakontor: koht, kus võetakse vastu olulisemad otsused andmetöötluse eesmärkide ja vahendite kohta. 72-tunnine teabetusmääraja ei muutu, isegi kui rohkem kui üks riik on kaasatud — see määraja on määruses kindlaksmääratud ja kehtib kogu ELis.
Millal on andmeülekaanne piiriülene
Andmeülekaanne on piiriülene niipea, kui andmetöötlus, millele leek viitab, toimub rohkem kui ühe liikmesriigi asutuste tegevuse kontekstis, või kui leek puudutab märkimisväärselt rohkem kui ühe liikmesriigi isikuid. See ei ole sama mis "meil on ka välisturu kliente": küsimus on selles, kas andmetöötlus ise on organiseeritud piiriüleselt, näiteks sellepärast, et teises riigis asuv osak otsustab kaasasse, kuidas andmetega käitutakse. Veebipoest, mis müüb Eestist Saksamaa klientidele ilma Saksa osata, tavaliselt alla ei kuulu.
Ühe kõrve põhimõte praktikas
Ühe kõrve põhimõtte eesmärk on see, et ettevõttel, millel on asutused mitmes liikmesriigis, ei pea iga rahvuslikku järelevalveasutust eraldi kontakteerima. Juhtiv järelevalveasutus võtab juhtiva rolli, koordineerib teiste kaasatud riikide järelevalveasutustega ja tagab ühe otsuse mitme võimaliku erinevate otsuste asemel. Teie ettevõtte jaoks tähendab see peamiselt seda, et te teate, kellele peate pöörduma: teie peakontoriga sama riigi järelevalveasutus, mitte iga riigi omale, kus isik elab.
EDPB on avaldanud juhiseid selle kohta, kuidas peakontori asukohta määratakse ja kuidas järelevalveasutused üksteisega koostööd teevad. Need juhised on asjakohased, kui teie ettevõte tegelikult mitmes riigis tegevust teeb oma asutustega, mitte niipea, kui teil on lihtsalt rahvusvaheline klientuur.
Mis jääb samaks, kus on erinevused
Teatamiskohustuse tuum — millal on lek teatamist väärt, 72-tunnine tähtaeg ja küsimus, kas isikuid tuleb ise teavitada — on määruses kirjas ja kehtib igas liikmesriigis samal viisil. Mis võib erineda, on praktiline: iga rahvusliku järelevalveasutuse teatamise portaal töötab veidi teisiti, mõned riigid kasutavad teatamisel oma keelt ja juhtiva järelevalveasutuse määramine nõuab mõnikord täiendavat uurimist, kui pole kohe selge, milline osak on peakontor. See viimane on üks punktidest, kus ELi liikmesriigid võivad rakendamise praktikas erineda, kuigi aluslik standard on sama.
Väikese või keskmise suurusega ettevõttele, millel pole välismaale asutust
Enamik väiksemaid ja keskmise suurusega ettevõtteid ning iseseisevaid ettevõtjaid ei oma filiaali välismaal, isegi kui neile on kliendid või tarnijad piiri taga. Sellisel juhul muutub praktikas vähe: te teatate andmelekust lihtsalt Andmekaitse Inspektsioonile, samamoodi ja sama tähtaja jooksul kui lekust, mis puudutab ainult Eesti andmesubjekte. Kui te kahtlete, kas teie olukord omab siiski rahvusvahelise iseloomu, näiteks seetõttu, et teil on tütarettevõte mõnes muus ELi riigis, kes osaleb otsustes andmetöötluse osas, siis on see küsimus, mida on parimat kasuks arutada juristiga või otse Andmekaitse Inspektsiooniga. Otsustuspuuga väikese hulga küsimuste abil näha, kas midagi on teaditav andmelekk saate juba esimese hinnangu, isegi kui te ei tea veel, kas asi on rahvusvaheline.
Et näha, kuidas selline teadaanne seostub teie andmetöötluse registriga ja lepingutega tarnijatega, on kasulik vaadelda laiemalt kui pelgalt teatamiskohustust. teadmusandmikust koos selgitusega teemanumbrite kaupa koondab lahus olevad kohustused kokku, ja teadaanne selle kohta, kust info pärineb näitab, millised allikad iga vastuse taga seisavad, sealhulgas EJH suuniseid.
Kas teil on küsimusi oma olukorra kohta, näiteks seetõttu, et te kahtlete, kas teie vestiging välismaal loetakse põhivestituseks? Tehke siis tasuta kiirkontroll või lehitse läbi korduma kippuvad küsimused andmelekete ja teatamiskohustuse kohta et näha, milline küsimus vastab teie olukorrale kõige paremini. Enda konkreetse juhtumi lõpliku hinnangu saamiseks jääb jurist või Andmekaitse Inspektsioon parim kontakteerida.