Jos yrityksellänne on toimipaikka vain Alankomaissa ja tietoturvaloukkaus koskee alankomaalaisia rekisteröityjä, ilmoitatte siitä tavalliseen tapaan: Alankomaiden tietosuojaviranomaiselle. Jos yrityksellänne on myös toimipaikka toisessa EU-maassa tai loukkaus koskee rekisteröityjä useissa jäsenmaissa, GDPR tunnetaan erityisen mekanismin: one-stop-shop-periaatteen. Tämän periaatteen mukaan asetus määrää yhden valvontaviranomaisen, joka koordinoi asiaa, vaikka useita maita olisi asiaan osallisia.
Tätä yhtä, koordinoivaa valvontaviranomaisista kutsutaan johtavaksi valvontaviranomaiseksi. Kyseessä on pääsääntöisesti sen maan valvontaviranomainen, jossa pääkonttorinne sijaitsee: paikka, jossa tehdään tärkeimmät päätökset käsittelyn tarkoituksista ja välineistä. 72 tunnin ilmoitamisaika ei muutu, vaikka useita maita olisi mukana — tämä aika on määritelty GDPR:ssä itsessään ja se pätee koko EU:ssa.
Milloin tietoturvaloukkaus on rajat ylittävä
Tietoturvaloukkaus on rajat ylittävä heti kun käsittely, johon loukkaus liittyy, tapahtuu usean jäsenvaltion toimipaikkojen toiminnan yhteydessä, tai kun loukkaus vaikuttaa merkittävästi rekisteröityihin useissa jäsenmaissa. Tämä ei ole sama asia kuin "meillä on myös asiakkaita ulkomailla": kysymys on siitä, onko käsittely itsessään järjestetty rajat ylittävästi, esimerkiksi siksi, että toisessa maassa oleva toimipaikka osallistuu päätöksiin siitä, miten tietoja käsitellään. Verkkokauppa, joka myy Alankomaista asiakkaille Saksassa ilman saksalaista toimipaikkaa, ei yleensä kuulu tämän piiriin.
One-stop-shop-periaate käytännössä
One-stop-shop-periaatteen idea on se, että yrityksellä, jolla on toimipaikat useissa jäsenmaissa, ei tarvitse ottaa yhteyttä jokaisen kansallisen valvontaviranomaisen kanssa erikseen. Johtava valvontaviranomainen ottaa johdon, neuvottelee muiden asiaan osallisten maiden valvontaviranomaisten kanssa ja huolehtii yhdestä päätöksestä useiden, mahdollisesti ristiriitaisten, päätösten sijaan. Yrityksellenne tämä tarkoittaa pääasiassa sitä, että tiedätte, kenen puoleen kääntyä: pääkonttorinne valvontaviranomaisen, ei kunkin maan valvontaviranom, jossa rekisteröity asuu.
EDPB on julkaissut ohjeita siitä, miten pääkonttorin määritetään ja miten valvontaviranomaiset tekevät yhteistyötä keskenään. Nämä ohjeet ovat relevantteja vain, kun yrityksellänne on tosiasiallisesti aktiivinen useissa maissa omilla toimipaikoilla, ei siitä hetkestä lähtien, kun sinulla on vain kansainvälisiä asiakkaita.
Mikä pysyy samana, missä on ero
Ilmoitusvelvollisuuden ydin — milloin loukkaus on ilmoitettava, 72 tunnin aika ja kysymys siitä, pitääkö rekisteröityjen olla tietoisia — on GDPR:ssä ja pätee jokaisessa jäsenmaassa samalla tavalla. Se, mikä voi olla erilainen, on käytännön luonteelta: jokaisen kansallisen valvontaviranomaisen ilmoitusportaali toimii hieman eri tavalla, jotkut maat käyttävät omaa kieltään ilmoitukseen, ja johtavan valvontaviranomaisen määrittäminen vaatii joskus lisätutkimusta, jos ei ole heti selvää, mikä toimipaikka on pääkonttori. Jälkimmäinen on yksi niistä asioista, joissa EU:n jäsenmaat voivat poiketa toteutunskäytännön osalta, vaikka taustalla oleva normi olisi sama.
Pienelle tai keskisuurelle yritykselle ilman ulkomaista toimipaikkaa
Useimmat pk-yritykset ja yrittäjät eivät ole perustaneet omaa toimipistettä ulkomailla, vaikka heillä olisi asiakkaita tai toimittajia rajan yli. Siinä tapauksessa käytännössä ei muutu juurikaan mitään: ilmoitatte tietomurron Tietosuojaviranomaiselle normaalisti, samalla tavalla ja samassa määräajassa kuin murron kohdalla, joka koskee vain Suomeen rekisteröityjä luonnollisia henkilöitä. Jos epäröitte, onko tilanteessa kuitenkin kansainvälinen ulottuvuus, esimerkiksi siksi, että teillä on tytäryhtiö toisessa EU-maassa, joka tekee päätöksiä käsittelystä, kysymys on parasta käydä läpi lakimiehen kanssa tai ottaa suoraan yhteyttä Tietosuojaviranomaiseen. Päätöspuun avulla muutamalla kysymyksellä näette, onko kyseessä ilmoitettava tietoturvarikkomus saatte ainakin alustavan käsityksen, vaikka ette vielä tietäisi, onko asialla kansainvälinen ulottuvuus.
Jos haluatte nähdä, miten ilmoitus liittyy käsittelyrekisteriin ja toimittajien kanssa sovittuihin ehtoihin, on hyödyllistä katsoa asiaa laajemmin kuin vain ilmoitusvelvollisuuden näkökulmasta. Järjestelmä tietopankista, jossa on selitys aihealueittain kokoaa erilliset velvoitteet yhteen, ja tietojen lähteistä antama selvitys näyttää, mitkä lähteet liittyvät kuuhun vastaukseen, mukaan lukien EDPB:n ohjeet.
Onko teillä kysymyksiä omasta tilanteestanne, esimerkiksi epäilys siitä, onko ulkomailla sijaitseva toimipiste pääkonttorina? Tehtävät tällöin ilmainen pika-analyysi tai selaa usein kysyttyjä kysymyksiä tietomurroista ja ilmoitusvelvollisuudesta nähdäksenne, mikä kysymys lähinnä vastaa tilannettanne. Lopullinen ratkaisu omissa asioissanne edellyttää silti lakimiestä tai Tietosuojaviranomaiselle ottamista yhteyttä.