Lyhyt vastaus
AVG itsessään ei muutu, kun myyt myös ulkomaisten asiakkaiden asiakkaille. Asetus on Euroopan asetus, ei direktiivi, ja siksi se pätee suoraan ja samalla tavalla kunkin EU:n ja ETA:n jäsenvaltion osalta. Mitä todella vaihtelee, se ei ole itse AVG:ssä vaan kansallisissa laeissa, jotka jäävät voimaan sen rinnalla, kuten evästeitä koskevat säännöt, ja käytännön asioissa, kuten tietosuojaselosteesi kieli ja mihin valvontaviranomaiseen käännyt kysymyksen tai valituksen yhteydessä.
Verkkokaupalle, joka myy vain Suomessa, tämä ero ei usein ole merkityksellinen. Kun sinulla on kävijöitä tai asiakkaita muissa EU-maissa tai niiden ulkopuolella, on hyvä tietää, missä yhteinen perusta päättyy ja missä kansalliset säännöt tai kansainvälinen tietojen siirto tulee kuvaan.
Miksi perusta on kaikkialla sama
Koska AVG on asetus, jäsenvaltioiden ei tarvitse ensin muuttaa sitä omaksi lainsäädännöksi, kuten direktiivillä on pakko. Rekisteröityjen oikeudet, käsittelyn perusteet ja käsittelyyn liittyvien toimintojen rekisterin ylläpitovelvoite pätevät siis samalla tekstillä Saksassa, Ranskassa tai Espanjassa kuin Suomessa. Tulkinnan erot syntyvät pääasiassa siitä, että eri maiden valvontaviranomaiset korostavat joskus hieman eri asioita omissa ohjeissaan, mitä näkyy EDPB:n ja kansallisten valvontaviranomaisten julkaisuissa.
Missä se todella vaihtelee: evästeet ja vastaavat tekniikka
Evästeiden asettaminen ja vastaavat tekniikat kävijän tietokoneelle eivät kuulu AVG:n piiriin vaan ePrivacy-sääntöihin. Ne on vahvistettu Euroopassa direktiivillä, ja direktiivi on muutettava kunkin maan kansalliseksi lainsäädännöksi. Siksi tapa, jolla evästeitä koskeva suostumus on pyydettävä ja tallennettava, voi poiketa yksityiskohdissa maiden välillä, vaikka lähtökohta on kaikkialla vertailukelpoinen. Verkkokaupalle, joka kohdistuu useisiin maihin, tämä on yksi harvoista paikoista, joissa säännöt todella poikkeavat maittain, eivätkä vain niiden tulkinnassa.
Kieli ja informointivelvoite
AVG edellyttää, että tiedot rekisteröidyille on ymmärrettäviä, mutta ei määrittele pakollisten kielten luetteloa. Käytännössä valvontaviranomaiset katsovat, kuka käy verkkokaupallasi: jos kohdistut aktiivisesti asiakkaisiin Saksassa, on järkevää antaa saksankielinen tietosuojaseloste yksinkertaisesti siksi, että tieto ei muuten ole ymmärrettävä kyseiselle kohderyhmälle. Tämä ei ole erillinen oikeudellinen sääntö per maa, vaan käytännöllinen soveltaminen samasta vaatimuksesta, joka pätee kaikkialla.
Rajojen ylittävä käsittely ja toimivaltainen valvontaviranomainen
Kun yrityksesi toimii useissa EU-maissa, voi herää kysymys, mikä valvontaviranomainen on toimivaltainen, jos jotain menee pieleen. AVG:ssä on tätä varten niin sanottu yhden luukun mekanismi: yritykset, joilla on toimipisteet useissa jäsenvaltiossa, joustavat tietyissä tapauksissa yhden johtavan valvontaviranomaisen kanssa, yleensä sen maan, jossa pääkonttori sijaitsee. Pienelle yritykselle, jonka ainoa toimipiste on Suomessa ja joka myy satunnaisesti ulkomaisille asiakkaille, tämä on eri kuin yrityksille, joilla on useita toimipisteitä EU:ssa. Tämän tarkka soveltaminen on kuvattu itse AVG:ssä ja EDPB:n ohjeissa; omaa tilannetta varten tämä on kysymys juristille tai toimivaltaiselle valvontaviranomaiselle, ei mitään, mitä sinun tarvitsee arvioida itse.
Myynti EU:n ja ETA:n ulkopuolelle
Toinen tilanne syntyy silloin, kun asiakastietojen siirtäminen EU:n ja ETA:n alueelta on kyseessä, esimerkiksi siksi, että toimittaja, maksuntarjoaja tai hosting-palvelun tarjoaja sijaitsee Euroopan ulkopuolella. Kyse ei ole enää EU-maiden välisistä eroista, vaan säännöistä, jotka koskevat henkilötietojen siirtämistä alueen ulkopuolelle. GDPR sallii tämän tietyillä ehdoilla, kuten Euroopan komission asianomaiselle maalle tekemällä riittävyyspäätöksellä tai lisäsopimuksilla, kuten mallisopimuslausekkeilla. Tämä on yksi niistä kohdista, joissa ulkomaiselle osapuolelle tehtävässä tietojen käsittelyn sopimuksessa ansaitaan erityistä huomiota, ja josta tietokannat aiheittain selittävät taustan.
Mitä tämä tarkoittaa rekisteriöinnillenne ja asiakirjoillenne
Tietojen käsittelyrekisterissä ei sinänsä muutu mitään velvoitteissa: seuraat, mitä käsittelytoimenpiteitä suoritetaan, mihin tarkoitukseen ja millä perusteella, riippumatta siitä, missä maassa asiakkaitasi asuvat. Se, mikä on viisasta kirjata muistiin, on se, siirtääkö ja minne henkilötiedot EU:n ja ETA:n alueen ulkopuolelle, jotta se pysyy selvänä, kun asiakas, valvontaviranomainen tai vakuutuksenantaja sitä kysyy. Jolla halutaan saada hallinta tähän ilman, että tätä joutuu seuraamaan manuaalisesti, voi antaa tämän kulkea yleiskatsauksessa siitä, missä tiedot sijaitsevat ja miten ne on suojattu.
Riippumatta siitä, aloittaako verkkokauppanne juuri rajat ylittävää myyntiä vai onko se jo käynnissä, tärkeää on tehdä ero sen välille, mitä GDPR itse sääntelee, ja mitä riippuu kansallisista laeista tai tietojen siirrosta Euroopan ulkopuolelle. Vastaukset usein kysyttyihin kysymyksiin tästä aiheesta sekä viitteet viralliseen tekstiin löydät usein kysytyt kysymykset.
Haluatko nähdä, miten tämä toimii omassa yrityksessäsi ilman, että joudut itse käyttämään siihen puoli päivää? Ilmaisen pika-arvioinnin avulla saat ensimmäisen käsityksen ja voit sitten itse arvioida, tuottaako liiketoiminnan tili sinulle hyötyä.