Ako je vaše poduzeće registrirano samo u Nizozemskoj i je li curenje podataka pogodilo osobe iz Nizozemske, prijavite to na redovan način: Autorističnom nadzornom organu za zaštitu podataka. Ako vaše poduzeće ima poslovnicu i u drugoj zemlji EU-a, ili ako je curenje pogodilo osobe iz više država članica, tada se primjenjuje poseban mehanizam prema GDPR-u: načelo "jedan zaustav". U tom slučaju Uredba određuje jedan nadzorni organ koji koordinira slučaj, čak i ako su uključene multiple zemlje.
Taj jedan, koordinirajući nadzorni organ naziva se vodećim nadzornim organom. To je u osnovi nadzorni organ zemlje u kojoj se nalazi vaša glavna poslovnica: mjesto na kojem se donose najvažnije odluke o ciljevima i sredstvima obrade podataka. Rok od 72 sata za prijavu ne mijenja se čak ni ako su uključene multiple zemlje — taj rok je fiksiran u samoj GDPR-ici i primjenjuje se na razini cijele EU-a.
Kada je curenje podataka prekogranično
Curenje podataka je prekogranično čim se obrada na koju se curenje odnosi provodi u okviru aktivnosti poslovnica u više od jedne zemlje članice, ili kada curenje bitno pogađa osobe iz više zemalja članica. To nije isto kao "imamo i kupce u inozemstvu": pitanje je je li sama obrada podataka organizirana na prekogranični način, na primjer zato što poslovnica u drugoj zemlji suodlučuje kako će se podacima upravljati. Mrežna trgovina koja iz Nizozemske prodaje kupcima u Njemačkoj bez njemačke poslovnice obično ne spada u to.
Načelo "jedan zaustav" u praksi
Ideja iza načela "jedan zaustav" je da poduzeće s poslovnicama u više zemalja članica ne mora odvojeno komunicirati sa svakim nacionalnim nadzornim organom. Vodeći nadzorni organ preuzima inicijativu, usklađuje se s nadzornim organima ostalih uključenih zemalja i osigurava jednu odluku umjesto više, eventualno suprotnih odluka. Za vas kao poduzeće to uglavnom znači da znate s kime trebate biti u kontaktu: s nadzornim organom vaše glavne poslovnice, a ne s onim iz svake zemlje u kojoj živi osoba.
EDPB je objavio smjernice o tome kako se utvrđuje glavna poslovnica i kako se nadzorni organi međusobno koordiniraju. Te smjernice su relevantne čim je vaše poduzeće zaista aktivno u više zemalja sa vlastitim poslovnicama, a ne čim imate međunarodne kupce.
Što ostaje isto, gdje su razlike
Srž obaveze prijave — kada je curenje podnošenja, rok od 72 sata, i pitanje trebaju li osobe biti same obaviještene — nalazi se u GDPR-ici i primjenjuje se na isti način u svakoj zemlji članici. Što se može razlikovati je praktična stvar: portalni sustav prijave svakoga nacionalnog nadzornog organa funkcionira malo drugačije, neke zemlje koriste vlastiti jezik za prijavu, a način na koji se utvrđuje vodeći nadzorni organ ponekad zahtijeva dodatnu provjeru ako nije odmah jasno koja je poslovnica glavna. Ovo posljednje je jedno od područja na kojem se EU zemlje mogu razlikovati u praksi provedbe, čak i ako je temeljna norm ista.
Za malu ili srednju tvrtku bez inozemne poslovnice
Većina malih i srednjih poduzeća te samozaposlenih osoba nemaju vlastitu filijalu u inozemstvu, čak ni ako imaju kupce ili dobavljače preko granice. U tom slučaju u praksi se malo mijenja: datalek prijavite jednostavno nadležnom tijelu za zaštitu podataka, na isti način i u istom roku kao u slučaju curenja podataka koje pogađa samo domaće subjekte. Ako niste sigurni ima li vaša situacija međunarodni karakter, primjerice jer imate podružnicu u drugoj zemlji članici EU koja sudjeluje u odlučivanju o obradi podataka, to je pitanje koje je najbolje razmotriti s pravnikom ili izravno s nadležnim tijelom za zaštitu podataka. Pomoću stabla odlučivanja u nekoliko pitanja vidjeti hoće li se neki incident klasificirati kao prijavljiv datalek dobivate preliminarnu indikaciju, čak i ako još ne znate ima li graniční element.
Kako bi se razumjelo kako se takva prijava odnosi na vaš registar obrade podataka i dogovore s dobavljačima, korisno je širi pristup ne samo obvezi izvještavanja. Platforma banci znanja s objašnjenjima po temama ujedinjuje pojedine obveze, a obrazloženje gdje dolaze informacije pokazuje koje izvore stoji iza svakog odgovora, uključujući smjernice EDPB-a.
Imate li pitanja o vlastitoj situaciji, primjerice jer niste sigurni računa li se vaša filijala u inozemstvu kao glavna ustanova? Napravite bezplatnu brzu provjeru ili pregledajte najčešće postavljana pitanja o datalekima i obvezi izvještavanja kako bi vidjeli koja se pitanja najviše podudaraju s vašom situacijom. Za konačnu procjenu svoje situacije i dalje su pravnik ili nadležno tijelo za zaštitu podataka odgovarajući kontakt.