Kratak odgovor
Sam GDPR se ne mijenja čim počnete prodavati i kupcima u inozemstvu. Uredba je europska uredba, a ne direktiva, pa se primjenjuje izravno i na isti način u svakoj državi članici EU-a i EGP-a. Što se doista razlikuje nisu sami GDPR Already već nacionalne zakone koji ostaju postojati, kao što su pravila o kolačićima, i praktična pitanja kao što su jezik vašeg obavijesta o zaštiti privatnosti i koji nadzorni organ trebate kontaktirati u slučaju pitanja ili žalbe.
Za web-trgovinu koja prodaje samo unutar Hrvatske, to razlikovanje često nije relevantno. Čim imate posjetitelje ili kupce u drugim zemljama EU-a ili van nje, dobro je znati gdje završava zajednička osnova i gdje dolaze u obzir nacionalna pravila ili međunarodni prijenos podataka.
Zašto je osnova svugdje jednaka
Jer je GDPR uredba, države članice je ne trebaju prvo transponirati u vlastito zakonodavstvo, kao što mora biti slučaj sa europskom direktivom. Prava subjekta podataka, osnove za obradu podataka i obveza vođenja registra aktivnosti obrade podataka imaju na taj način isti tekst u Njemačkoj, Francuskoj ili Španjolskoj kao i u Hrvatskoj. Razlike u tumačenju nastaju uglavnom jer nadzorni organi u različitim zemljama ponekad daju malo drugačiji naglasak u svojim smjernicama, što se može vidjeti u publikacijama EDPB-a i samih nacionalnih nadzornih organa.
Gdje se doista razlikuje: kolačići i slične tehnologije
Postavljanje kolačića i sličnih tehnologija na računalo posjetitelja ne spada pod GDPR, već pod pravila o privatnosti elektroničke komunikacije. U Europi su ta pravila utvrđena direktivom, a direktiva mora biti transponirana u svaki nacionalni zakon. Zato se način na koji se mora zatražiti i zabilježiti suglasnost za kolačiće može detaljno razlikovati između zemalja, čak i ako je polazna točka svugdje slična. Za web-trgovinu koja se obraća više zemalja, ovo je jedno od rijetkih mjesta gdje se pravila zaista razlikuju od zemlje do zemlje, a ne samo u tumačenju.
Jezik i obaveza informiranja
GDPR propisuje da informacije subjektima podataka moraju biti razumljive, ali ne daje fiksnu listu obaveznih jezika. U praksi nadzorni organi gledaju na to tko posjećuje vašu web-trgovinu: ako se aktivno obraćate kupcima u Njemačkoj, logično je dostaviti obavijest o zaštiti privatnosti na njemačkom jeziku, jer inače informacija nije razumljiva toj ciljnoj skupini. To nije posebno pravilo po zemlji, već praktična primjena iste obveze koja vrijedi svugdje.
Obradu podataka u više zemalja i nadležan nadzorni organ
Kada je vaše poduzeće aktivno u više EU-zemalja, može se postaviti pitanje koji je nadzorni organ nadležan ako nešto pođe po zlu. GDPR za to ima tzv. mehanizam jedinstvene pristupne točke: poduzećima s mjestima poslovanja u više državljanstva članica se u određenim slučajevima suočavaju s jednim vodećim nadzornim organom, obično onim zemlje gdje se nalazi glavno mjesto poslovanja. Za malo poduzeće s mjestom poslovanja samo u Hrvatskoj koje povremeno prodaje stranim kupcima, to je drugačije nego za poduzeće s više mjesta poslovanja u EU-u. Točna primjena ovoga opisana je u samom GDPR-u i u smjernicama EDPB-a; za vašu vlastitu situaciju, ovo je pitanje za pravnika ili nadležni nadzorni organ, nije nešto što trebate procijeniti sami.
Prodaja izvan EU-a i EGP-a
Drugačija situacija nastaje čim podaci o kupcima napuštaju prostor EU-a i EGP-a, primjerice jer je dobavljač, pružatelj usluge plaćanja ili uslužitelj smješten izvan Europe. Tada više nije riječ o razlikama između EU-zemalja međusobno, već o pravilima za prijenos osobnih podataka u zemlju izvan tog prostora. GDPR to dozvoljava pod uvjetima, kao što su odluka Europske komisije o primjerenosti za predmetnu zemlju, ili dodatni sporazumi poput odredbi o modelnim ugovorima. Ovo je jedna od točaka na kojima ugovor o obradi podataka sa stranom strankom zasluživuje posebnu pažnju, a pozadinu objašnjava baza znanja po temama.
Što to znači za vaš register i dokumente
Za sam register obrade podataka nema promjene u obvezi: beleške koje vrste obrade se provode, u koju svrhu i na kojoj pravnoj osnovi, bez obzira u kojoj zemlji se vaši kupci nalaze. Ono što je pametno zabilježiti jest jesu li i gdje podaci napuštaju prostor EU-a i EGP-a, kako bi to ostalo vidljivo ako kupac, nadzorni organ ili osiguravajući kod nakon toga pita. Tko želi na to dobiti kontrolu bez da mora ručno pratiti, može to uključiti u pregled mjesta gdje se podaci nalaze i kako su zaštićeni.
Počinje li vaša internetska trgovina sada s prodajom preko granice ili to već duže vrijeme radi, važno je prije svega napraviti razliku između onoga što sam GDPR regulira i onoga što ovisi o nacionalnim zakonima ili prijenosu izvan Europe. Odgovore na česta pitanja o tome, uključujući mjesto u službenom tekstu, pronađete povratkom u zbirci često postavljanih pitanja.
Želite li vidjeti kako se to za vaše vlastito poduzeće povezuje, bez da sami trebate provoditi cijelo popodne? Sa besplatnom brzom procjenom dobivate prvi pokazatelj, a zatim sami možete procijeniti je li poslovni račun nešto za vas.