Ha cégének csak Hollandiában van telephelye, és az adatsérülés holland érintetteket érint, akkor a szokott módon jelenti: a Persoonsgegevensautoriteit (személyes adatok hatóság) felé. Ha cégének van telephelye egy másik EU-tagállamban is, vagy az adatsérülés több tagállamban érint érintetteket, akkor az GDPR egy külön mechanizmust ismer: az one-stop-shop elvet. Ennek alapján a rendelet egy olyan felügyeleti hatóságot jelöl ki, amely a folyamatot koordinálja, még akkor is, ha több ország érintett.
Az a felügyeleti hatóság, amely koordinálja az ügyet, az elsődleges felügyeleti hatóság. Ez alapvetően annak a tagállamnak a felügyeleti hatósága, ahol a fő telephelye van: a hely, ahol az adatfeldolgozás céljairól és eszközeiről szóló legfontosabb döntéseket hozzák. A 72 órás bejelentési időhatár nem változik, még akkor sem, ha több ország érintett — ez az időhatár maga az GDPR-ben rögzített és az EU-szerte érvényes.
Mikor minősül egy adatsérülés országhatárok átlépésének
Egy adatsérülés akkor kereszthatáron nyúló, ha az adatfeldolgozás, amelyre az adatsérülés vonatkozik, több tagállamban működő telephelyek tevékenységének keretében zajlik, vagy ha az adatsérülés több tagállamban érintett személyeket lényegesen érinti. Ez utóbbi nem ugyanaz, mint "a külföldi ügyfeleinknél is vannak": arról van szó, hogy az adatfeldolgozás maga nemzetközi szinten szervezett-e, például azért, mert egy másik tagállamban lévő telephely is beleszól abba, hogy az adatokat hogyan kezelik. Egy olyan webáruház, amely Hollandiából Deutschland-ban lévő ügyfeleknek értékesít anélkül, hogy németországi telephelye lenne, jellemzően nem tartozik ide.
Az one-stop-shop elv a gyakorlatban
Az one-stop-shop elv mögötti gondolat az, hogy egy több tagállamban működő cégnek nem kell külön-külön minden nemzeti felügyeleti hatósággal kapcsolatba lépnie. Az elsődleges felügyeleti hatóság vezeti az ügyet, konzultál az érintett országok felügyeleti hatóságaival, és egy döntést hoz több, lehetséges ellentétes döntés helyett. Önnek mint vállalatnak ez elsősorban azt jelenti, hogy tudja, kihez kell fordulnia: a fő telephelye szerinti felügyeleti hatósághoz, nem az összes olyan ország felügyeleti hatóságához, ahol az érintett személyek laknak.
Az EDPB iránymutatást adott közre arról, hogyan lehet meghatározni a főtelephely helyét, és hogy a felügyeleti hatóságok miként működnek együtt. Ezek az iránymutatások akkor lényegesek, ha cégének valóban saját telephelyei vannak több tagállamban, de nem abban az esetben, ha csak nemzetközi ügyfeleik vannak.
Mi marad ugyanaz, hol van a különbség
A bejelentési kötelezettség lényege — mikor szükséges egy adatsérülést bejelenteni, a 72 órás időhatár, és hogy maguk az érintett személyek tájékoztatottak-e — az GDPR-ben van rögzítve, és minden tagállamban ugyanúgy érvényes. Ami viszont eltérhet, az gyakorlati jellegű: az egyes nemzeti felügyeleti hatóságok bejelentési portálja kissé másképp működik, egyes tagállamok saját nyelvüket használják a bejelentéshez, és az elsődleges felügyeleti hatóság meghatározása néha további vizsgálatot igényel, ha nem világos azonnal, hogy melyik telephely a főtelephely. Ez utóbbi az egyik pont, ahol az EU-tagállamok a megvalósítás gyakorlatában eltérhetnek, még akkor is, ha az alapul szolgáló szabály azonos.
Egy olyan kkv számára, amelynek nincs külföldi telephelye
A legtöbb kkv-vállalat és egyéni vállalkozó nem rendelkezik saját telephellyel külföldön, még akkor sem, ha több országban vannak ügyfelei vagy szállítói. Ebben az esetben a gyakorlatban kevés minden megváltozik: egy adatvédelmi incidensről egyszerűen bejelentést tesz az adatvédelmi hatóság felé, ugyanúgy és ugyanazon határidő alatt, mint egy olyan incidens esetén, amely csak magyar érintetteket érint. Ha kétségei vannak, hogy helyzete mégis rendelkezik-e határokon átnyúló jelleggel, például azért, mert egy másik EU-tagállamban lévő leányvállalata is közreműködik az adatkezelésben, akkor ez egy olyan kérdés, amelyet legjobb közvetlenül egy joggal vagy az adatvédelmi hatósággal tárgyalni. A döntési fával néhány kérdésben megtudhatja, hogy egy adott incidens bejelentésre kötelező-e már előzetesen kaphat egy első jelzést, még akkor is, ha még nem tudja, hogy rendelkezik-e határokon átnyúló vonatkozással.
Annak megtekintéséhez, hogy az ilyen bejelentés hogyan viszonyul az adatkezelési nyilvántartásához és a szállítókkal kötött megállapodásokhoz, hasznos a szűkebb bejelentési kötelezettségen túl is tekinteni. Az tudásbázisban témaonkénti magyarázattal összekapcsolja az egyes kötelezettségeket, és az magyarázat arra vonatkozóan, hogy az információ honnan származik megmutatja, hogy mely forrásokból származnak az egyes válaszok mögött, beleértve az EDPB iránymutatásait.
Vannak kérdéseid a saját helyzeteddel kapcsolatban, például azért, mert nem vagy biztos benne, hogy a külföldön lévő telephelyed főképpviseletnek számít-e? Akkor végezd el az ingyenes gyorsértékelést, vagy böngéssz a leggyakoribb kérdések az adatvédelmi incidensekről és a bejelentési kötelezettségről között, hogy megnézd, melyik kérdés áll legközelebb a te helyzetedhez. A saját ügyeddel kapcsolatos végleges ítélethez egy jogász vagy az adatvédelmi hatóság marad a megfelelő kapcsolattartó.