Rövid válasz
A GDPR maga nem változik meg, amikor külföldi ügyfeleknek is értékesít. A rendelet egy európai rendelet, nem irányelv, és ezért közvetlenül és azonos módon érvényes az EU és az EGT minden tagállamában. Az eltérések nem magában a GDPR-ban vannak, hanem a párhuzamosan fennmaradó nemzeti törvényekben, például a sütikre vonatkozó szabályokban, valamint olyan gyakorlati kérdésekben, mint az adatvédelmi nyilatkozat nyelve és a felügyeletre jogosult hatóság, amelyet egy kérdés vagy panasz esetén felkereshet.
Az olyan webáruháznak, amely csak Magyarországon (Hollandiában) értékesít, ez a megkülönböztetés gyakran nem releváns. Amint más EU-államok vagy az azon kívüli területek látogatói vagy ügyfelei vannak, fontos tudni, hogy hol ér véget a közös alap és hol lépnek be az nemzeti szabályok vagy a nemzetközi adatátadás.
Miért azonos az alap mindenhol
Mivel a GDPR rendelet, a tagállamoknak nem kell azt először saját jogszabályokba átültetniük, ahogyan az európai irányelv esetében szükséges. Az érintett személyek jogai, a feldolgozás alapjai és az adatfeldolgozási nyilvántartás vezetésének kötelezettsége ezért ugyanolyan szöveggel érvényes Németországban, Franciaországban vagy Spanyolországban, mint Magyarországon (Hollandiában). Az értelmezésbeli eltérések főleg azért jönnek létre, mert a különböző országok felügyeleti hatóságai útmutatásaikban néha eltérő hangsúlyt helyeznek az egyes kérdésekre, amit a GDPR Bizottság és a nemzeti felügyeleti hatóságok publikációiban láthat.
Ahol pedig vannak eltérések: sütik és hasonló technológiák
A sütik és hasonló technológiák a látogató számítógépére való elhelyezése nem a GDPR hatálya alá tartozik, hanem az ePrivacy-szabályok alá. Ezeket Európában egy irányelvben rögzítették, és az irányelvet minden országban nemzeti jogszabályokba kell átültetni. Ezért a sütikre vonatkozó hozzájárulás kérésének és rögzítésének módja részletekben eltérhet az országok között, bár a kiindulópont mindenütt hasonló. Egy több országra irányuló webáruház számára ez az egyik olyan hely, ahol a szabályok valóban eltérnek az országok között, és nem csak az értelmezésben.
Nyelv és tájékoztatási kötelezettség
A GDPR előírja, hogy az érintett személyeknek adott információ érthető kell, hogy legyen, de nem adja meg a kötelező nyelvek rögzített listáját. A gyakorlatban a felügyeleti hatóságok arra néznek, hogy ki látogatja meg a webáruházát: ha aktívan német ügyfelekre irányít, akkor egy németnyelvű adatvédelmi nyilatkozat kézenfekvő, egyszerűen azért, mert az információ másként nem érthető az adott célcsoportnak. Ez nem egy külön jogi szabály országonként, hanem a mindenhol érvényes ugyanazon követelmény gyakorlati kitöltése.
Határmegállapítást átlépő feldolgozás és az illetékes felügyeleti hatóság
Amikor vállalkozása több EU-államban aktív, felmerülhet a kérdés, hogy mely felügyeleti hatóság jogosult, ha valami balul sül el. A GDPR erre az ún. one-stop-shop mechanizmust ismeri: több tagállamban sérüléspontokkal rendelkező vállalatok bizonyos esetekben egyetlen vezetõ felügyeleti hatósággal szembesülnek, általában az annak az országnak a hatósága, ahol a fõ üzlet található. Más a helyzet egy olyan kis vállalkozásnál, amelynek csak magyarországi (holland) telephelye van, és csak véletlenül értékesít külföldi ügyfeleknek, mint egy olyan vállalkozásnál, amelynek több telephelye van az EU-ban. Ennek pontos kidolgozása magában a GDPR-ban és a GDPR Bizottság útmutatásában található meg; saját helyzetében ez egy jogtanács vagy az illetékes felügyeleti hatóság felé fordulásra érdemes kérdés, nem olyan, amit saját maga kellene megítélnie.
Értékesítés az EU és az EGT kívül
Más a helyzet abban az esetben, ha az ügyfelek adatai az EU és az EGT területét elhagyják, például azért, mert egy szállító, fizetési szolgáltató vagy tárhely-szolgáltató az Európán kívül települ. Ekkor már nem az EU-tagállamok közötti eltérésekről van szó, hanem az EU-n kívüli országba történő adatátvitelre vonatkozó szabályokról. Az GDPR ezt lehetővé teszi bizonyos feltételek mellett, például az Európai Bizottság megfelelőségi döntése az adott országra vonatkozóan, vagy kiegészítő megállapodások, például modellszerződési feltételek. Ez egyike azoknak a pontoknak, amelyekben az adatkezelési szerződés egy külföldi féllel speciális figyelmet érdemel, és amelyről a tudásbázis témaonként részletesen ismerteti a hátteret.
Mit jelent ez az Ön nyilvántartása és dokumentumaira nézve
Az adatkezelési nyilvántartás magát illetően nincs változás az előírásban: nyilvántartja, mely adatkezelések zajlanak, milyen céllal és milyen jogalappal, függetlenül attól, hogy ügyfelei melyik országban vannak. Azonban érdemes rögzíteni, hogy az adatok elhagyják-e és hol az EU és az EGT területét, hogy ez világos maradjon, ha egy ügyfél, felügyelet vagy biztosító érdeklődik. Akik szeretnék átlátni ezt anélkül, hogy manuálisan kellene nyomon követniük, az adatokat az adatok helyét és azok védelmét bemutató áttekintésben nyomon követtethetik.
Akár az webáruháza éppen most kezd nemzetközi értékesítésbe, akár már régóta végez, elsősorban azt kell megkülönböztetni, amit maga az GDPR szabályoz, és mi függ a nemzeti törvényzettől vagy az Európán kívülire történő adatátvitelről. Ezekre vonatkozó gyakran feltett kérdésekre adott válaszokat, valamint azok helyét a hivatalos szövegben, megtalálja az gyakran feltett kérdések gyűjteménye.
Szeretné megtudni, hogy ez az Ön vállalkozásában hogyan működik össze anélkül, hogy erre magának egy délutánt kellene szánnia? A ingyenes gyors felmérés révén első információt kaphat, majd ezt követően maga értékelheti, hogy egy üzleti fiók hasznos-e az Ön számára.