Se la vostra azienda è stabilita solo nei Paesi Bassi e una violazione di dati riguarda gli interessati olandesi, segnalate come siete abituati: all'Autorità per la protezione dei dati. Se la vostra azienda ha anche una sede in un altro paese dell'UE, o se la violazione riguarda gli interessati in più Stati membri, il GDPR prevede un meccanismo specifico: il principio dello sportello unico. In base a questo principio, il regolamento designa un'autorità di controllo che coordina il caso, anche se sono coinvolti più paesi.
Questa unica autorità di controllo coordinatrice è chiamata autorità di controllo capofila. Di norma, si tratta dell'autorità di controllo del paese in cui si trova la vostra sede principale: il luogo in cui vengono prese le decisioni più importanti sugli scopi e i mezzi del trattamento. Il termine di 72 ore per la segnalazione non cambia, nemmeno se sono coinvolti più paesi — questo termine è fissato nel GDPR stesso e si applica in tutta l'UE.
Quando una violazione di dati è transfrontaliera
Una violazione di dati è transfrontaliera non appena il trattamento cui la violazione si riferisce avviene nel contesto delle attività di sedi in più di uno Stato membro, oppure quando la violazione riguarda in misura considerevole gli interessati in più Stati membri. Quest'ultimo non è la stessa cosa di "abbiamo anche clienti all'estero": la questione riguarda se il trattamento stesso è organizzato su scala transfrontaliera, ad esempio perché una sede in un altro paese contribuisce a decidere come vengono gestiti i dati. Un negozio online che vende dai Paesi Bassi ai clienti in Germania senza una sede tedesca, di solito non rientra in questa fattispecie.
Il principio dello sportello unico nella pratica
L'idea alla base del principio dello sportello unico è che un'azienda con sedi in più Stati membri non debba coordinarsi separatamente con ogni autorità di controllo nazionale. L'autorità di controllo capofila prende l'iniziativa, si coordina con le autorità di controllo degli altri paesi interessati e adotta una sola decisione anziché molteplici decisioni potenzialmente contrastanti. Per voi come azienda, questo significa soprattutto che sapete a chi rivolgervi: l'autorità di controllo della vostra sede principale, non quella di ogni paese in cui vive un interessato.
L'EDPB ha pubblicato linee guida su come determinare una sede principale e su come le autorità di controllo cooperano tra loro. Queste linee guida sono rilevanti solo quando la vostra azienda è effettivamente attiva in più paesi con sedi proprie, non quando avete semplicemente clienti internazionali.
Cosa rimane uguale, dove c'è la differenza
Il nucleo dell'obbligo di segnalazione — quando una violazione deve essere segnalata, il termine di 72 ore e la questione se gli interessati debbano essere informati personalmente — è stabilito nel GDPR e si applica nello stesso modo in ogni Stato membro. Ciò che può variare è di natura pratica: il portale di segnalazione di ogni autorità di controllo nazionale funziona in modo leggermente diverso, alcuni paesi utilizzano una propria lingua per la segnalazione e il modo in cui viene determinata un'autorità di controllo capofila a volte richiede ulteriori indagini se non è immediatamente chiaro quale sia la sede principale. Quest'ultimo è uno dei punti su cui gli Stati membri dell'UE possono differire nella pratica dell'attuazione, sebbene la norma sottostante sia la stessa.
Per un'azienda piccola o media senza sede all'estero
La maggior parte delle piccole e medie imprese e i lavoratori autonomi non hanno una propria sede all'estero, anche se hanno clienti o fornitori oltre confine. In questo caso, nella pratica cambia poco: comunicate una violazione dei dati semplicemente all'Autorità per la protezione dei dati personali, nello stesso modo e entro lo stesso termine di una violazione che riguarda solo persone interessate olandesi. Se avete dubbi sul fatto che la vostra situazione abbia comunque un carattere transfrontaliero, ad esempio perché avete una filiale in un altro paese dell'UE che partecipa alle decisioni sul trattamento, allora questa è una questione che è meglio discutere con un legale o direttamente con l'Autorità per la protezione dei dati personali. Con l'albero decisionale in poche domande verificate se qualcosa è una violazione dei dati da segnalare ottenete già una prima indicazione, anche se non sapete ancora se c'è un aspetto transfrontaliero.
Per vedere come tale comunicazione si relaziona al vostro registro dei trattamenti e agli accordi con i fornitori, è utile guardare oltre il solo obbligo di comunicazione. Il banca dati con spiegazioni per argomento riunisce gli obblighi sparsi, e una spiegazione su dove provengono le informazioni mostra quali fonti stanno dietro ogni risposta, comprese le linee guida dell'EDPB.
Avete domande sulla vostra situazione specifica, ad esempio perché avete dubbi sul fatto che la vostra sede all'estero conti come sede principale? Allora fate la valutazione rapida gratuita o sfogliate le domande frequenti sulle violazioni dei dati e l'obbligo di comunicazione per vedere quale domanda corrisponde meglio alla vostra situazione. Per un giudizio definitivo sulla vostra situazione specifica, un legale o l'Autorità per la protezione dei dati personali rimangono il punto di contatto appropriato.