Jei jūsų įmonė yra tik Nyderlanduose ir duomenų pažeidimas paveikia Nyderlandų subjektus, praneškite taip, kaip esate įpratę: Asmenų duomenų apsaugos institucijai. Jei jūsų įmonė turi ir filialą kitoje ES šalyje, arba pažeidimas paveikia subjektus keliose valstybėse narėse, GDPR numato atskirą mechanizmą: vienalangės parduotuvės principą. Pagal šį reglamentą vienas priežiūros organas yra paskirtas koordinuoti bylas, net jei į jas įtrauktų kelios šalys.
Tas vienas koordinuojantis priežiūros organas vadinamas vadovaujančiu priežiūros organu. Tai iš esmės yra priežiūros organas šalyje, kurioje yra jūsų pagrindinė buveinė: vieta, kurioje priimami pagrindiniai sprendimai dėl apdorojimo tikslų ir priemonių. 72 valandų terminas pranešimui nesikeičia, net jei į reikalą įtrauktos kelios šalys — šis terminas nustatytas pačiame GDPR ir taikomas visoje ES.
Kada duomenų pažeidimas yra tarptautinis
Duomenų pažeidimas yra tarptautinis, kai apdorojimas, susijęs su pažeidimu, vyksta daugiau nei vienos valstybės narės filialų veikloje, arba kai pažeidimas reikšmingai paveikia subjektus keliose valstybėse narėse. Pastarasis atvejis nėra tas pats, kas "mūsų klientai gyvena ir užsienyje": čia klausiama, ar pats apdorojimas yra organizuotas tarptautiškai, pavyzdžiui, todėl, kad filialas kitoje šalyje bendradarbiauja sprendžiant, kaip elgtis su duomenimis. Internetinė parduotuvė, pardavusi iš Nyderlandų prekių klientams Vokietijoje be vokiečių filialo, paprastai nepatenka į šią kategoriją.
Vieno langelio principas praktikoje
Vieno langelio principo idėja yra ta, kad įmonė, turinčia filialus keliose valstybėse narėse, neturi atskirai bendrauti su kiekvienu nacionaliniu priežiūros organu. Vadovaujantis priežiūros organas ima iniciatyvą, susitaria su kitų suinteresuotų šalių priežiūros organais ir užtikrina vieną sprendimą, o ne kelis, galbūt prieštaraujančius sprendimus. Jums, kaip įmonei, tai visų pirma reiškia, kad žinote, kurie yra pagrindiniai: priežiūros organas jūsų pagrindinėje buveinėje, o ne kiekvienos šalies, kurioje gyvena duomenų subjektas.
EDPB paskelbė gaires, kaip nustatyti pagrindinę buveinę ir kaip priežiūros organai bendradarbiauja vienas su kitu. Šios gairės yra aktualios, kai jūsų įmonė iš tikrųjų veikia keliose šalyse su atsiskyrusiomis buveinėmis, o ne tik tada, kai turite tarptautinius klientus.
Kas lieka tokia pat, kur slypi skirtumas
Pranešimo pareigos esmė — kada nuotėkis yra vertas pranešimo, 72 valandų terminas ir klausimas, ar duomenų subjektai turėtų būti informuoti patys — yra AVG nustatyta ir taikoma kiekvienoje valstybėje narėje vienodai. Tačiau tai, kas gali skirtis, yra praktinio pobūdžio: kiekvieno nacionalinio priežiūros organo pranešimo portalis veikia šiek tiek kitaip, kai kurios šalys naudoja savo kalbą pranešimams, o vadovaujančio priežiūros organo nustatymas kartais reikalinga papildomo tyrimo, jei neiš karto aišku, kuri buveinė yra pagrindinė. Pastarasis yra vienas iš klausimų, dėl kurių ES valstybės narės gali skirtis praktiniame įgyvendinime, nors pagrindinė norma yra tokia pati.
MKB įmonei be užsienio buveinės
Dauguma mažųjų ir vidutinių įmonių bei savivaldos darbuotojų neturi savo filialų užsienyje, net jei turi klientus ar tiekėjus tarp šalių. Tokiu atveju praktikoje pasikeičia nedaug: paprasčiausiai pranešate apie duomenų saugos pažeidimą Duomenų apsaugos inspekcijai (DAI), tokiu pačiu būdu ir tokiu pačiu laiku kaip ir saugos pažeidimą, kuris liečia tik to pagrindinio veiklo vietos betrokshtus asmenis. Jei abejojate, ar jūsų situacija vis tiek turi tarpšalį pobūdį, pavyzdžiui, nes turite dukterinę įmonę kitoje ES šalyje, kuri kartu sprendžia dėl duomenų tvarkyme, tai klausimas, kurį geriausia aptarti su jurista arba tiesiogiai su Duomenų apsaugos inspekcija. Naudodamiesi sprendimų medžiu keliuose klausymuose pamatysite, ar kažkas yra duomenų saugos pažeidimas, kurio reikia pranešti iš pat pradžių gausite pirmąjį rorientyrą, net jei dar nežinote, ar yra tarpšalė pusė.
Norėdami pamatyti, kaip toks pranešimas susijęs su jūsų duomenų tvarkimo registru ir tiekėjų susitarimais, naudinga pasižiūrėti plačiau nei tik pranešamasis įpareigojimas. žinių banke su paaiškinimais pagal temą surenka atsiskirus pareigybas, o paaiškinimas, iš kur informacija gaunama rodo, kokie šaltiniai stovi už kiekvieno atsakymo, įskaitant EDPB gaires.
Ar turite klausimų dėl jūsų situacijos, pavyzdžiui, nes abejojate, ar jūsų filialas užsienyje skaičiuojamas kaip pagrindinė vieta? Atlikite nemokamą greitą skeną arba peržiūrėkite dažniausiai užduodamų klausimų apie duomenų saugos pažeidimus ir pranešamąsias pareigas norėdami matyti, kuris klausimas labiausiai atitinka jūsų situaciją. Norint gauti galutinį sprendimą dėl jūsų konkrečios bylos, juristas arba Duomenų apsaugos inspekcija lieka tinkamiausiu kontakto tašku.