Ja jūsu uzņēmums atrodas tikai Nīderlandē un datu noplūde skar nīderlandiešu subjektus, jūs to paziņojat parastajā veidā: Personīgo datu iestādei. Ja jūsu uzņēmumam ir arī filiāle citā ES valstī vai noplūde skar subjektus vairākās dalībvalstīs, tad GDPR paredz īpašu mehānismu: vienā logu principu. Saskaņā ar šo regulu viena uzraugs tiek norīkots koordinēt lietu, pat ja tajā iesaistītas vairākas valstis.
Vienu, koordinējošu uzraugu sauc par vadošo uzraugi. Principā tas ir uzraugs no valsts, kurā atrodas jūsu galvenais birojs: vieta, kur tiek pieņemti svarīgākie lēmumi par apstrādes mērķiem un līdzekļiem. 72 stundu termiņš paziņošanai nemainās, pat ja ir iesaistītas vairākas valstis — šis termiņš ir noteikts pašā GDPR un attiecas uz visu ES.
Kad datu noplūde ir pārstarpvalstu rakstura
Datu noplūde ir pārstarpvalstu rakstura, tiklīdz apstrāde, uz kuru attiecas noplūde, notiek vairāk nekā vienas dalībvalsts filiāļu darbības ietvaros, vai kad noplūde ievērojami skar subjektus vairākās dalībvalstīs. Pēdējais nav tas pats, kas "mums ir arī klienti ārvalstīs": jautājums ir par to, vai pati apstrāde ir organizēta pārstarpvalstu mērogā, piemēram, tāpēc, ka filiāle citā valstī līdzlemj, kā rīkoties ar datiem. Tiešsaistes veikals, kas no Nīderlandes pārdod klientiem Vācijā bez vācu filiāles, parasti tur neieskaitās.
Vienā logu princips praksē
Vienā logu principa ideja ir tāda, ka uzņēmumam ar filiālēm vairākās dalībvalstīs nav jāsazinās ar katru nacionālo uzraugu atsevišķi. Vadošais uzraugs sāk procesu, koordinējas ar citu iesaistīto valstu uzraugiem un nodrošina vienu lēmumu, nevis vairākus, iespējami pretrunīgus lēmumus. Jums kā uzņēmumam tas galvenokārt nozīmē, ka jūs zināt, pie kā vērsties: jūsu galvenā biroja uzraugs, nevis katra valsts uzraugs, kur dzīvo subjekts.
EDPB ir publicējusi vadlīnijas par to, kā tiek noteikts galvenais birojs un kā uzraugi savstarpēji sadarbojas. Šīs vadlīnijas ir būtiskas, tiklīdz jūsu uzņēmums patiešām darbojas vairākās valstīs ar savām filiālēm, nevis tiklīdz jums ir starptautiski klienti.
Kas paliek nemainīgs, kur ir atšķirības
Paziņošanas pienākuma kodols — kad noplūde ir jāpaziņo, 72 stundu termiņš un jautājums, vai paši subjekti ir jāinformē — ir noteikts GDPR un katrai dalībvalstij attiecas vienādi. Kas var atšķirties, ir praktisks raksturs: katras nacionālās uzraugs iestādes paziņošanas portāls darbojas nedaudz citādi, dažas valstis izmanto savu valodu paziņošanai, un tas, kā tiek noteikts vadošais uzraugs, dažkārt prasa tālāku pārbaudi, ja nav skaidrs, kura filiāle ir galvenais birojs. Pēdējais ir viens no jautājumiem, kuros ES dalībvalstis var atšķirties izpildes praksē, lai gan pamatā esošais regulējums ir vienāds.
MKB uzņēmumam bez ārvalstu filiālēm
Lielākajiem MVU uzņemumiem un pašnodarbinātajiem nav sava filiāle ārzemēs, pat ja viņiem ir klienti vai piegādātāji pāri robežai. Šajā gadījumā praktiskā situācija maz mainās: jūs par datu nopludi paziņojat Personīgo datu pārvaldības iestādei parastajā kārtībā un tajā pašā termiņā, kā gadījumā, ja nopluda skara tikai Nīderlandes fiziskas personas. Ja jūs neesat pārliecināts, vai jūsu situācijai tiešām ir starptautisks raksturs, piemēram, tāpēc, ka jums ir meitas uzņēmums citā ES valstī, kas piedalās apstrādes lēmumu pieņemšanā, tad šis ir jautājums, ko labākais būtu apspiest ar tiesībnieku vai tieši ar Personīgo datu pārvaldības iestādi. Ar lēmuma kokā dažos jautājumos varat redzēt, vai kaut kas ir datu nopluda, kas jāpaziņo jūs saņemsiet sākotnēju norādi, pat ja jūs vēl nezināt, vai tam ir starptautiska daba.
Lai redzētu, kā šāds paziņojums attiecas uz jūsu apstrādes reģistru un vienošanās ar piegādātājiem, ir noderīgi aplūkot plašāk nekā tikai paziņošanas pienākums. Tas zināšanu bāzē ar skaidrojumiem par katru tēmu apkopo atsevišķos pienākumus kopā, un norāde uz to, kur informācija nāk no parāda, kuri avoti atrodas aiz katra atbildes, tostarp EDPB vadlīnijas.
Vai jums ir jautājumi par jūsu situāciju, piemēram, tāpēc, ka jūs neesat pārliecināts, vai jūsu filiāle ārzemēs tiek ņemta vērā kā galvenā filiāle? Veiciet bezmaksas ātro skenēšanu vai pārlūkojiet bieži uzdotos jautājumus par datu nopludiem un paziņošanas pienākumu lai noskaidrotu, kurš jautājums visvairāk atbilst jūsu situācijai. Lai iegūtu galīgo spriedumu par jūsu lietu, tiesībnieks vai Personīgo datu pārvaldības iestāde joprojām ir pareizais kontaktpunkts.