Īss atbilde
GDPR pati nemainās, kad sākat pārdot arī klientiem ārpus robežām. Tas ir Eiropas Savienības regulējums, nevis direktīva, un tāpēc tas ir tieši un vienādi spēkā katrā ES un EEZ dalībvalstī. Tas, kas patiešām atšķiras, atrodas nevis pašā GDPR, bet valsts likumos, kas paliek spēkā blakus tai, piemēram, sīkdatņu noteikumos, un praktiskos jautājumos, piemēram, jūsu paziņojuma par privātumu valodā un kurš uzraudzības iestādes pārstāvis jums ir pieejams jautājuma vai sūdzības gadījumā.
Veikalam, kas tikai Nīderlandē pārdod, šī atšķirība bieži vien nav svarīga. Tiklīdz jums ir apmeklētāji vai klienti citās ES valstīs vai ārpus tās, ir jāzina, kur beidzas kopējā bāze un kur sākas valsts noteikumi vai starptautiskā datu pārsūtīšana.
Kāpēc bāze ir vienāda visur
Tāpēc, ka GDPR ir regulējums, dalībvalstīm tas nav jāpārvērš savā normatīvajā aktā, kā tas ir jādara Eiropas direktīvā. Personu tiesības, apstrādes pamatnes un reģistra par datu apstrādes darbībām uzturēšanas pienākums ir spēkā ar tādu pašu tekstu Vācijā, Francijā vai Spānijā kā Nīderlandē. Atšķirības interpretācijā rodas galvenokārt tāpēc, ka dažādu valstu uzraudzības iestādes dažkārt savos vadlīnijos liek nedaudz atšķirīgu uzsvaru, ko jūs varat redzēt EDPB un nacionālo uzraudzības iestāžu publikācijās.
Kur tas atšķiras: sīkdatnes un līdzīgas tehnoloģijas
Sīkdatņu un līdzīgu tehnoloģiju izvietošana apmeklētāja datorā neietilpst GDPR tvērumā, bet gan ePrivacy noteikumos. Eiropā tie ir noteikti direktīvā, un direktīvu katrai valstij ir jāpārvērš nacionālajā normatīvajā aktā. Tas nozīmē, ka veids, kādā sīkdatņu apstiprinājums ir jāpieprasa un jāfiksē, detaļās var atšķirties starp valstīm, lai gan sākumpunktā tas ir vērtējams vienādi visur. Veikalam, kas vēršas uz vairākām valstīm, šis ir viens no maz pieejamajiem vietām, kur noteikumi patiešām atšķiras starp valstīm, nevis tikai to interpretācijā.
Valoda un informācijas sniegšanas pienākums
GDPR nosaka, ka informācijai personām jābūt saprotamai, bet nenorāda obligātu valodu sarakstu. Praksē uzraudzības iestādes lūko, kas apmeklē jūsu e-veikalu: ja mērķtiecīgi vērsaties uz Vācijā dzīvojošiem klientiem, vācietiskais paziņojums par privātumu ir jēgpilns vienkārši tāpēc, ka citādi šī mērķa grupa neizpratīs informāciju. Tas nav atsevišķs juridisks noteikums atkarībā no valsts, bet gan praktiska viena un tā paša noteikuma, kas visvietā ir spēkā, piepildīšana.
Robežšķērsojošā datu apstrāde un pienākumā stāvošā uzraudzības iestāde
Ja jūsu uzņēmums darbojas vairākās ES valstīs, var rasties jautājums, kura uzraudzības iestāde ir pienākumā, ja kaut kas notiek. GDPR pieņem tā saukto vienas pieturas logu mehānismu: uzņēmumi ar pārstāvniecībām vairākās dalībvalstīs dažkārt nonāk saskarsmē ar vienu vadošo uzraudzības iestādi, parasti tā valsts, kur atrodas galvenā pārstāvniecība. Mazam uzņēmumam, kuram ir tikai Nīderlandes pārstāvniecība un kurš gadījumā pārdod ārzemju klientiem, tas ir savādāk nekā uzņēmumam ar vairākām ES pārstāvniecībām. Precīza šā regulējuma realizācija ir norādīta pašā GDPR un EDPB vadlīnijās; jūsu konkrētajai situācijai tas ir jautājums juriskonsultam vai pienākumā stāvošai uzraudzības iestādei, nevis tas, ko jums pašiem vajadzētu novērtēt.
Pārdošana ārpus ES un EEZ
Cits pavisam cits stāvoklis rodas, tiklīdz klientu dati atstāj ES un EEZ teritoriju, piemēram, tāpēc, ka piegādātājs, maksājumu pakalpojumu sniedzējs vai mitinātājtelpas operators ir reģistrēts ārpus Eiropas. Tad vairs nav runa par atšķirībām starp ES valstīm savā starpā, bet par noteikumiem par personas datu pārsūtīšanu uz valsti ārpus tās. GDPR to pieļauj noteiktos apstākļos, tostarp pamatojoties uz Eiropas Komisijas atbilstības lēmumu attiecīgajā valstī vai papildu vienošanās, piemēram, standarta līgumsaistību nosacījumiem. Tas ir viens no punktiem, kuriem pievēršu uzmanību datu apstrādes līgumam ar ārzemju pusi, un par ko zinātniskais resurss par tēmu sniedz pamatinformāciju.
Ko tas nozīmē jūsu reģistram un dokumentiem
Pašam datu apstrādes reģistram pienākums nemainās: jūs reģistrējat, kuras apstrādes norit, kāds ir to mērķis un uz kura pamata, neatkarīgi no tā, kurā valstī atrodas jūsu klients. Bet ir saprātīgi dokumentēt, vai un uz kurieni dati atstāj ES un EEZ teritoriju, lai tas paliktu skaidrs, ja klient, uzraugs vai apdrošinātājs to jautā. Kurš vēlas iegūt kontroli, nevis to darīt manuāli, var to izsekot sistēmā pārskats par to, kur dati atrodas un kā tie tiek aizsargāti.
Neatkarīgi no tā, vai jūsu tiešsaistes veikals tikko sāka tirdzniecību ārzemēs vai to dara jau ilgāku laiku, svarīgi ir izprast atšķirību starp to, ko paredz pati GDPR, un to, kas ir atkarīgs no nacionālajiem likumiem vai pārsūtīšanas ārpus Eiropas. Atbildes uz bieži uzdotajiem jautājumiem par to, ieskaitant atsauces uz oficiālo tekstu, atradīsiet bieži uzdoto jautājumu kolekcija.
Vēlaties redzēt, kā tas izskatās jūsu uzņēmumam, neiegrimstot pašiem dažu stundu analīzē? Ar bezmaksas ātro skenēšanu iegūstat pirmo priekšstatu un pēc tam varat paši nolemt, vai komercializēts konts jums ir vērtīgs.