Als uw bedrijf alleen in Nederland is gevestigd en een datalek raakt Nederlandse betrokkenen, meldt u dit zoals u dat gewend bent: bij de Autoriteit Persoonsgegevens. Heeft uw bedrijf ook een vestiging in een ander EU-land, of raakt het lek betrokkenen in meerdere lidstaten, dan kent de AVG een apart mechanisme: het one-stop-shopprincipe. Daarbij wijst de verordening één toezichthouder aan die de zaak coördineert, ook al zijn er meerdere landen bij betrokken.
Die ene, coördinerende toezichthouder heet de leidende toezichthouder. Dit is in beginsel de toezichthouder van het land waar uw hoofdvestiging zich bevindt: de plaats waar de belangrijkste beslissingen over de doeleinden en middelen van de verwerking worden genomen. De termijn van 72 uur om te melden verandert niet, ook niet als er meerdere landen bij betrokken zijn — die termijn staat vast in de AVG zelf en geldt EU-breed.
Wanneer is een datalek grensoverschrijdend
Een datalek is grensoverschrijdend zodra de verwerking waarop het lek betrekking heeft, plaatsvindt in het kader van activiteiten van vestigingen in meer dan één lidstaat, of wanneer het lek betrokkenen in meerdere lidstaten aanmerkelijk raakt. Dat laatste is niet hetzelfde als "er wonen ook klanten in het buitenland": het gaat om de vraag of de verwerking zelf grensoverschrijdend is georganiseerd, bijvoorbeeld omdat een vestiging in een ander land meebeslist over hoe met de gegevens wordt omgegaan. Een webshop die vanuit Nederland aan klanten in Duitsland verkoopt zonder een Duitse vestiging, valt daar doorgaans niet onder.
Het one-stop-shopprincipe in de praktijk
Het idee achter het one-stop-shopprincipe is dat een bedrijf met vestigingen in meerdere lidstaten niet met elke nationale toezichthouder apart hoeft te schakelen. De leidende toezichthouder neemt het voortouw, stemt af met de toezichthouders van de andere betrokken landen, en zorgt voor één besluit in plaats van meerdere, mogelijk tegenstrijdige, besluiten. Voor u als bedrijf betekent dit vooral dat u weet bij wie u moet zijn: de toezichthouder van uw hoofdvestiging, niet die van elk land waar een betrokkene woont.
De EDPB heeft richtsnoeren gepubliceerd over hoe een hoofdvestiging wordt vastgesteld en hoe toezichthouders onderling samenwerken. Die richtsnoeren zijn relevant zodra uw bedrijf daadwerkelijk in meerdere landen actief is met eigen vestigingen, niet zodra u simpelweg internationale klanten heeft.
Wat blijft gelijk, waar zit het verschil
De kern van de meldplicht — wanneer een lek meldenswaardig is, de termijn van 72 uur, en de vraag of betrokkenen zelf geïnformeerd moeten worden — staat in de AVG en geldt in elke lidstaat op dezelfde manier. Wat wél kan verschillen, is praktisch van aard: het meldportaal van elke nationale toezichthouder werkt net iets anders, sommige landen hanteren een eigen taal voor de melding, en de manier waarop een leidende toezichthouder wordt vastgesteld vraagt soms nader onderzoek als niet meteen duidelijk is welke vestiging de hoofdvestiging is. Dat laatste is een van de punten waarover EU-lidstaten in de uitvoeringspraktijk kunnen verschillen, ook al is de onderliggende norm dezelfde.
Voor een mkb-bedrijf zonder buitenlandse vestiging
De meeste mkb-bedrijven en zzp'ers hebben geen eigen vestiging in het buitenland, ook niet als ze wel klanten of leveranciers over de grens hebben. In dat geval verandert er in de praktijk weinig: u meldt een datalek gewoon bij de Autoriteit Persoonsgegevens, op dezelfde manier en binnen dezelfde termijn als bij een lek dat alleen Nederlandse betrokkenen raakt. Twijfelt u of uw situatie toch een grensoverschrijdend karakter heeft, bijvoorbeeld omdat u een dochteronderneming in een ander EU-land heeft die meebeslist over de verwerking, dan is dat een vraag die u het beste met een jurist of rechtstreeks met de Autoriteit Persoonsgegevens bespreekt. Met de beslisboom in een paar vragen zien of iets een meldenswaardig datalek is krijgt u alvast een eerste indicatie, ook als u nog niet weet of er een grensoverschrijdende kant aan zit.
Om te zien hoe zo'n melding zich verhoudt tot uw verwerkingsregister en de afspraken met leveranciers, is het nuttig om breder te kijken dan alleen de meldplicht. De kennisbank met uitleg per onderwerp brengt de losse verplichtingen samen, en een toelichting op waar de informatie vandaan komt laat zien welke bronnen achter elk antwoord liggen, inclusief de richtsnoeren van de EDPB.
Heeft u vragen over uw eigen situatie, bijvoorbeeld omdat u twijfelt of uw vestiging in het buitenland meetelt als hoofdvestiging? Doe dan de gratis quick-scan of blader door de meestgestelde vragen over datalekken en meldplicht om te zien welke vraag het dichtst bij uw situatie komt. Voor een definitief oordeel over uw eigen zaak blijft een jurist of de Autoriteit Persoonsgegevens het aangewezen aanspreekpunt.