Jeśli Twoja firma działa tylko w Polsce i wyciek danych dotyczy osób w Polsce, zgłaszasz to w zwykły sposób: do właściwego organu nadzoru. Jeśli Twoja firma ma również oddział w innym kraju UE lub wyciek dotyczy osób w wielu państwach członkowskich, RODO przewiduje odrębny mechanizm: zasadę jednego punktu kontaktu. Zgodnie z tym rozporządzeniem jeden organ nadzoru jest wyznaczony do koordynacji sprawy, nawet jeśli zaangażowanych jest wiele krajów.
Ten jeden, koordynujący organ nadzoru zwany jest organem nadzoru wiodącym. W zasadzie jest to organ nadzoru kraju, w którym znajduje się Twoja siedziba główna: miejsce, w którym podejmowane są najważniejsze decyzje dotyczące celów i środków przetwarzania. Termin 72 godzin na złożenie zgłoszenia nie zmienia się, nawet jeśli zaangażowanych jest wiele krajów — ten termin jest ustalony w samym RODO i obowiązuje w całej UE.
Kiedy wyciek danych jest transgraniczny
Wyciek danych jest transgraniczny, gdy przetwarzanie, którego dotyczy wyciek, odbywa się w ramach działalności oddziałów w więcej niż jednym państwie członkowskim, lub gdy wyciek znacząco dotyczy osób w wielu państwach członkowskich. To ostatnie nie jest tym samym co "posiadamy też klientów za granicą": chodzi o to, czy samo przetwarzanie jest zorganizowane w sposób transgraniczny, na przykład dlatego, że oddział w innym kraju podejmuje decyzje dotyczące sposobu obsługi danych. Sklep internetowy sprzedający z Polski do klientów w Niemczech bez posiadania niemieckiego oddziału zwykle nie podlega tym przepisom.
Zasada jednego punktu kontaktu w praktyce
Ideą zasady jednego punktu kontaktu jest to, że firma z oddziałami w wielu państwach członkowskich nie musi się kontaktować oddzielnie z każdym krajowym organem nadzoru. Organ nadzoru wiodący przejmuje inicjatywę, koordynuje się z organami nadzoru innych zaangażowanych krajów i wydaje jedną decyzję zamiast wielu, potencjalnie sprzecznych decyzji. Dla Ciebie jako firmy oznacza to przede wszystkim, że wiesz, do kogo się zwrócić: do organu nadzoru Twojej siedziby głównej, a nie do organu każdego kraju, w którym mieszkają osoby, których dane przetwarzasz.
Rada do Spraw Ochrony Danych opublikowała wytyczne dotyczące ustalania siedziby głównej i sposobu współpracy organów nadzoru między sobą. Te wytyczne są istotne, gdy Twoja firma rzeczywiście prowadzi działalność w wielu krajach z własnymi oddziałami, a nie gdy po prostu posiadasz międzynarodowych klientów.
Co się nie zmienia, gdzie są różnice
Istota obowiązku powiadomienia — kiedy wyciek wymaga powiadomienia, termin 72 godzin i pytanie, czy osoby muszą być samodzielnie powiadomione — znajduje się w RODO i obowiązuje w każdym państwie członkowskim w ten sam sposób. To, co może się różnić, ma charakter praktyczny: portal zgłoszeniowy każdego krajowego organu nadzoru pracuje nieco inaczej, niektóre kraje korzystają z własnego języka do powiadomienia, a ustalenie organu nadzoru wiodącego czasami wymaga dalszych badań, jeśli nie jest od razu jasne, który oddział jest siedzibą główną. To ostatnie jest jednym z punktów, w których państwa członkowskie UE mogą się różnić w praktyce wdrażania, choć podstawowa norma jest taka sama.
Dla małej i średniej firmy bez zagranicznego oddziału
Większość małych i średnich przedsiębiorstw oraz pracowników na własny rachunek nie ma własnego oddziału zagranicznego, nawet jeśli mają klientów lub dostawców za granicą. W takim przypadku w praktyce niewiele się zmienia: zgłaszasz naruszenie danych bezpośrednio do Urzędu Ochrony Danych Osobowych, w taki sam sposób i w takim samym terminie jak w przypadku naruszenia dotyczącego wyłącznie osób powiązanych z Polską. Jeśli zastanawiasz się, czy twoja sytuacja ma jednak charakter transgraniczny, na przykład dlatego że masz spółkę zależną w innym kraju UE, która współdecyduje o przetwarzaniu, jest to pytanie, które najlepiej omówić z prawnikiem lub bezpośrednio z Urzędem Ochrony Danych Osobowych. Dzięki drzewu decyzyjnemu w kilku pytaniach sprawdzisz, czy coś stanowi godne zgłoszenia naruszenie danych możesz już na początek uzyskać wskazówkę, nawet jeśli jeszcze nie wiesz, czy istnieje aspekt transgraniczny.
Aby zobaczyć, jak takie zgłoszenie odnosi się do twojego rejestru czynności przetwarzania i porozumień z dostawcami, warto spojrzeć szerzej niż tylko na obowiązek zgłoszenia. Platforma bazie wiedzy z objaśnieniami dla każdego tematu łączy poszczególne obowiązki, a objaśnienie, skąd pochodzą informacje pokazuje, które źródła leżą u podstaw każdej odpowiedzi, w tym wytyczne RODO.
Masz pytania dotyczące własnej sytuacji, na przykład dlatego że nie jesteś pewien, czy twój oddział zagraniczna liczy się jako zakład główny? W takim razie wykonaj bezpłatną szybką ocenę lub przejrzyj najczęściej zadawane pytania o naruszeniach danych i obowiązkach zgłaszania aby sprawdzić, które pytanie najbardziej odpowiada twojej sytuacji. Aby uzyskać ostateczną opinię na temat własnej sprawy, prawnik lub Urząd Ochrony Danych Osobowych pozostają właściwymi interlocutorami.