Krótka odpowiedź
Samo RODO nie zmienia się, gdy zaczniesz sprzedawać także klientom za granicą. RODO jest rozporządzeniem europejskim, nie dyrektywą, i dlatego obowiązuje bezpośrednio i w ten sam sposób w każdym państwie członkowskim UE i EOG. Różnice dotyczą nie samego RODO, lecz krajowych ustaw, które pozostają obok niego, takich jak przepisy dotyczące plików cookies, i kwestii praktycznych, takich jak język oświadczenia o ochronie prywatności i to, do którego organu nadzoru się zwracasz z pytaniami lub skargami.
W przypadku sklepu internetowego sprzedającego wyłącznie w Polsce ta różnica często nie ma znaczenia. Jeśli masz jednak odwiedzających lub klientów z innych krajów UE lub spoza niej, warto wiedzieć, gdzie kończy się wspólna podstawa i gdzie zaczynają się przepisy krajowe lub międzynarodowe przesyłanie danych.
Dlaczego podstawa jest wszędzie taka sama
Ponieważ RODO jest rozporządzeniem, państwa członkowskie nie muszą go wcześniej implementować w swojej legislacji, tak jak w przypadku dyrektywy europejskiej. Prawa osób, których dane dotyczą, podstawy do przetwarzania danych i obowiązek prowadzenia rejestru działań przetwarzania obowiązują w takiej samej formie w Niemczech, Francji czy Hiszpanii, jak w Polsce. Różnice w interpretacji wynikają przede wszystkim z tego, że organy nadzoru w różnych krajach czasami kładą nieco inny nacisk w swoich wytycznych, co widać w publikacjach EDPB i samych krajowych organów nadzoru.
Gdzie różnice występują: pliki cookies i technologie podobne
Umieszczanie plików cookies i podobnych technologii na komputerze odwiedzającego nie podlega RODO, lecz przepisom dotyczącym prywatności w elektronicznych sieciach teleinformatycznych. W Europie zostały one ustalone w dyrektywie, a dyrektywę każde państwo musi wdrożyć we własną ustawodawstwo. Dlatego też sposób, w jaki trzeba prosić o zgodę na pliki cookies i ją dokumentować, może szczegółowo różnić się między krajami, choć punkt wyjścia jest wszędzie zbliżony. Dla sklepu internetowego skierowanego do wielu krajów jest to jedno z niewielu miejsc, gdzie przepisy faktycznie się różnią między krajami, a nie tylko w ich interpretacji.
Język i obowiązek informacyjny
RODO wymaga, aby informacje dla osób, których dane dotyczą, były zrozumiałe, ale nie określa stałej listy obowiązkowych języków. W praktyce organy nadzoru patrzą na to, kto odwiedza Twój sklep internetowy: jeśli celowo kierujesz się do klientów w Niemczech, wówczas oświadczenie o ochronie prywatności w języku niemieckim jest wskazane, po prostu dlatego, że informacja w innym języku nie byłaby zrozumiała dla tej grupy docelowej. To nie jest osobna zasada prawna dla każdego kraju, ale praktyczne stosowanie tego samego wymogu, który obowiązuje wszędzie.
Przetwarzanie transgraniczne i właściwy organ nadzoru
Gdy Twoja firma jest aktywna w wielu krajach UE, może się pojawiać pytanie, który organ nadzoru jest właściwy, jeśli coś pójdzie nie tak. RODO przewiduje w tym celu tzw. mechanizm one-stop-shop: przedsiębiorstwa mające siedziby w wielu państwach członkowskich stykają się w niektórych przypadkach z jednym organem nadzoru przewodniczącym, zwykle tym z kraju, gdzie znajduje się siedziba główna. Dla małej firmy mającej siedzbę wyłącznie w Polsce, która dorywczo sprzedaje zagranicznym klientom, wygląda to inaczej niż dla firmy mającej wiele siedzeib w UE. Dokładne przepisy są opisane w samym RODO i w wytycznych EDPB; w odniesieniu do Twojej konkretnej sytuacji jest to kwestia do omówienia z prawnikiem lub właściwym organem nadzoru, a nie coś, co musisz sam oceniać.
Sprzedaż poza UE i EOG
Inna sytuacja zachodzi, gdy dane klientów opuszczają obszar UE i EOG, na przykład dlatego, że dostawca, dostawca usług płatniczych lub usłodawca hosting działa poza Europą. Wtedy nie chodzi już o różnice między krajami UE, ale o zasady transferu danych osobowych do kraju spoza tego obszaru. RODO pozwala na to pod pewnymi warunkami, takimi jak decyzja o adekwatności Komisji Europejskiej dla danego kraju lub umowy dodatkowe, takie jak postanowienia modelowych klauzul umownych. Jest to jeden z punktów, na które umowa przetwarzania danych z podmiotem zagranicznym zasługuje na szczególną uwagę, a tło tego wyjaśnia baza wiedzy w podziale na tematy.
Co to oznacza dla Twojego rejestru i dokumentów
Dla samego rejestru przetwarzania danych nie zmienia się obligacja: śledzisz, które przetwarzania mają miejsce, w jakim celu i na jakiej podstawie prawnej, niezależnie od tego, w jakim kraju znajdują się Twoi klienci. To, co warto zanotować, to czy i gdzie dane opuszczają obszar UE i EOG, aby było to jasne, gdy klient, organ nadzoru lub ubezpieczyciel o to zapyta. Kto chce mieć kontrolę nad tym bez konieczności ręcznego śledzenia, może pozwolić, by biegło to w przeglądzie tego, gdzie dane się znajdują i jak są zabezpieczone.
Niezależnie od tego, czy Twój sklep internetowy dopiero zaczyna sprzedaż za granicą, czy robi to już od dłuższego czasu, chodzi przede wszystkim o to, aby rozróżnić między tym, co reguluje samo RODO, a tym, co zależy od krajowych przepisów lub transferu poza Europę. Odpowiedzi na często zadawane pytania w tym zakresie, w tym miejsce w oficjalnym tekście, znajdziesz w zbiorze najczęściej zadawanych pytań.
Chcesz zobaczyć, jak to wygląda w Twoim własnym biznesie, bez konieczności samodzielnego zagłębiania się w temat przez popołudnie? Dzięki bezpłatnemu skanowaniu uzyskasz pierwsze wskazanie i będziesz mógł następnie sam ocenić, czy konto biznesowe będzie dla Ciebie wartościowe.