Se a sua empresa está localizada apenas nos Países Baixos e uma violação de dados afeta titulares de dados holandeses, notifica-a como está habituado: à Autoridade de Proteção de Dados. Se a sua empresa também tem uma localização noutro país da UE, ou se a violação afeta titulares de dados em vários Estados-membros, o RGPD tem um mecanismo separado: o princípio de janela única. De acordo com este princípio, o regulamento designa uma autoridade de supervisão que coordena o caso, mesmo que vários países estejam envolvidos.
A única autoridade de supervisão coordenadora é chamada de autoridade de supervisão líder. Por regra, é a autoridade de supervisão do país onde a sua sede se encontra: o lugar onde as decisões principais sobre os objetivos e meios do tratamento são tomadas. O prazo de 72 horas para notificação não muda, mesmo que vários países estejam envolvidos — este prazo está fixado no próprio RGPD e aplica-se em toda a UE.
Quando é que uma violação de dados é transfronteiriça
Uma violação de dados é transfronteiriça assim que o tratamento a que a violação diz respeito ocorre no contexto de atividades de localizações em mais de um Estado-membro, ou quando a violação afeta significativamente titulares de dados em vários Estados-membros. Isto não é o mesmo que "também temos clientes no estrangeiro": trata-se de saber se o próprio tratamento é organizado de forma transfronteiriça, por exemplo porque uma localização noutro país participa nas decisões sobre como os dados são processados. Uma loja online que vende a partir dos Países Baixos para clientes na Alemanha sem ter uma localização alemã não é geralmente coberta por isto.
O princípio de janela única na prática
A ideia por trás do princípio de janela única é que uma empresa com localizações em vários Estados-membros não tenha de contactar cada autoridade de supervisão nacional separadamente. A autoridade de supervisão líder toma a iniciativa, coordena com as autoridades de supervisão dos outros países envolvidos, e garante uma decisão única em vez de múltiplas decisões potencialmente contraditórias. Para si como empresa, isto significa principalmente que sabe a quem contactar: a autoridade de supervisão da sua sede, não a de cada país onde um titular de dados reside.
A EDPB publicou orientações sobre como determinar uma sede principal e como as autoridades de supervisão colaboram mutuamente. Estas orientações são relevantes assim que a sua empresa está realmente ativa em vários países com localizações próprias, não simplesmente porque tem clientes internacionais.
O que permanece igual, onde está a diferença
O núcleo da obrigação de notificação — quando uma violação é notificável, o prazo de 72 horas, e a questão de se os titulares de dados devem ser informados — está no RGPD e aplica-se de forma igual em cada Estado-membro. O que pode diferir é de natureza prática: o portal de notificação de cada autoridade de supervisão nacional funciona de forma ligeiramente diferente, alguns países usam a sua própria língua para a notificação, e a forma como uma autoridade de supervisão líder é determinada às vezes requer investigação adicional se não ficar imediatamente claro qual localização é a sede principal. Este último é um dos pontos em que os Estados-membros da UE podem diferir na prática de implementação, embora a norma subjacente seja a mesma.
Para uma empresa PME sem localização estrangeira
A maioria das pequenas e médias empresas e trabalhadores por conta própria não têm sede própria no estrangeiro, mesmo que tenham clientes ou fornecedores além-fronteiras. Nesse caso, pouca coisa muda na prática: você comunica uma falha de segurança de dados simplesmente à Autoridade de Proteção de Dados, da mesma forma e dentro do mesmo prazo que em caso de falha que afete apenas titulares de dados portugueses. Se tem dúvidas sobre se a sua situação tem efetivamente caráter transfronteiriço, por exemplo porque tem uma filial noutro Estado-membro da UE que toma decisões sobre o tratamento, essa é uma questão que é melhor discutir com um jurista ou diretamente com a Autoridade de Proteção de Dados. Com a árvore de decisão em algumas perguntas verá se algo é uma falha de segurança de dados comunicável obtém uma primeira indicação, mesmo que ainda não saiba se há um aspecto transfronteiriço envolvido.
Para ver como tal comunicação se relaciona com o seu registo de atividades de tratamento e os acordos com fornecedores, é útil olhar mais amplamente do que apenas a obrigação de comunicação. O base de conhecimento com explicação por tema reúne as obrigações dispersas, e uma explicação sobre de onde vem a informação mostra quais as fontes por trás de cada resposta, incluindo as orientações do EDPB.
Tem dúvidas sobre a sua situação específica, por exemplo porque tem dúvidas sobre se a sua sede no estrangeiro conta como sede principal? Faça então a avaliação rápida gratuita ou navegue pelas perguntas mais frequentes sobre falhas de segurança de dados e obrigação de comunicação para ver qual pergunta mais se aproxima da sua situação. Para uma conclusão definitiva sobre o seu caso, um jurista ou a Autoridade de Proteção de Dados continuam a ser o ponto de contacto apropriado.