Resposta breve
O próprio RGPD não muda quando começar a vender também para clientes no estrangeiro. O regulamento é um regulamento europeu, não uma diretiva, e por isso aplica-se diretamente e da mesma forma em cada Estado-Membro da UE e do EEE. O que sim varia não está no próprio RGPD, mas nas leis nacionais que continuam a existir ao lado dele, como as regras sobre cookies, e em questões práticas como o idioma da sua declaração de privacidade e qual supervisor contacta em caso de dúvida ou reclamação.
Para uma loja online que vende apenas dentro de Portugal, esta distinção é muitas vezes irrelevante. Assim que tiver visitantes ou clientes noutros países da UE, ou fora dela, é bom saber onde termina a base comum e onde entram em jogo as regras nacionais ou a transferência internacional de dados.
Por que a base é igual em todo o lado
Porque o RGPD é um regulamento, os Estados-Membros não têm de o transpor primeiro para a sua própria legislação, como acontece com uma diretiva europeia. Os direitos dos titulares dos dados, as bases para tratamento e a obrigação de manter um registo de atividades de tratamento aplicam-se com o mesmo texto na Alemanha, França ou Espanha como em Portugal. As diferenças de interpretação surgem principalmente porque supervisores em diferentes países por vezes dão uma ênfase ligeiramente diferente nas suas orientações, algo que encontra nas publicações do EDPB e nos próprios supervisores nacionais.
Onde sim diverge: cookies e técnicas semelhantes
A colocação de cookies e técnicas semelhantes no computador de um visitante não se enquadra no RGPD, mas nas regras de privacidade eletrônica. Estas estão consagradas na Europa numa diretiva, e uma diretiva tem de ser transposta para legislação nacional em cada país. Por isso, a forma como o consentimento para cookies tem de ser solicitado e registado pode diferir em detalhe entre países, ainda que o ponto de partida seja em toda a parte comparável. Para uma loja online que se dirige a múltiplos países, este é um dos poucos locais onde as regras realmente divergem por país, e não apenas na sua interpretação.
Idioma e obrigação de informação
O RGPD exige que a informação para os titulares dos dados seja compreensível, mas não fornece uma lista fixa de idiomas obrigatórios. Na prática, os supervisores olham para quem visita a sua loja online: se se dirige ativamente a clientes na Alemanha, então uma declaração de privacidade em alemão faz sentido, simplesmente porque a informação não seria compreensível para esse público-alvo de outra forma. Esta não é uma regra jurídica separada por país, mas uma aplicação prática do mesmo requisito que se aplica em toda a parte.
Tratamento transfronteiriço e o supervisor competente
Quando a sua empresa opera em vários países da UE, pode colocar-se a questão de qual supervisor é competente se algo correr mal. O RGPD tem para isso o chamado mecanismo de "one-stop-shop": empresas com estabelecimentos em vários Estados-Membros confrontam-se em determinados casos com um único supervisor responsável, normalmente o do país onde se situa a sede principal. Para uma pequena empresa com apenas um estabelecimento em Portugal que vende incidentalmente para clientes estrangeiros, isto é diferente de uma empresa com múltiplos estabelecimentos na UE. A execução precisa disto está descrita no próprio RGPD e nas orientações do EDPB; para a sua situação específica, isto é uma questão para um jurista ou o supervisor competente, não algo que tenha de avaliar sozinho.
Venda fora da UE e do EEE
Uma história diferente aplica-se assim que os dados dos clientes deixam a área da UE e do EEE, por exemplo, porque um fornecedor, prestador de pagamentos ou parceiro de alojamento está estabelecido fora da Europa. Então não se trata mais de diferenças entre os países da UE entre si, mas das regras para a transferência de dados pessoais para um país fora dessa área. O RGPD permite isto sob certas condições, como uma decisão de adequação da Comissão Europeia para o país em questão, ou acordos adicionais como cláusulas contratuais tipo. Este é um dos pontos em que um acordo de tratamento de dados com uma parte estrangeira merece atenção específica, e sobre o qual a base de conhecimento por tema explica o contexto.
O que isto significa para o seu registo e documentos
Para o próprio registo de tratamento, nada muda na obrigação: mantém um registo de quais os tratamentos que ocorrem, com que objetivo e em que base legal, independentemente de em que país os seus clientes estão localizados. O que é sensato registar, é se e onde os dados deixam a área da UE e do EEE, de modo que isso permaneça claro se um cliente, autoridade supervisora ou seguradora o perguntar. Quem quer ter controlo sobre isto sem ter de o fazer manualmente, pode deixá-lo ser acompanhado no resumo de onde os dados estão e como estão protegidos.
Quer a sua loja online esteja apenas a começar com vendas transfronteiriças ou isto seja feito há mais tempo, o importante é fazer uma distinção entre o que o próprio RGPD regula e o que depende das leis nacionais ou da transferência fora da Europa. As respostas às perguntas mais frequentes sobre isto, incluindo a localização no texto oficial, encontram-se em coleção de perguntas frequentes.
Quer ver como isto se encaixa no seu próprio negócio, sem ter de se aprofundar por si próprio durante uma tarde? Com a análise rápida gratuita, obtém uma primeira indicação, e pode depois avaliar por si próprio se uma conta comercial é útil para si.