Dacă întreprinderea dvs. funcționează doar în Olanda și o încălcare de date afectează persoanele vizate din Olanda, o raportați în felul obișnuit: la Autoritatea pentru Protecția Datelor. Dacă întreprinderea dvs. are și o filială într-un alt stat membru al UE, sau dacă încălcarea afectează persoanele vizate în mai multe state membre, atunci RGPD prevede un mecanism special: principiul unui punct unic de contact. Potrivit regulamentului, se desemnează o autoritate de supraveghere care coordonează cazul, chiar dacă sunt implicate mai multe țări.
Acea singură autoritate de supraveghere, care coordonează, se numește autoritate de supraveghere principală. Aceasta este, în principiu, autoritatea de supraveghere a țării în care se află sediul dvs. principal: locul unde se iau deciziile importante cu privire la scopurile și mijloacele prelucrării. Termenul de 72 de ore pentru raportare nu se schimbă, nici măcar dacă sunt implicate mai multe țări — acest termen este stabilit în RGPD și se aplică în toată UE.
Când o încălcare de date este transnațională?
O încălcare de date este transnațională de îndată ce prelucrarea la care se referă încălcarea are loc în contextul activităților filialelor din mai mult de un stat membru, sau când încălcarea afectează în mod substanțial persoanele vizate din mai multe state membre. Aceasta nu este același lucru cu "avem și clienți în străinătate": este vorba despre întrebarea dacă prelucrarea în sine este organizată pe o bază transnațională, de exemplu pentru că o filială din alt țară decide și asupra modului în care se gestionează datele. Un magazin online care vinde din Olanda clienților din Germania fără a avea o filială în Germania nu intră de obicei sub această incidență.
Principiul one-stop-shop în practică
Ideea din spatele principiului one-stop-shop este că o întreprindere cu sedii în mai multe state membre nu trebuie să contacteze separat fiecare autoritate de supraveghere națională. Autoritatea de supraveghere conducătoare ia inițiativa, se coordonează cu autoritățile de supraveghere ale celorlalte țări implicate și asigură o singură decizie în loc de mai multe decizii posibil contradictorii. Pentru dvs. ca întreprindere, aceasta înseamnă mai ales că știți cu cine trebuie să aveți de-a face: autoritatea de supraveghere a sediului dvs. principal, nu cea din fiecare țară în care locuiește un persoană vizată.
EDPB a publicat orientări privind modul în care se stabilește sediul principal și modul în care autoritățile de supraveghere colaborează între ele. Aceste orientări sunt relevante imediat ce întreprinderea dvs. este efectiv activă în mai multe țări cu sedii proprii, nu imediat ce aveți pur și simplu clienți internaționali.
Ce rămâne la fel, unde se află diferența
Esența obligației de notificare — când o încălcare este notificabilă, termenul de 72 de ore și întrebarea dacă persoanele vizate trebuie informate ele însele — se află în RGPD și se aplică în fiecare stat membru în același mod. Ceea ce poate varia totuși, sunt aspecte practice: portalul de notificare al fiecărei autorități de supraveghere naționale funcționează ușor diferit, unele țări utilizează o limbă proprie pentru notificare, iar modul în care se determină autoritatea de supraveghere conducătoare cere uneori o investigare suplimentară dacă nu este imediat clar care este sediul principal. Acesta din urmă este unul dintre punctele în care statele membre ale UE pot diferi în practica implementării, chiar dacă norma subiacentă este aceeași.
Pentru o întreprindere mică și medie fără o sucursală în străinătate
Majoritatea micro și mici întreprinderilor și lucrătorii independenți nu au o filială proprie în străinătate, nici măcar dacă au clienți sau furnizori peste hotarele țării. În acest caz, în practică puțin se schimbă: raportați o încălcare a securității datelor pur și simplu Autorității pentru Protecția Datelor, în același mod și în aceeași perioadă ca în cazul unei încălcări care afectează doar persoane vizate din Países Bajos. Dacă vă întrebați dacă situația dumneavoastră are cu adevărat un caracter transfrontalier, de exemplu pentru că aveți o filială într-o altă țară din UE care decide asupra prelucrării, atunci aceasta este o întrebare pe care o discutați cel mai bine cu un jurist sau direct cu Autoritatea pentru Protecția Datelor. Cu ajutorul flowchart-ului într-o serie de întrebări vedeți dacă ceva este o încălcare a securității datelor care trebuie raportată obțineți o primă indicație, chiar dacă nu știți încă dacă există o dimensiune transfrontalieră.
Pentru a vedea cum un asemenea raport se raportează la registrul dumneavoastră de activități de prelucrare și la acordurile cu furnizorii, este util să priviți mai larg decât doar obligația de raportare. Platforma banca de cunoștințe cu explicații pe subiect reunește obligațiile deosebite, și o explicație cu privire la unde provin informațiile arată sursele din spatele fiecărui răspuns, inclusiv Orientările EDPB.
Aveți întrebări despre propria situație, de exemplu pentru că vă întrebați dacă filialul dumneavoastră din străinătate se numără drept sediu principal? Efectuați atunci scannarea rapidă gratuită sau răsfoiți întrebări frecvente despre încălcări de securitate a datelor și obligația de raportare pentru a vedea ce întrebare se apropie cel mai mult de situația dumneavoastră. Pentru o opinie definitivă cu privire la propria situație, un jurist sau Autoritatea pentru Protecția Datelor rămâne punctul de contact indicat.