Ak je vaša spoločnosť usadená len v Holandsku a únik údajov sa týka holandských dotknutých osôb, hlásíte ho obvyklým spôsobom: Úradu na ochranu osobných údajov. Ak má vaša spoločnosť aj pobočku v inej krajine EÚ, alebo sa únik údajov týka dotknutých osôb vo viacerých členských štátoch, GDPR stanovuje samostatný mechanizmus: princíp jedného kontaktného miesta. Podľa tohto princípu nariadenie vymenúva jedného regulačného orgána, ktorý koordinuje prípad, aj keď sú zapojené viaceré krajiny.
Tento jediný, koordinujúci regulačný orgán sa nazýva vedúci regulačný orgán. Spravidla je to regulačný orgán krajiny, v ktorej sa nachádza vaša hlavná pobočka: miesto, kde sa prijímajú najdôležitejšie rozhodnutia o účeloch a prostriedkoch spracúvania. Lehota 72 hodín na hlásenie sa nemení, ani keď sú zapojené viaceré krajiny — táto lehota je stanovená v samotnom GDPR a platí v celej EÚ.
Kedy je únik údajov cezhraničný
Únik údajov je cezhraničný, ak sa spracúvanie, ktorého sa únik týka, uskutočňuje v rámci aktivít pobočiek vo viacerých členských štátoch, alebo ak únik údajov značne vplýva na dotknuté osoby vo viacerých členských štátoch. Toto nie je totožné s tým, že "máte aj zákazníkov v zahraničí": ide o otázku, či je spracúvanie samotné organizované cezhraničným spôsobom, napríklad preto, že pobočka v inej krajine sa podieľa na rozhodovaní o nakladaní s údajmi. E-shop, ktorý pôsobí z Holandska a predáva zákazníkom v Nemecku bez nemeckej pobočky, sa spravidla nepovažuje za cezhraničný.
Princíp jedného kontaktného miesta v praxi
Myšlienka princípu jedného kontaktného miesta spočíva v tom, že spoločnosť s pobočkami vo viacerých členských štátoch nemusí komunikovať s každým národným regulačným orgánom osobitne. Vedúci regulačný orgán preberá vedúcu úlohu, koordinuje sa s regulačnými orgánmi iných dotknutých krajín a zabezpečuje jedno rozhodnutie namiesto viacerých, potenciálne konfliktných rozhodnutí. Pre vás ako spoločnosť to znamená predovšetkým to, že vediete, s kým ste v kontakte: regulačný orgán vašej hlavnej pobočky, a nie orgáni z každej krajiny, kde bydlia dotknuté osoby.
EDPB publikoval orientačné usmernenia o tom, ako sa určuje hlavná pobočka a ako regulačné orgány spolupracujú medzi sebou. Tieto usmernenia sú relevantné, ak vaša spoločnosť skutočne pôsobí vo viacerých krajinách s vlastnými pobočkami, a nie len preto, že máte medzinárodných zákazníkov.
Čo ostáva rovnaké, kde sú rozdiely
Podstata povinnosti hlásenia — kedy je únik údajov hlásením povinný, lehota 72 hodín a otázka, či musia byť dotknuté osoby informované osobne — je stanovená v GDPR a platí v každom členskom štáte rovnakým spôsobom. Čo sa však môže líšiť, je praktická stránka: portál na hlásenie každého národného regulačného orgánu funguje mierne inak, niektoré krajiny vyžadujú hlásenie vo vlastnom jazyku a spôsob, ako sa určuje vedúci regulačný orgán, niekedy vyžaduje ďalšie prešetrenie, ak nie je hneď jasné, ktorá pobočka je hlavnou pobočkou. Toto posledné je jedna z otázok, v ktorých sa členské štáty EÚ môžu v praxi implementácie líšiť, aj keď je základná norma rovnaká.
Pre malú a strednú spoločnosť bez zahraničnej pobočky
Väčšina malých a stredných podnikov a osôb samostatne zárobkovo činných nemá vlastné sídlo v zahraničí, aj keď majú zákazníkov alebo dodávateľov za hranicami. V takom prípade sa v praxi veľa nemení: ohlásenie porušenia ochrany údajov predložíte jednoducho úradu na ochranu osobných údajov rovnakým spôsobom a v rovnakej lehote ako v prípade porušenia, ktoré sa týka len osôb v jurisdikcii daného členského štátu. Ak ste si nie istí, či vaša situácia naozaj má cezhraničný charakter — napríklad preto, že máte dcérsku spoločnosť v inom členskej štáte EÚ, ktorá sa podieľa na rozhodovaní o spracovaní — je to otázka, ktorú si najlepšie ujasníte s právnikom alebo priamo s úradom na ochranu osobných údajov. Pomocou rozhodovacieho diagramu na pár otázok zistíte, či ide o porušenie ochrany údajov, ktoré je potrebné ohlásit získate aspoň prvotné uvedenie, aj keď ešte neviete, či má vec cezhraničný aspekt.
Aby ste videli, ako sa takéto ohlásenie vzťahuje na váš register spracovateľských činností a dohody s dodávateľmi, je vhodné pozerať sa šírej ako len na povinnosť ohlásit. Nástroj Poznatkovej základni s vysvetlením pre každú tému spája jednotlivé povinnosti dohromady, a vysvetlenie, odkiaľ pochádzajú informácie ukazuje, aké zdroje stoja za každou odpoveďou, vrátane pokynov EDPB.
Máte otázky vo veci svojej vlastnej situácie, napríklad preto, že si nie ste istí, či vaše sídlo v zahraničí sa počíta ako hlavné miesto činnosti? Potom vykonajte bezplatný rýchly test alebo prelistujte si najčastejšie otázky o porušeniach ochrany údajov a ohlasovacích povinnostiach aby ste zistili, ktorá otázka sa najviac zhoduje s vašou situáciou. Definitívne posúdenie vašej konkrétnej situácie zostáva doménou právnika alebo úradu na ochranu osobných údajov.