Krátka odpoveď
GDPR sa nemení, keď predávate aj zákazníkom v zahraničí. Nariadenie je európske nariadenie, nie smernica, a preto sa uplatňuje priamo a rovnakým spôsobom v každom členskom štáte EÚ a EHP. To, čo sa líši, nie je v samotnom GDPR, ale v národných zákonoch, ktoré naďalej existujú, ako sú pravidlá o cookies, a v praktických záležitostiach, ako je jazyk vášho vyhlásenia o ochrane osobných údajov a ktorého regulačného orgánu sa obrátiť pri otázke alebo sťažnosti.
Pre internetový obchod, ktorý predáva iba v rámci Holandska, je toto rozlíšenie často relevantné. Akonáhle máte návštevníkov alebo zákazníkov v iných krajinách EÚ alebo mimo nich, je dobré vedieť, kde sa spoločný základ končí a kde sa objavujú národné pravidlá alebo medzinárodný prenos údajov.
Prečo je základ všade rovnaký
Pretože GDPR je nariadenie, členské štáty ho nemusia najprv transponovať do vlastného právneho poriadku, ako to musí byť v prípade európskej smernice. Práva subjektov údajov, právne základy na spracovanie a povinnosť viesť register spracovateľských činností sa preto uplatňujú s rovnakým znením v Nemecku, Francúzsku alebo Španielsku ako v Holandsku. Rozdiely v interpretácii vznikajú najmä preto, že regulačné orgány v rôznych krajinách niekedy kladú iný dôraz v svojich usmerneniach, čo nájdete v publikáciách EDPB a samotných národných regulačných orgánov.
Kde sa líši: cookies a podobné technológie
Umiestňovanie cookies a podobných technológií na počítač návštevníka nespadá pod GDPR, ale pod pravidlá ePrivacy. Tie sú v Európe zakotvené v smernici a smernica musí byť v každej krajine transponovaná do národného právneho poriadku. Preto sa spôsob, akým sa musí žiadať a zaznamenávať súhlas s cookies, v detailoch môže líšiť medzi krajinami, aj keď je východisko všade podobné. Pre internetový obchod zameraný na viac krajín je to jedno z mála miest, kde sa pravidlá skutočne líšia podľa krajiny, a nie len v ich interpretácii.
Jazyk a povinnosť informácie
GDPR vyžaduje, aby boli informácie subjektom údajov zrozumiteľné, ale neurčuje pevný zoznam povinných jazykov. V praxi regulačné orgány pozerajú na to, kto navštevuje váš internetový obchod: ak sa aktívne orientujete na zákazníkov v Nemecku, má zmysel nemecké vyhlásenie o ochrane osobných údajov, jednoducho preto, že informácie by boli inak nezrozumiteľné pre túto cieľovú skupinu. Nejde o samostatné právne pravidlo pre každú krajinu, ale o praktickú implementáciu rovnakej požiadavky, ktorá platí všade.
Cezhraničný prenos a príslušný regulačný orgán
Keď je vaša spoločnosť činná v niekoľkých krajinách EÚ, môže sa klásť otázka, ktorý regulačný orgán je príslušný, ak sa niečo pokazí. GDPR na tento účel zavádza takzvaný mechanizmus one-stop-shop: spoločnosti so sídlami v niekoľkých členských štátoch majú v určitých prípadoch do činnosti jedného vedúceho regulačného orgánu, zvyčajne tú krajinu, kde sídli hlavný podnik. Pre malú spoločnosť so sídlom iba v Holandsku, ktorá príležitostne predáva zahraničným zákazníkom, je to iné ako pre spoločnosť s niekoľkými sídlami v EÚ. Presná realizácia je opísaná v samotnom GDPR a v usmerneniach EDPB; pre vašu vlastnú situáciu je to otázka pre právnika alebo príslušný regulačný orgán, nie niečo, čo by ste mali posúdiť sami.
Predaj mimo EÚ a EHP
Iný prípad nastáva hneď, keď sa údaje o zákazníkoch dostanú mimo územie EÚ a EHP, napríklad pretože dodávateľ, poskytovateľ platieb alebo hostingový partner má sídlo mimo Európy. Potom už nejde o rozdiely medzi jednotlivými krajinami EÚ, ale o pravidlá pre prenos osobných údajov do krajiny mimo EÚ. Nariadenie GDPR to umožňuje za určitých podmienok, ako je rozhodnutie Európskej komisie o adekvátnosti pre danú krajinu, alebo doplňujúce dohody, ako napríklad zmluvné doložky. Ide o jeden z bodov, na ktorý si zasluží špecifickú pozornosť zmluva o spracovaní údajov s zahraničnou stranou, a v ktorom poznámková základňa podľa témy vysvetľuje zázemie.
Čo to znamená pre váš register a dokumenty
Pri samotnom registri spracovateľských činností sa nič nemení na povinnosti: zaevidujete, ktoré spracovateľské činnosti prebiehajú, s akým účelom a na akom právnom základe, bez ohľadu na to, v ktorej krajine sa vaši zákazníci nachádzajú. Čo je však rozumné zaznamenať, je, či a kde údaje opúšťajú územie EÚ a EHP, aby to zostalo jasné, keď sa vás na to pýta zákazník, dozorný orgán alebo poisťovňa. Kto chce mať na to kontrolu bez toho, aby to musel ručne sledovať, môže si nechať sledovať v prehľade, kde sú údaje umiestnené a ako sú chránené.
Či váš e-shop práve začína s predajom za hranice alebo to robí už dlhšie, je hlavne dôležité rozlišovať medzi tým, čo upravuje samotné nariadenie GDPR, a tým, čo závisí od národných zákonov alebo od prenosu mimo Európy. Odpovede na často kladené otázky o tom vrátane odkazu na oficiálny text nájdete v zbierke často kladených otázok.
Chcete vidieť, ako sa to skladá pre vašu vlastnú spoločnosť, bez toho, aby ste sa na to museli sami ponoriť na poludnie? Bezplatným rýchlym skenom získate prvú indikáciu a potom si sami môžete posúdiť, či obchodný účet je pre vás prínosný.