Če je vaše podjetje ustanovljeno samo v Sloveniji in kršitev podatkov prizadene slovenske osebe, o tem obvestite tako, kot ste navajeni: obvestite Nadzorni organ za varstvo podatkov. Če ima vaše podjetje tudi sedež v drugi državi EU ali kršitev podatkov prizadene osebe v več držav članic, ima GDPR posebej opredeljen mehanizem: načelo enotnega okenca. Po tem načelu uredba določi en nadzorni organ, ki usklajevanje, čeprav je vpletenega več držav.
Tisti en, usklajevalni nadzorni organ se imenuje vodilni nadzorni organ. To je po pravilu nadzorni organ države, kjer se nahaja vaša glavna poslovna lokacija: mesto, kjer se sprejemajo najpomembnejše odločitve o namenih in sredstvih obdelave. Rok 72 ur za obvestilo se ne spremeni, tudi ne če je vpletenega več držav — ta rok je določen v sami GDPR in velja v celotni EU.
Kdaj je kršitev podatkov čezmejno
Kršitev podatkov je čezmejno, če se obdelava, ki jo kršitev zadeva, odvija v okviru dejavnosti poslovnih lokacij v več kot eni državi članici, ali če kršitev bistveno prizadene osebe v več državah članicah. To ni isto kot »imamo tudi stranke v tujini«: gre za vprašanje, ali je obdelava sama čezmejno organizirana, na primer zato ker poslovna lokacija v drugi državi soodloča o tem, kako se z podatki ravna. Spletna trgovina, ki posluje iz Slovenije strankam v Nemčiji brez nemške poslovne lokacije, praviloma ne spada v to kategorijo.
Načelo enotnega okenca v praksi
Ideja za načelom enotnega okenca je, da se podjetje s sedeži v več državah članicah ne mora posebej dogovarjati z vsako nacionalno nadzorni organ. Vodilni nadzorni organ prevzame vodstvo, se uskladi z nadzornimi organi drugih vpletenih držav in zagotovi eno odločitev namesto več morebitno nasprotujočih se odločitev. Za vas kot podjetje to predvsem pomeni, da veste, s kom se morate obrniti: nadzorni organ vaše glavne poslovne lokacije, ne pa nadzorni organ vsake države, kjer prebiva oseba.
EDPB je objavil smernice o tem, kako se določi glavna poslovna lokacija in kako si nadzorni organi medsebojno pomagajo. Te smernice so pomembne le, če je vaše podjetje dejansko aktivno v več državah s svojimi lastnimi poslovnimi lokacijami, ne pa že samo zato, ker imate mednarodno stranke.
Kaj ostane enako, kjer je razlika
Bistvo obveznosti obveščanja — kdaj je kršitev zanimiva za obvestilo, rok 72 ur in vprašanje, ali je treba osebe obvestiti — je zapisano v GDPR in se v vsaki državi članici primenjuje na enak način. Vendar pa se lahko praktično razlikuje: spletni portal vsake nacionalne nadzornega organa deluje nekoliko drugače, nekatere države zahtevajo lastni jezik za obvestilo, in način, kako se določi vodilni nadzorni organ, včasih zahteva nadaljnje preiskovanje, če ni takoj jasno, katera poslovna lokacija je glavna. To je ena od točk, pri katerih se države članice EU v praksi izvajanja lahko razlikujejo, čeprav je temeljna norma enaka.
Za podjetje iz sektorja ma bez tuje poslovne lokacije
Večina manjših podjetij in samostojnih podjetnikov nima lastne poslovalnice v tujini, tudi če imajo stranke ali dobavitelje čez mejo. V tem primeru se v praksi malo spremeni: o kršitvi podatkov sporočite Uradu za varstvo osebnih podatkov na enak način in v enakah rokih kot pri kršitvi, ki vpliva le na slovenske stanovalnike. Če dvomite, ali ima vaša situacija vendarle čezmejni značaj, na primer zato, ker imate hčerinsko družbo v drugi državi EU, ki soodloča o obdelavi podatkov, je to vprašanje, ki ga najbolje razpravljate s pravnikom ali neposredno z Uradom za varstvo osebnih podatkov. S pomočjo odločitvenega drevesa lahko v nekaj vprašanjih vidite, ali gre za kršitev podatkov, ki jo je treba prijaviti že dobite prvo napotko, tudi če še ne veste, ali ima čezmejni vidik.
Če želite videti, kako se taka prijava nanaša na vaš register obdelav podatkov in dogovore z dobavitelji, je koristno, da pogledате širše od samo dolžnosti prijave. Sistem bazi znanja s pojasnili po temah združuje posamezne obveznosti, in pojasnil, kje izvira informacija prikazuje, kateri viri se nahajajo za vsakim odgovorom, vključno s smernicami EDPB.
Imate vprašanja o vaši lastni situaciji, na primer ker dvomite, ali se vaša poslovalnica v tujini šteje kot glavna poslovalnica? Potem naredite brezplačen hiter pregled ali prelistajte pogosto postavljena vprašanja o kršitvah podatkov in dolžnosti prijave da vidite, katero vprašanje je najbliže vaši situaciji. Za dokončno odločitev o vaši lastni zadevi ostaja pravnik ali Urad za varstvo osebnih podatkov ustrezna kontaktna točka.