Kratek odgovor
Uredba GDPR se ne spremeni, takoj ko prodajate tudi strankam v tujini. Uredba je evropska uredba, ne direktiva, in zato neposredno velja na enak način v vsaki državi članici EU in EGP. Kaj se res razlikuje, ni v sami Uredbi GDPR, temveč v nacionalnih zakonih, ki ostanejo poleg nje, kot so pravila o piškotkih, ter v praktičnih zadevah, kot sta jezik vaše izjave o varnosti podatkov in katero nadzorno telo se obrnete na pri vprašanju ali pritožbi.
Za spletno trgovino, ki prodaja samo v Sloveniji, je to razlikovanje pogosto nepomembno. Takoj ko imate obiskovalce ali stranke v drugih državah EU ali zunaj nje, je dobro vedeti, kje se skupna podlaga konča in kje vstopijo nacionalna pravila ali mednarodni prenos podatkov.
Zakaj je podlaga povsod enaka
Ker je Uredba GDPR uredba, je države članice ne morajo najprej prenesti v svojo zakonodajo, kot je to potrebno pri evropski direktivi. Pravice posameznikov, pravne podlage za obdelavo in obveznost vodenja registra dejavnosti obdelave veljajo z isto besedilom v Nemčiji, Franciji ali Španiji kot v Sloveniji. Razlike v razlagi nastanejo predvsem zato, ker nadzorna telesa v različnih državah včasih različno poudarjajo svoje smernice, kar se odraža v publikacijah EDPB in samih nacionalnih nadzornih teles.
Kjer se res razlikuje: piškotki in podobne tehnike
Nameščanje piškotkov in podobnih tehnik na računalnik obiskovalca ne spada pod Uredbo GDPR, temveč pod pravila zasebnosti elektronskih komunikacij. V Evropi so ta pravila zapisana v direktivi, direktiva pa mora biti prenesena v nacionalno zakonodajo v vsaki državi. Zato se način, kako je treba zahtevati in dokumentirati soglasje za piškotke, lahko podrobno razlikuje med državami, čeprav je izhodišče povsod podobno. Za spletno trgovino, ki se usmeri na več držav, je to eno redkih mest, kjer se pravila dejansko razlikujejo od države do države in ne le v razlagi.
Jezik in obveznost zagotavljanja informacij
Uredba GDPR predpisuje, da morajo biti informacije posameznikom razumljive, vendar ne navaja določenega seznama obveznih jezikov. V praksi nadzorna telesa gledata, kdo obiskuje vašo spletno trgovino: če se aktivno usmerite na stranke v Nemčiji, je German izjava o varnosti podatkov smiselna, preprosto zato, ker informacija drugače ni razumljiva za to ciljno skupino. To ni ločena pravna pravila na državo, temveč praktična izvedba iste zahteve, ki velja povsod.
Mednarodni prenos podatkov in pristojno nadzorno telo
Kadar je vaše podjetje dejavno v več državah EU, se lahko pojavi vprašanje, katero nadzorno telo je pristojno, če kaj zmoti. Uredba GDPR ima za to mehanizem »enojnega kontaktnega mesta«: podjetja z enotami v več državah članicah se v določenih primerih srečajo z enim vodilnim nadzornim telesom, običajno tistim iz države, kjer se nahaja glavna enota. Za majhno podjetje, ki ima samo slovensko enoto in zgolj naključno prodaja tujim strankam, je to drugače kot za podjetje z več enotami v EU. Natančna izvedba tega je opisana v sami Uredbi GDPR in v smernicah EDPB; za lastno situacijo je to vprašanje za pravnika ali pristojno nadzorno telo, ne kaj, kar morate sami oceniti.
Prodaja zunaj EU in EGP
Drugačna pravila veljajo takoj, ko podatki strank zapustijo območje EU in EGP, na primer ker je dobavitelj, ponudnik plačil ali gostitelj server ločen zunaj Evrope. Potem ne gre več za razlike med državami EU med seboj, ampak za pravila o prenosu osebnih podatkov v državo zunaj tega območja. Uredba GDPR to omogoča pod pogoji, kot je odločitev Evropske komisije o ustreznosti za zadevno državo ali dodatne pogodbe, kot so modelne pogodbene klavzule. To je ena od točk, pri kateri je pogodba s tretjo osebo zunaj EU posebej vredna pozornosti, in o tem banka znanja po predmetih pojasni ozadje.
Kaj to pomeni za vaš register in dokumente
Za sam register obdelave podatkov se obveznost ne spremeni: vodite Evidence o tem, katere obdelave potekajo, za kakšne namene in na katerih pravnih podlagah, ne glede na to, v kateri državi se nahajajo vaši stranki. Kar je pametno dokumentirati, je, ali in kje podatki zapustijo območje EU in EGP, tako da ostane to jasno, če vas o tem sprašajo stranki, nadzorni organ ali zavarovalnica. Kdor bi rad imel nadzor nad tem, brez da bi to moral ročno spremljati, lahko to vključi v pregled, kje so podatki in kako so zaščiteni.
Ne glede na to, ali vaša spletna trgovina pravkar začenja s prodajo čez mejo ali to počne že dlje časa, je najpomembnejše razlikovanje med tem, kar ureja Uredba GDPR sama, in tem, kar je odvisno od nacionalnih zakonov ali od prenosa zunaj Evrope. Odgovore na pogosto postavljena vprašanja o tem, vključno z navedbo v uradnem besedilu, najdete v zbirki pogosto zastavljanih vprašanj.
Želite videti, kako se to za vaše lastno podjetje ujema, brez da bi se vi sami morali potapljati uro ali več? S prosto hitro presojo dobite prvo oceno in nato sami lahko ocenite, ali poslovni račun je koristna za vas.