Om ditt företag endast är etablerat i Nederländerna och ett dataintrång påverkar nederländska registrerade, anmäler du det som vanligt: till Autoriteit Persoonsgegevens. Om ditt företag också har en etablering i ett annat EU-land, eller om intrånget påverkar registrerade i flera medlemsstater, har GDPR en särskild mekanism: one-stop-shop-principen. Enligt förordningen utses en tillsynsmyndighet som samordnar ärendet, även om flera länder är inblandade.
Den enda, samordnande tillsynsmyndigheten kallas huvudtillsynsmyndigheten. I regel är detta tillsynsmyndigheten i det land där din huvudetablering är belägen: den plats där de viktigaste besluten om ändamål och medel för behandlingen fattas. Fristen på 72 timmar för anmälan förändras inte, inte heller om flera länder är inblandade — denna frist är fastställd i själva GDPR och gäller i hela EU.
När är ett dataintrång gränsöverskridande
Ett dataintrång är gränsöverskridande så snart behandlingen som intrånget avser sker i samband med verksamhet från etableringar i mer än en medlemsstat, eller när intrånget väsentligt påverkar registrerade i flera medlemsstater. Det senare är inte detsamma som "vi har också kunder utomlands": det handlar om huruvida behandlingen i sig är organiserad på ett gränsöverskridande sätt, till exempel för att en etablering i ett annat land medverkar i besluten om hur uppgifterna hanteras. En webbshop som från Nederländerna säljer till kunder i Tyskland utan en tysk etablering faller vanligtvis inte under detta.
One-stop-shop-principen i praktiken
Tanken bakom one-stop-shop-principen är att ett företag med etableringar i flera medlemsstater inte behöver hantera varje nationell tillsynsmyndighet separat. Huvudtillsynsmyndigheten tar ledningen, samordnar med tillsynsmyndigheterna i de andra berörda länderna och säkerställer ett beslut i stället för flera, möjligtvis motsägelsefulla, beslut. För dig som företag betyder detta framför allt att du vet vem du ska kontakta: tillsynsmyndigheten för din huvudetablering, inte den i varje land där en registrerad är bosatt.
EDPB har publicerat riktlinjer om hur en huvudetablering fastställs och hur tillsynsmyndigheter samarbetar sinsemellan. Dessa riktlinjer är relevanta när ditt företag faktiskt är verksamt i flera länder med egna etableringar, inte bara när du har internationella kunder.
Vad förblir detsamma, var ligger skillnaden
Kärnorna i anmälningsplikten — när ett intrång är anmälningspliktigt, fristen på 72 timmar och frågan om registrerade själva måste informeras — är fastställda i GDPR och gäller på samma sätt i varje medlemsstat. Vad som kan skilja sig är rent praktiskt: varje nationell tillsynsmyndighets anmälningsportal fungerar något annorlunda, vissa länder använder sitt eget språk för anmälan, och sättet att fastställa en huvudtillsynsmyndighet kräver ibland ytterligare utredning när det inte omedelbart är klart vilken etablering som är huvudetableringen. Det senare är en av de punkter där EU-medlemsländer kan skilja sig åt i tillämpningen, även om den underliggande normen är densamma.
För ett litet eller medelstort företag utan utländsk etablering
De flesta små och medelstora företag och egenföretagare har ingen egen etablering utomlands, även om de har kunder eller leverantörer över gränsen. I så fall förändras mycket lite i praktiken: du anmäler en dataintrång till Datainspektionen på samma sätt och inom samma tidsfrist som vid ett intrång som bara gäller svenska registrerade. Om du är osäker på om din situation ändå har ett gränsöverskridande karaktär, till exempel för att du har ett dotterbolag i en annan EU-stat som medverkar i besluten om behandlingen, är det en fråga som du bäst diskuterar med en jurist eller direkt med Datainspektionen. Med beslutsträdet kan du i några frågor se om något är ett anmälet dataintrång får du redan en första indikation, även om du ännu inte vet om det finns en gränsöverskridande aspekt.
För att se hur en sådan anmälan förhåller sig till ditt register över behandlingsaktiviteter och avtalen med leverantörer är det bra att titta bredare än bara på anmälningsplikten. Den kunskapsbanken med förklaringar per ämne samlar de lösa skyldighheterna tillsammans, och en förklaring till var informationen kommer från visar vilka källor bakom varje svar, inklusive riktlinjerna från EDPB.
Har du frågor om din egen situation, till exempel för att du är osäker på om din etablering utomlands räknas som huvudetablering? Gör då den kostnadsfria snabbkontroll eller bläddra igenom de vanligaste frågorna om dataintrång och anmälningsplikt för att se vilken fråga som ligger närmast din situation. För ett slutgiltigt ställningstagande om din egen sak är en jurist eller Datainspektionen fortfarande den lämpliga kontaktpunkten.