Kort svar
GDPR själv förändras inte när du också säljer till kunder i utlandet. Förordningen är en europeisk förordning, inte ett direktiv, och gäller därför direkt och på samma sätt i varje medlemsstat i EU och EES. Det som skiljer sig ligger inte i GDPR själv utan i de nationella lagar som fortsätter att gälla, såsom reglerna om cookies, och i praktiska frågor som språket i din integritetspolicy och vilken tillsynsmyndighet du kontaktar vid en fråga eller klagomål.
För en webbutik som endast säljer inom Sverige är denna skillnad ofta inte relevant. Så snart du har besökare eller kunder i andra EU-länder eller utanför EU är det bra att veta var den gemensamma grunden slutar och var nationella regler eller internationell dataöverföring spelar in.
Varför grundvalen är densamma överallt
Eftersom GDPR är en förordning behöver medlemsstaterna inte först genomföra den i egen lagstiftning, vilket måste göras med ett europeiskt direktiv. Registrerades rättigheter, grund för behandling och skyldigheten att upprätthålla ett register över behandlingsaktiviteter gäller därför med samma text i Tyskland, Frankrike eller Spanien som i Sverige. Skillnader i tolkning uppstår främst för att tillsynsmyndigheter i olika länder ibland lägger något olika tonvikt i sina riktlinjer, något som du hittar i EDPB:s publikationer och de nationella tillsynsmyndigheternas egna publikationer.
Där det skiljer sig åt: cookies och liknande teknik
Placering av cookies och liknande teknik på en besökares dator faller inte under GDPR utan under ePrivacy-reglerna. De är i Europa fastställda i ett direktiv, och ett direktiv måste genomföras i nationell lagstiftning i varje land. Därför kan sättet på vilket samtycke för cookies måste begäras och dokumenteras skilja sig i detalj mellan länder, även om utgångspunkten överallt är jämförbar. För en webbutik som riktar sig mot flera länder är detta en av få platser där reglerna faktiskt skiljer sig från land till land, och inte bara i tolkningen av dem.
Språk och informationskrav
GDPR föreskriver att information till registrerade måste vara begriplig, men anger ingen fast lista över obligatoriska språk. I praktiken tittar tillsynsmyndigheter på vem som besöker din webbutik: om du aktivt riktar dig mot kunder i Tyskland är en tyskspråkig integritetspolicy lämplig, helt enkelt för att informationen annars inte skulle vara begriplig för den målgruppen. Det är ingen separat juridisk regel per land, utan en praktisk tillämpning av samma krav som gäller överallt.
Gränsöverskridande behandling och behörig tillsynsmyndighet
När ditt företag är aktiv i flera EU-länder kan det uppstå frågor om vilken tillsynsmyndighet som är behörig om något går fel. GDPR innehåller för detta den så kallade one-stop-shop-mekanismen: företag med verksamheter i flera medlemsstater får i vissa fall att göra med en ledande tillsynsmyndighet, vanligtvis den i landet där huvudkontoret ligger. För ett litet företag med endast en verksamhet i Sverige som tillfälligt säljer till utländska kunder är detta annorlunda än för ett företag med flera verksamheter i EU. Den exakta tillämpningen av detta beskrivs i själva GDPR och i EDPB:s riktlinjer; för din egen situation är detta en fråga för en jurist eller behörig tillsynsmyndighet, inte något du själv behöver bedöma.
Försäljning utanför EU och EES
En annan situation uppstår när kunders data lämnar EU- och EES-området, till exempel för att en leverantör, betalningsleverantör eller hostingleverantör är etablerad utanför Europa. Då handlar det inte längre om skillnader mellan EU-länder inbördes, utan om reglerna för överföring av personuppgifter till ett land utanför området. GDPR tillåter detta under förutsättningar, såsom ett adequacy decision från Europeiska kommissionen för landet i fråga, eller kompletterande avtal såsom standardavtalsklausuler. Detta är en av de punkter där ett databehandlingsavtal med en utländsk part förtjänar särskild uppmärksamhet, och om vilken kunskapsdatabasen per ämne förklarar bakgrunden.
Vad detta betyder för ditt register och dina dokument
För själva behandlingsregistret ändras ingenting när det gäller skyldigheten: du registrerar vilka behandlingar som genomförs, för vilket ändamål och på vilken rättslig grund, oavsett i vilket land dina kunder befinner sig. Det som är lämpligt att dokumentera är dock om och var data lämnar EU- och EES-området, så att det förblir transparent om en kund, tillsynsmyndighet eller försäkringsgivare frågar. Den som vill få kontroll över detta utan att behöva upprätthålla det manuellt kan låta det ingå i överblicken av var data lagras och hur de är skyddade.
Oavsett om din webbutik precis börjat sälja över gränser eller gjort detta under längre tid handlar det framför allt om att skilja mellan vad GDPR själv reglerar och vad som beror på nationell lagstiftning eller överföringar utanför Europa. Svar på vanliga frågor om detta, inklusive källhänvisningar i den officiella texten, hittar du i samlingen med vanliga frågor.
Vill du se hur detta hänger samman för ditt eget företag utan att själv behöva lägga ned en eftermiddag på det? Med den kostnadsfria snabbkontroll får du en första bedömning och kan sedan själv avgöra om ett affärskonto kan vara värd det för dig.