Én forordning, ikke identisk gennemførelse
GDPR'en er en europæisk forordning, og det betyder, at teksten gælder direkte i hver EU-land, uden at et land først skal omsætte den til egen lovgivning. Det gør GDPR'en anderledes end for eksempel tilgængelighedsreglerne, som er oversat til national lovgivning i hvert land. Alligevel er gennemførelsen ikke identisk overalt: forordningen giver medlemsstaterne mulighed for at træffe egne beslutninger på et begrænset antal områder, og den tilsynsmyndighed, du henvender dig til, afhænger af, hvor din virksomhed er etableret.
For en virksomhed, der sælger fra Danmark til kunder i flere EU-lande, betyder det især, at du ikke automatisk kan gå ud fra én fortolkning, der er den samme overalt. Hvilke dele der præcist adskiller sig for din virksomhed, og hvad det konkret betyder, er op til en jurist eller den relevante tilsynsmyndighed at vurdere. Denne artikel beskriver, hvor denne type forskelle normalt ligger, ikke hvordan de udspiller sig i din situation.
Hvor lande har egen handlefrihed
GDPR'en indeholder en række emner, hvor medlemsstaterne selv må træffe valg inden for en ramme, som forordningen fastsætter. Et kendt eksempel er den alder, fra hvilken børn selv må give samtykke til brug af onlinetjenester; denne alder er ikke helt ens i alle lande. Også den måde, hvorpå personoplysninger om medarbejdere må behandles, kan være udfyldt lidt forskelligt fra land til land. Dette er eksempler på den type forskel, der kan opstå, ikke en komplet liste og ikke en fremstilling af den aktuelle status for et specifikt land: det finder du i den nationale implementeringslovgivning eller hos tilsynsmyndigheden i det pågældende land.
Hovedsædet og den ansvarlige tilsynsmyndighed
Hvis din virksomhed er aktiv i flere EU-lande, spiller det også en rolle, hvilken tilsynsmyndighed der faktisk er kontaktpunkt. GDPR'en har en mekanisme, hvor virksomheder med etablering i flere medlemsstater normalt har at gøre med én ansvarlig tilsynsmyndighed, knyttet til hovedsædet. Det ændrer ikke på, at tilsynsmyndigheder i andre lande kan blive involveret ved en klage eller tvist. Hvordan dette fungerer præcist for din virksomhed, afhænger af, hvor du er etableret, og hvordan dine aktiviteter i andre lande er organiseret; det er et spørgsmål til Datatilsynet eller en jurist, ikke noget denne artikel udtaler sig om.
Sælger du til EU uden etablering i EU?
Et andet scenarie er, at din virksomhed er etableret uden for EU, men alligevel tilbyder produkter eller tjenester til mennesker i EU. I så fald kan der gælde en forpligtelse til at udpege en repræsentant inden for EU. Her gælder det samme: om denne forpligtelse gælder for din virksomhed, og hvilke præcise betingelser den skal opfylde, er noget, du skal drøfte med en jurist eller tilsynsmyndigheden.
Hvad det betyder for din administration
Uanset hvordan de materielle regler præcist udfolder sig, medfører salg i flere EU-lande ofte samme praktiske byrde: du skal holde dit behandlingsregister, din privatlivserklæring og dine aftaler med databehandlere ajourført, og det ved siden af de øvrige europæiske forpligtelser, som kan påhvile en webshop med egne mærkevarer, som for eksempel produktsikkerhed, emballage og tilgængelighed. se hvilke platforme der findes pr. forpligtelse giver et overblik over, hvor hvilket emne behandles.
En stor del af denne administrative byrde kommer ikke fra reglerne selv, men fra det faktum, at du skal indsende de samme virksomhedsdata og dossier igen og igen, hver gang der kommer et nyt land eller en ny platform til. Hvordan reglia spiller en rolle i det, og især hvad det ikke gør med dine data, er beskrevet på siden om, hvordan reglia fungerer. For spørgsmål om sikkerhed og håndtering af data, der deles mellem platforme, er der et særskilt overblik på siden om sikkerhed og data.
Hvor du udarbejder dette for dit firma
Om og hvordan disse forskelle gælder for dit firma, afhænger af, hvor du er etableret, i hvilke lande du opererer, og hvordan din virksomhedsstruktur er indrettet. Det er et spørgsmål, du bedst stiller til en jurist eller til Datatilsynet, eventuelt i kombination med tilsynsmyndighederne i det andet land. Du finder også svar på mange hyppigt stillede spørgsmål om, hvordan denne type emner hænger sammen med resten af dine compliance-forpligtelser, på siden med hyppigt stillede spørgsmål.
Hvis du gerne vil vide, hvilke platforme der findes for de forskellige europæiske forpligtelser, som dit firma kan komme til at have med at gøre, og hvordan de virker uafhængigt af hinanden og sammen med reglia, er det et godt udgangspunkt for videre udforskning.