Eén verordening, geen identieke uitvoering
De AVG is een Europese verordening, en dat betekent dat de tekst in elk EU-land rechtstreeks geldt, zonder dat een land die eerst in eigen wetgeving moet omzetten. Dat maakt de AVG anders dan bijvoorbeeld de toegankelijkheidsregels, die per land in nationale wetgeving zijn vertaald. Toch is de uitvoering niet overal identiek: de verordening laat op een beperkt aantal onderdelen ruimte aan lidstaten om zelf invulling te geven, en de toezichthouder bij wie u terechtkomt hangt af van waar uw bedrijf is gevestigd.
Voor een bedrijf dat vanuit Nederland aan klanten in meerdere EU-landen verkoopt, betekent dit vooral dat u niet automatisch kunt uitgaan van één uitleg die overal hetzelfde is. Welke onderdelen voor uw bedrijf precies verschillen en wat dat concreet betekent, is aan een jurist of de bevoegde toezichthouder om te beoordelen. Dit artikel beschrijft waar dat soort verschillen doorgaans zit, niet hoe ze voor uw situatie uitpakken.
Waar landen zelf ruimte hebben
De AVG bevat een aantal onderwerpen waarop lidstaten zelf keuzes mogen maken binnen een door de verordening gestelde marge. Een bekend voorbeeld is de leeftijd waarop kinderen zelf toestemming mogen geven voor het gebruik van onlinediensten; die leeftijd ligt niet in elk land precies gelijk. Ook de manier waarop persoonsgegevens van werknemers verwerkt mogen worden, kan per land net anders zijn ingevuld. Dit zijn voorbeelden van het type verschil dat kan optreden, geen volledige lijst en geen weergave van de actuele stand voor een specifiek land: die vindt u in de nationale uitvoeringswetgeving of bij de toezichthouder van het land in kwestie.
De hoofdvestiging en de leidende toezichthouder
Als uw bedrijf in meerdere EU-landen actief is, speelt ook de vraag welke toezichthouder feitelijk aanspreekpunt is. De AVG kent een mechanisme waarbij bedrijven met vestigingen in meerdere lidstaten doorgaans te maken hebben met één leidende toezichthouder, gekoppeld aan de plaats van de hoofdvestiging. Dat neemt niet weg dat toezichthouders in andere landen bij een klacht of geschil betrokken kunnen raken. Hoe dit voor uw bedrijf precies werkt, hangt af van waar u gevestigd bent en hoe uw activiteiten in andere landen zijn ingericht; dat is een vraag voor de Autoriteit Persoonsgegevens of een jurist, niet iets waarover dit artikel een uitspraak doet.
Verkoopt u aan de EU zonder vestiging in de EU?
Een ander scenario is dat uw bedrijf buiten de EU is gevestigd, maar wel producten of diensten aanbiedt aan mensen in de EU. In dat geval kan er een verplichting gelden om een vertegenwoordiger binnen de EU aan te wijzen. Ook hier geldt: of die verplichting voor uw bedrijf van toepassing is en aan welke voorwaarden die precies moet voldoen, is iets om met een jurist of de toezichthouder te bepalen.
Wat dit voor uw administratie betekent
Onafhankelijk van hoe de inhoudelijke regels precies uitpakken, levert verkoop in meerdere EU-landen vaak wel dezelfde praktische last op: u moet uw verwerkingsregister, uw privacyverklaring en uw afspraken met verwerkers up-to-date houden, en dat naast de andere Europese verplichtingen die op een webshop met eigen-merkproducten kunnen rusten, zoals productveiligheid, verpakkingen en toegankelijkheid. zien welke platforms er per verplichting bestaan geeft een overzicht van waar welk onderwerp wordt behandeld.
Een groot deel van die administratieve last komt niet van de regels zelf, maar van het feit dat u dezelfde bedrijfsgegevens en dossiers telkens opnieuw moet aanleveren zodra er een nieuw land of platform bijkomt. Hoe reglia daarin een rol speelt, en vooral wat het niet doet met uw gegevens, staat beschreven op de pagina over hoe reglia werkt. Voor vragen over beveiliging en het beheer van gegevens die tussen platformen worden gedeeld, is er een apart overzicht op de pagina over beveiliging en gegevens.
Waar u dit voor uw bedrijf uitzoekt
Of en hoe deze verschillen voor uw bedrijf gelden, hangt af van waar u gevestigd bent, in welke landen u actief bent en hoe uw bedrijfsstructuur is opgezet. Dat is een vraag die u het best voorlegt aan een jurist of aan de Autoriteit Persoonsgegevens, eventueel in combinatie met de toezichthouder van het andere land. Veel gestelde vragen over hoe dit soort onderwerpen samenhangt met de rest van uw compliance-verplichtingen, vindt u ook terug op de pagina met veelgestelde vragen.
Als u wilt weten welke platformen er zijn voor de verschillende Europese verplichtingen waarmee uw bedrijf te maken kan krijgen, en hoe die los van elkaar en samen met reglia werken, is dat een goed startpunt om verder te kijken.