En förordning, ingen identisk tillämpning
GDPR är en europeisk förordning, och det betyder att texten gäller direkt i varje EU-land utan att ett land behöver omvandla den till egen lagstiftning först. Det skiljer GDPR från till exempel tillgänglighetsreglerna, som har översatts till nationell lagstiftning i varje land. Ändå är tillämpningen inte identisk överallt: förordningen ger medlemsstaterna utrymme att fatta egna beslut på ett begränsat antal områden, och vilken tillsynsmyndighet ni kontaktar beror på var ert företag är etablerat.
För ett företag som från Nederland säljer till kunder i flera EU-länder innebär detta främst att ni inte automatiskt kan utgå från en tolkning som är densamma överallt. Vilka områden som skiljer sig exakt för ert företag och vad det konkret betyder är något som en jurist eller den behörig tillsynsmyndigheten måste bedöma. Den här artikeln beskriver var den sortens skillnader vanligtvis finns, inte hur de påverkar er situation.
Där länder har eget utrymme
GDPR innehåller ett antal områden där medlemsstaterna får göra egna val inom en marginal som förordningen fastställer. Ett välkänt exempel är åldern då barn själva får ge sitt medgivande för användning av onlinetjänster; den åldern är inte exakt densamma i varje land. Också hur personuppgifter för anställda får behandlas kan variera något från land till land. Det här är exempel på den sortens skillnader som kan uppstå, inte en fullständig lista och inte en beskrivning av den aktuella situationen för ett specifikt land: det hittar ni i den nationella genomförandeblagstiftningen eller hos tillsynsmyndigheten i landet i fråga.
Huvudkontoret och den ledande tillsynsmyndigheten
Om ert företag är verksamt i flera EU-länder spelar även frågan om vilken tillsynsmyndighet som är den faktiska kontaktpunkten en roll. GDPR innehåller en mekanisme enligt vilken företag med etableringar i flera medlemsstater vanligtvis har att göra med en ledande tillsynsmyndighet, kopplad till huvudkontorsets plats. Det förändrar inte det faktum att tillsynsmyndigheter i andra länder kan bli inblandade vid ett klagomål eller en tvist. Hur det fungerar för ert företag beror på var ni är etablerade och hur er verksamhet i andra länder är organiserad; det är en fråga för Myndigheten för dataskydd eller en jurist, inte något som den här artikeln tar ställning till.
Säljer ni till EU utan etablering i EU?
Ett annat scenario är att ert företag är etablerat utanför EU, men ändå erbjuder produkter eller tjänster till människor i EU. I så fall kan det gälla en skyldighet att utse en representant inom EU. Även här gäller: om den skyldigheten gäller för ert företag och vilka exakta villkor som måste uppfyllas är något att bestämma tillsammans med en jurist eller tillsynsmyndigheten.
Vad det betyder för er administration
Oavsett hur innehållet i reglerna exakt fungerar, medför försäljning i flera EU-länder ofta samma praktiska börda: ni måste hålla er behandlingsregister, er sekretessmeddelande och era avtal med behandlare uppdaterat, och det vid sidan av de andra europeiska skyldigheter som kan vila på en webbutik med egna märkesprodukter, såsom produktsäkerhet, förpackning och tillgänglighet. se vilka plattformar som finns per skyldighet ger en överblick över var varje område behandlas.
En stor del av den administrativa bördan kommer inte från reglerna själva, utan från det faktum att ni måste leverera samma företagsuppgifter och dossier om och om igen varje gång ett nytt land eller en ny plattform tillkommer. Hur reglia spelar en roll där, och framför allt vad det inte gör med era uppgifter, beskrivs på sidan om hur reglia fungerar. Om du har frågor om säkerhet och hantering av data som delas mellan plattformar finns det en separat översikt på sidan om säkerhet och data.
Där du utreder detta för ditt företag
Huruvida och hur dessa skillnader gäller för ditt företag beror på var du är etablerad, i vilka länder du är verksam och hur din företagsstruktur är organiserad. Det är en fråga som du bäst ställer till en jurist eller till Datainspektionen, eventuellt i kombination med tillsynsmyndigheten i det andra landet. Vanliga frågor om hur dessa typer av ämnen hänger samman med resten av dina compliance-skyldigheter hittar du också på sidan med vanliga frågor.
Om du vill veta vilka plattformar som finns för de olika europeiska skyldigheter som ditt företag kan få, och hur de fungerar separat från varandra och tillsammans med reglia, är det en bra utgångspunkt för att titta vidare.