Дали ГДПР важи за македонски компании кои извезуваат во ЕУ?

Текстилна фабрика во Штип со години работи по договор за кроење и шиење (CMT) за германски и италијански модни брендови. Секој месец, преку заеднички онлајн портал, разменува спецификации за нарачки и контакт-податоци на вработени од продажните тимови на клиентите. Пред неколку недели, правниот тим на германскиот партнер испратил стандарден договор за обработка на податоци и барал потврда дека фабриката е усогласена со ГДПР. Одговорниот менаџер бил изненаден — компанијата веќе го применува Законот за заштита на личните податоци (ЗЗЛП) од 2021 година, има регистар на активности на обработка и обучен персонал. Прашањето „зошто ни треба и ГДПР, кога веќе имаме сопствен закон?“ е сосема разбирливо. Одговорот на него, сепак, не е ниту чисто да, ниту чисто не.

ЗЗЛП е солидна основа — но не е ГДПР

Законот за заштита на личните податоци (Службен весник бр. 42/2020), целосно применлив од август 2021 година, е моделиран според Општата регулатива за заштита на податоците на ЕУ (ГДПР) и е дел од процесот на усогласување на Северна Македонија на патот кон членство во ЕУ. Тој воведува начела слични на ГДПР — правно основание за обработка, минимизирање на податоци, регистар на активности на обработка, известување за прекршување на безбедноста на податоците, права на субјектите на податоци — и е надзиран од Агенцијата за заштита на личните податоци (АЗЛП). Но ЗЗЛП, како национален закон, го уредува просторот во кој важи македонската јурисдикција: обработка на податоци на жители на Северна Македонија и обработка што фактички се врши на територијата на земјата. Тој не е, и не може да биде, замена за ГДПР во моментот кога компанијата фактички дејствува на пазарот на ЕУ.

Тестот од член 3(2) на ГДПР: кога домашниот закон не е доволен

ГДПР содржи сопствена одредба за екстратериторијална примена, независна од тоа каде е регистрирана компанијата или кој домашен закон веќе го применува. Член 3, став 2 предвидува дека регулативата важи за секоја компанија надвор од ЕУ што им нуди стоки или услуги на лица во ЕУ, или го следи нивното однесување — без разлика дали компанијата воопшто има деловно присуство во некоја земја-членка. За македонска компанија тоа значи дека самиот факт дека веќе има изградена ЗЗЛП програма дома не ја исклучува примената на ГДПР за конкретните активности насочени кон ЕУ. Најчесто станува збор за две паралелни изложености, не за избор меѓу нив.

• Онлајн продавница што испорачува производи до купувачи во Германија, Франција или било која земја-членка на ЕУ, дури и ако седиштето и складот се во Скопје.
• Извозна компанија за облека или прехранбени производи (на пример, од Штип или Струмица) што склучува договор со малопродажен ланец во ЕУ и во тој процес обработува лични податоци на вработени и контакт-лица на клиентот.
• ИТ или аутсорсинг компанија со клиенти во ЕУ чиј софтвер или веб-страница собира податоци за однесувањето на крајните корисници преку колачиња (cookies) или аналитика.
• Маркетинг-активности директно насочени кон купувачи во ЕУ — на пример, верзија на веб-страница на германски или француски јазик, со цени искажани во евра и достава до земји-членки.

Дали ви треба претставник во ЕУ?

Кога член 3(2) се активира, а компанијата нема деловно седиште во ЕУ, член 27 од ГДПР бара определување писмен претставник во една од земјите-членки во кои се наоѓаат засегнатите лица. Претставникот е контакт-точка за надзорните органи и за субјектите на податоци — не е замена за самата усогласеност, туку дополнителна, засебна обврска. Постојат тесно дефинирани исклучоци, но тие ретко важат за компанија со редовна, а не повремена деловна активност насочена кон ЕУ.

Две одделни изложености на казни

Казните по ЗЗЛП и казните по ГДПР не се исти постапки и не се исклучуваат меѓусебно. ГДПР предвидува глоби до 20 милиони евра или 4% од вкупниот годишен светски промет на компанијата, во зависност од тоа кој износ е повисок — а оваа надлежност ја применуваат надзорните органи во ЕУ, не АЗЛП. АЗЛП останува надлежен орган за усогласеноста со ЗЗЛП во домашни рамки, но нема мандат да го „покрие“ или да го замени надзорот на ЕУ над активностите што се фактички насочени кон пазарот на Унијата.

Што да проверите сега

• Направете список на секоја активност во која компанијата обработува лични податоци на лица во ЕУ — клиенти, вработени на партнери, посетители на веб-страница.
• За секоја активност проверете дали таа претставува нудење стоки или услуги на лица во ЕУ, или следење на нивното однесување.
• Ако член 3(2) се применува, утврдете дали ви треба претставник во ЕУ по член 27 и во која земја-членка треба да биде назначен.
• Одвојте го регистарот на активности на обработка според ЗЗЛП од оној потребен за ГДПР-релевантните активности — истиот документ ретко е доволен за двете рамки без прилагодување.
• Проверете дали договорите со клиенти и добавувачи во ЕУ веќе содржат стандардни договорни клаузули или друга основа за пренос на податоци, каде што е применливо.

Информациите погоре се од општ карактер и не претставуваат правен совет за конкретната состојба на вашата компанија. Точната примена на ГДПР зависи од видот на активноста, категориите на податоци и начинот на кој се одвива соработката со партнерите во ЕУ — детали што ниту еден општ текст не може целосно да ги опфати. Komplya јасно разграничува кои содржини се правно прегледани и кои остануваат работна верзија, за да знаете со колкава сигурност можете да се потпрете на нив.

Најбрзиот начин да добиете конкретен, а не општ одговор е да ги поминете низ структуриран преглед активностите на компанијата поврзани со ЕУ. Пополнете го краткиот прашалник за применливост на Komplya и добијте јасна слика за тоа дали и каде ГДПР се применува на вашата компанија, покрај веќе постојната ЗЗЛП програма.