Hver medlemsstat har mindst én tilsynsmyndighed (artikel 51, stk. 1), hver kompetent på sin egen stats område (artikel 55, stk. 1), og en softwarevirksomhed med kunder i hele Unionen kunne i princippet stå til ansvar over for dem alle. Forordningens svar på det er den ledende tilsynsmyndighed: for grænseoverskridende behandling er myndigheden for virksomhedens hovedvirksomhed eller eneste etablering den ledende, og den er virksomhedens eneste kontaktpunkt (artikel 56, stk. 1 og 6). Denne artikel læser de fire artikler, der afgør, hvilken myndighed det er, og det register, StandardOS fører over myndighederne selv, nu på brudfrist-siden og på hver medlemsstatsside.

Grænseoverskridende behandling: hvornår spørgsmålet opstår

Reglen om den ledende myndighed gælder for grænseoverskridende behandling, som artikel 4, nr. 23, definerer på to måder: behandling som led i aktiviteter i etableringer i mere end én medlemsstat, eller behandling som led i aktiviteter i en enkelt etablering, der i væsentlig grad påvirker eller sandsynligvis i væsentlig grad vil påvirke registrerede i mere end én medlemsstat. En SaaS-virksomhed med ét kontor og kunder i seks lande er i den anden variant: én etablering, berørte mennesker i flere stater. En virksomhed med et salgskontor i en anden stat er i den første. I begge tilfælde er der grænseoverskridende behandling, og artikel 56 gælder. En virksomhed, der kun behandler sine egne ansattes oplysninger i én stat, har ingen, og dens egen stats myndighed er kompetent efter artikel 55, stk. 1, helt uden spørgsmålet om en ledende myndighed.

Hovedvirksomheden: hvor afgørelserne træffes

Artikel 4, nr. 16, definerer hovedvirksomheden forskelligt for de to roller. For en dataansvarlig med etableringer i mere end én stat er det stedet for dens hovedsæde i Unionen, medmindre afgørelserne om formålene med og hjælpemidlerne til behandlingen træffes i en anden etablering, der har beføjelse til at få dem gennemført; i så fald er den etablering hovedvirksomheden. For en databehandler er det stedet for dens hovedsæde i Unionen eller, hvis den ikke har et, den etablering, hvor de vigtigste behandlingsaktiviteter finder sted. Betragtning 36 tilføjer kriteriet: den faktiske og reelle udøvelse af ledelsesaktiviteter, der fastlægger de vigtigste afgørelser om formål og hjælpemidler gennem faste ordninger; tilstedeværelsen af servere eller tekniske hjælpemidler i en stat gør den ikke til hovedvirksomhed. En softwarevirksomhed med hovedsæde i én stat, datacenter i en anden og udviklere i en tredje har altså sin hovedvirksomhed der, hvor dens ledelse beslutter, hvad der behandles og hvorfor, og myndighederne i den anden og tredje stat er berørte tilsynsmyndigheder (artikel 4, nr. 22), ikke den ledende. Hvor en virksomhed er både dataansvarlig og databehandler, lader betragtning 36 ledelsen blive hos myndigheden i den stat, hvor den dataansvarlige har sin hovedvirksomhed.

Den ledende myndighed og de tre måder, en anden beholder en sag på

Artikel 56, stk. 1, gør myndigheden for hovedvirksomheden til den ledende tilsynsmyndighed for den grænseoverskridende behandling, efter samarbejdsproceduren i artikel 60 med hver berørt myndighed. Artikel 56, stk. 6, gør den til det eneste kontaktpunkt for den dataansvarlige eller databehandleren for den behandling: én myndighed at anmelde til, én der svarer, én der udarbejder afgørelsen. Artikel 56, stk. 2, er undtagelsen: enhver myndighed er kompetent til at behandle en klage indgivet til den eller en mulig overtrædelse, hvis genstanden kun vedrører en etablering i dens stat eller kun i væsentlig grad påvirker registrerede i dens stat, den lokale sag i betragtning 127, hvis eksempel er behandling af ansattes oplysninger i én stats ansættelsesmæssige sammenhæng. Den underretter straks den ledende myndighed, og denne har tre uger til at afgøre, om den overtager sagen (artikel 56, stk. 3); gør den det, kan den lokale myndighed forelægge et udkast til afgørelse, som den ledende skal tage størst muligt hensyn til (56, stk. 4), og gør den det ikke, behandler den lokale myndighed sagen efter artikel 61 og 62 (56, stk. 5). Artikel 55, stk. 2, tager offentlige myndigheder og organer, der handler efter artikel 6, stk. 1, litra c) eller e), helt ud af mekanismen: for dem er myndigheden i den pågældende stat kompetent, og artikel 56 gælder ikke.

Ingen etablering i Unionen: ingen ledende myndighed

En virksomhed uden for Unionen, der udbyder varer eller tjenester til mennesker i den eller overvåger deres adfærd, er omfattet af forordningen efter artikel 3, stk. 2, og skal efter artikel 27, stk. 1, udpege en repræsentant i Unionen, i en stat, hvor de mennesker, hvis oplysninger den behandler, befinder sig (27, stk. 3). Repræsentanten skaber ingen hovedvirksomhed, og one-stop-shop-mekanismen i artikel 56 gælder ikke: betragtning 122 gør hver myndighed kompetent for behandling foretaget af en dataansvarlig eller databehandler, der ikke er etableret i Unionen, når den er rettet mod registrerede, der er bosiddende på dens område. En sådan virksomhed kan derfor stå til ansvar over for hver myndighed, hvis indbyggere den henvender sig til, og dens anmeldelse af brud går til hver af dem. Den gratis bestemmelse siger, hvilke af forpligtelserne, repræsentanten og de andre, der gælder for en given virksomhed.

Hvor anmeldelsen af brud går hen

Artikel 33, stk. 1, pålægger den dataansvarlige at anmelde bruddet på persondatasikkerheden til den tilsynsmyndighed, der er kompetent i overensstemmelse med artikel 55, inden for 72 timer, efter at den er blevet bekendt med det. Ved grænseoverskridende behandling er det den ledende myndighed efter artikel 56; for en virksomhed i én stat dens egen myndighed; for en virksomhed uden etablering i Unionen myndigheden i hver stat, hvis indbyggere er berørt. Det register, StandardOS fører, er Rådets egen medlemsliste: 27 myndigheder for de 27 medlemsstater og myndighederne i Island, Liechtenstein og Norge, medlemmer i GDPR-spørgsmål uden stemmeret, 30 rækker, hver med det navn, Rådet opfører, og den hjemmeside, det opfører først, læst den 12. september 2026. Rådet bemærker, at kompetencen i to stater, Østrig og Tyskland, er fordelt på flere myndigheder, og henviser til den liste, den tyske forbundskommissær fører over delstaterne; en virksomhed etableret i Tyskland slår sin myndighed op der efter delstat. Vælg hovedvirksomhedens stat på brudfrist-siden: læsningen nævner myndigheden med dens adresse, og den anmeldelse, der skrives efter artikel 33, stk. 3, bærer den under sin egen overskrift.

Hvad man skal gøre med det

Fortegnelsen over behandlingsaktiviteter spørger allerede, hvor virksomheden er etableret; tilføj én linje, der nævner hovedvirksomheden og grunden, stedet for hovedsædet eller den etablering, der træffer afgørelserne, og den ledende myndighed, der følger af det. Den linje er det, de databehandlervilkår, en kunde sender, vil spørge om, den, konsekvensanalysen er rettet til efter artikel 36, når en høring er nødvendig, og den, brudproceduren nævner som modtager, før nogen står under fristen. StandardOS skriver den ud fra staten i fortegnelsen og åbner fristen på 72 timer med myndigheden allerede nævnt.