Elke lidstaat heeft ten minste één toezichthoudende autoriteit (artikel 51, lid 1), elk bevoegd op het grondgebied van haar eigen staat (artikel 55, lid 1), en een softwarebedrijf met klanten in de hele Unie zou in beginsel aan alle verantwoording verschuldigd kunnen zijn. Het antwoord van de verordening daarop is de leidende toezichthoudende autoriteit: voor grensoverschrijdende verwerking is de autoriteit van de hoofdvestiging of de enige vestiging van het bedrijf leidend, en zij is zijn enige aanspreekpunt (artikel 56, leden 1 en 6). Dit artikel leest de vier artikelen die bepalen welke autoriteit dat is, en het register dat StandardOS van de autoriteiten zelf bijhoudt, nu op de meldtermijnpagina en op elke lidstaatpagina.

Grensoverschrijdende verwerking: wanneer de vraag zich stelt

De regel van de leidende autoriteit geldt voor grensoverschrijdende verwerking, die artikel 4, punt 23, op twee manieren definieert: verwerking in het kader van de activiteiten van vestigingen in meer dan één lidstaat, of verwerking in het kader van één vestiging die betrokkenen in meer dan één lidstaat wezenlijk beïnvloedt of waarschijnlijk wezenlijk zal beïnvloeden. Een SaaS-bedrijf met één kantoor en klanten in zes landen valt onder de tweede variant: één vestiging, getroffen mensen in meerdere staten. Een bedrijf met een verkoopkantoor in een tweede staat valt onder de eerste. Hoe dan ook is er grensoverschrijdende verwerking en geldt artikel 56. Een bedrijf dat alleen de gegevens van zijn eigen personeel in één staat verwerkt, heeft er geen, en de autoriteit van zijn eigen staat is bevoegd op grond van artikel 55, lid 1, zonder enige vraag naar een leidende autoriteit.

De hoofdvestiging: waar de besluiten worden genomen

Artikel 4, punt 16, definieert de hoofdvestiging verschillend voor de twee rollen. Voor een verwerkingsverantwoordelijke met vestigingen in meer dan één staat is het de plaats van zijn centrale administratie in de Unie, tenzij de besluiten over de doeleinden en middelen van de verwerking in een andere vestiging worden genomen die de bevoegdheid heeft ze te laten uitvoeren, in welk geval die vestiging de hoofdvestiging is. Voor een verwerker is het de plaats van zijn centrale administratie in de Unie of, als hij die niet heeft, de vestiging waar de belangrijkste verwerkingsactiviteiten plaatsvinden. Overweging 36 voegt de toets toe: de daadwerkelijke en feitelijke uitoefening van beheersactiviteiten die de belangrijkste besluiten over doeleinden en middelen bepalen, via vaste regelingen; de aanwezigheid van servers of technische middelen in een staat maakt die niet tot hoofdvestiging. Een softwarebedrijf met zijn zetel in één staat, zijn datacentrum in een tweede en zijn ontwikkelaars in een derde heeft zijn hoofdvestiging dus waar zijn bestuur beslist wat wordt verwerkt en waarom, en de autoriteiten van de tweede en de derde staat zijn betrokken toezichthoudende autoriteiten (artikel 4, punt 22), niet de leidende. Waar een bedrijf zowel verwerkingsverantwoordelijke als verwerker is, laat overweging 36 de leiding bij de autoriteit van de staat waar de verwerkingsverantwoordelijke zijn hoofdvestiging heeft.

De leidende autoriteit, en de drie manieren waarop een andere een geval houdt

Artikel 56, lid 1, maakt de autoriteit van de hoofdvestiging tot de leidende toezichthoudende autoriteit voor de grensoverschrijdende verwerking, in de samenwerkingsprocedure van artikel 60 met elke betrokken autoriteit. Artikel 56, lid 6, maakt haar tot het enige aanspreekpunt van de verwerkingsverantwoordelijke of verwerker voor die verwerking: één autoriteit om te melden, één die antwoordt, één die het besluit opstelt. Artikel 56, lid 2, is de afwijking: elke autoriteit is bevoegd een bij haar ingediende klacht of een mogelijke inbreuk te behandelen als het onderwerp alleen een vestiging in haar staat betreft of alleen betrokkenen in haar staat wezenlijk beïnvloedt, het lokale geval van overweging 127, waarvan het voorbeeld de verwerking van werknemersgegevens in de arbeidscontext van één staat is. Zij stelt de leidende autoriteit onverwijld in kennis, en die heeft drie weken om te beslissen of zij het geval overneemt (artikel 56, lid 3); doet zij dat, dan kan de lokale autoriteit een ontwerpbesluit voorleggen waarmee de leidende zoveel mogelijk rekening moet houden (56, lid 4), en doet zij dat niet, dan behandelt de lokale autoriteit het volgens de artikelen 61 en 62 (56, lid 5). Artikel 55, lid 2, haalt overheidsinstanties en organen die handelen op grond van artikel 6, lid 1, punt c) of e), helemaal uit het mechanisme: voor hen is de autoriteit van de betrokken staat bevoegd en geldt artikel 56 niet.

Geen vestiging in de Unie: geen leidende autoriteit

Een bedrijf buiten de Unie dat goederen of diensten aanbiedt aan mensen daar, of hun gedrag volgt, valt onder de verordening door artikel 3, lid 2, en moet op grond van artikel 27, lid 1, een vertegenwoordiger in de Unie aanwijzen, in een staat waar de mensen zijn van wie het de gegevens verwerkt (27, lid 3). De vertegenwoordiger schept geen hoofdvestiging, en het éénloketmechanisme van artikel 56 geldt niet: overweging 122 maakt elke autoriteit bevoegd voor verwerking door een niet in de Unie gevestigde verwerkingsverantwoordelijke of verwerker wanneer die zich richt op betrokkenen die op haar grondgebied wonen. Zo'n bedrijf kan dus aan elke autoriteit verantwoording verschuldigd zijn wier inwoners het benadert, en zijn inbreukmelding gaat naar elk van hen. De gratis bepaling zegt welke van de verplichtingen, de vertegenwoordiger en de andere, voor een bepaald bedrijf gelden.

Waar de inbreukmelding heen gaat

Artikel 33, lid 1, verplicht de verwerkingsverantwoordelijke de inbreuk in verband met persoonsgegevens te melden aan de overeenkomstig artikel 55 bevoegde toezichthoudende autoriteit, binnen 72 uur nadat hij er kennis van heeft genomen. Bij grensoverschrijdende verwerking is dat de leidende autoriteit van artikel 56; bij een bedrijf in één staat zijn eigen autoriteit; bij een bedrijf zonder vestiging in de Unie de autoriteit van elke staat waarvan inwoners zijn getroffen. Het register dat StandardOS bijhoudt, is de ledenlijst van het Comité zelf: 27 autoriteiten voor de 27 lidstaten, en de autoriteiten van IJsland, Liechtenstein en Noorwegen, leden voor AVG-zaken zonder stemrecht, 30 regels, elk met de naam die het Comité vermeldt en de website die het als eerste vermeldt, gelezen op 12 september 2026. Het Comité merkt op dat de bevoegdheid in twee staten, Oostenrijk en Duitsland, over meerdere autoriteiten is verdeeld, en verwijst naar de lijst die de federale commissaris voor de Länder bijhoudt; een in Duitsland gevestigd bedrijf zoekt daar zijn autoriteit per Land op. Kies de staat van de hoofdvestiging op de meldtermijnpagina: de lezing noemt de autoriteit met haar adres, en de volgens artikel 33, lid 3, geschreven melding draagt haar onder een eigen kop.

Wat ermee te doen

Het verwerkingsregister vraagt al waar het bedrijf gevestigd is; voeg er één regel aan toe die de hoofdvestiging en de reden noemt, de plaats van de centrale administratie of de vestiging die de besluiten neemt, en de leidende autoriteit die daaruit volgt. Die regel is wat de verwerkersvoorwaarden die een klant stuurt zullen vragen, aan wie de effectbeoordeling op grond van artikel 36 is gericht wanneer raadpleging nodig is, en wie de inbreukprocedure als ontvanger noemt voordat iemand onder de termijn staat. StandardOS schrijft haar uit de staat in het register en opent de termijn van 72 uur met de autoriteit al genoemd.