Спазването на ОРЗД и малкият бизнес

Не, не са. ОРЗД се прилага винаги, когато бизнес събира лични данни от лице, намиращо се в ЕС. Това важи независимо дали сте едноличен бизнес или имате офиси на шест континента.

Все пак не е нужно да водите писмен запис на дейностите си по обработване на данни, ако иматепо-малко от 250 служители, освен ако:

• Вашите дейности по обработване на данни могат да засегнат правата и свободите на лицата

• Обработвате данни, обхванати от член 9 на ОРЗД. Това са данни, които разкриват следното за дадено лице:
  • Расова или етническа принадлежност
  • Политически, религиозни или философски убеждения
  • Членство в синдикална организация
  • Генетични или биометрични данни, или данни за здравето или сексуалността на лицето

• Обработвате лични данни, обхванати от член 10, тоест данни, свързани с наказателни престъпления и присъди

• Обработвате лични данни редовно

Много малки бизнеси и еднолични търговци няма да попаднат под първите три изключения.

Но какво да кажем за четвъртия? Белгийската комисия за защита на личните даннипосочи, че не всяко обработване на данни е „редовно“, въпреки че може да го правите ежедневно. Според това тълкуване, например, не е нужно да водите записи за личните данни, които използвате за правене на поръчки или за комуникация с клиенти. Но становище наРаботната група по член 29– предшественикът на Европейския съвет по защита на данните – изглежда подсказва, че трябва да тълкувате „редовна“ буквално. И Европейският съвет за защита на данните е съгласен. Тъй като становището е толкова неясно, добра идея е да водите записи, дори ако смятате, че сте освободени. По-добре да сте подготвени, отколкото да съжалявате.

Да. ОРЗД се прилага за компании от САЩ, ако те:

• Водят бизнес в ЕС

• Не извършвате дейност в ЕС, но събирате или проследявате лични данни, принадлежащи на хора, които физически се намират в ЕС (това включва хора, които пътуват в ЕС, но обичайно не живеят там). Възможно е да правите това, без дори да го осъзнавате. Например, акобисквиткитена вашия уебсайт могат да бъдат използвани за идентифициране на дадено лице, те се считат за лични данни съгласно Общия регламент за защита на данните (GDPR)

Ако искате да продължите да извършвате дейност в ЕС, трябва да спазвате ОРЗД. Иначе рискувате да получите сериозна глоба. Ако не извършвате дейност в ЕС, имате две възможности:

• Спазвайте ОРЗД така или иначе

• Ограничете достъпа до уеб сайта си, за да не може той да събира лични данни от хора, намиращи се в ЕС

Когато ОРЗД влезе в сила за първи път, много уеб сайтове в САЩ блокираха потребителите от ЕС, за да не нарушат ОРЗД. Например, към август 2018 г. над1 1 американски новинарски сайтабяха недостъпни в ЕС. Някои издатели решиха да се оттеглят окончателно от ЕС. Чарлз Армс, говорител на Lee Enterprises, коментира: „Интернет трафикът към нашите местни новинарски сайтове, идващ от ЕС и ЕИП, еde minimis, и смятаме, че блокирането на този трафик е в най-добрия интерес на нашите местни медийни клиенти.“ Въпреки това много уеб сайтове в САЩ вече успяха да се върнат онлайн в ЕС без никакви проблеми. И вашият уеб сайт на малък бизнес също може да бъде достъпен в ЕС, без да си навлечете проблеми. Което ни води към следващата точка.

Да поставите малкия си бизнес на пътя към съответствие с ОРЗД не е толкова трудно, колкото може би си мислите. Ето контролен списък за съответствие с ОРЗД, с който да започнете.

1. Какви лични данни събирате?

Трябва да знаете каква лична информация събирате и дали част от нея е чувствителна, тоест дали попада в категориите в членове 9 и 10 от ОРЗД. Трябва да си зададете и следните въпроси:

• Откъде идва информацията?

• Защо я събирате?

• Какво правите с нея?

Трябва да можете да отговорите на тези въпроси, ако бъдете попитани.

2. Имате ли съгласие?

Освен ако нямате законово основание да използвате лични данни, физическите лица трябва да дадат съгласието си. То трябва да бъде:

• Дадено свободно

• Конкретен

• Информирано

• Недвусмислено

Трябва да водите писмен запис на съгласието. Също така трябва да направите оттеглянето на съгласието бързо и лесно. Софтуерът за управление навзаимоотношенията с клиентите, отговарящ на изискванията на ОРЗД, може да бъде от полза в този случай. По-специално, то може да:

• Водете писмен запис на имената на хората и на личните данни, които съхранявате за тях

• Записвайте съгласието им, като посочвате за какво са дали съгласието си да използвате данните им (например за да получават месечния ви бюлетин)

• Осигурете на хората лесен начин да оттеглят съгласието си, ако променят решението си (например чрез скриптове за отписване само с едно щракване)

3. Данните защитени ли са?

Вашият бизнес носи отговорност за личните данни, които събирате. И рискувате да получите глоба, ако те попаднат в неподходящи ръце. И така:

• Използвайте софтуер за шифроване, когато съхранявате или предавате лични данни онлайн

• Осигурете своята мрежа. Невнимателните служители саводещата причина за нарушения на сигурността на данните, така че стабилна ИТ политика е задължителна. Също така трябва да инвестирате в софтуер за защита, включително защитна стена

• Създайте известия за бисквитки и правила за поверителност, съвместими с ОРЗД. Тезипримери за шаблони на файлове за бисквиткии примери за шаблони на политики за поверителност могат да ви бъдат от полза. Можете също така да посетитеЦентъра за доверие на Microsoft, за да научите повече за най-добрите практики във връзка с ОРЗД

• Проверете дали вашите доставчици спазватизискванията на ОРЗД

4. Ами ако има сериозен пробив?

Трябва да докладвате сериозните нарушения на регулатора в рамките на 72 часа или рискувате да бъдете глобени. Уверете се, че имате въведени процедури за докладване. И, което е по-важно, обучете служителите си да:

• Да бъдат наясно

• Да разбират какво е сериозен пробив

• Да разпознават предупредителните знаци

Какво е въздействието на ОРЗД върху малките фирми досега?

Няма две мнения по въпроса. Съответствието с ОРЗД отнема време и е скъпо. В навечерието на 25 май 2018 г. малките фирми във Великобритания са изразходвали около 600 часа всяка, за да се подготвят за ОРЗД. И това дори не включва финансовата цена. В световен мащаб малките и средните предприятия са изразходвали 1,3 милиона щатски долара за съответствие с ОРЗД. Също така неспазването може да окаже смразяващ ефект върху крайната ви печалба. Впървото дело по ОРЗДв историята германска социална мрежа беше глобена с 20 000 евро (приблизително 22 600 щатски долара) за това, че не е опазила личните данни на потребителите след като хакер открадна 330 000 имейл адреса и пароли. Но макар да може да ви изкушава да го възприемете като тежест, съответствието с ОРЗД е оказало и положително въздействие върху малките фирми. И ето защо. Потребителите никога не са приемали поверителността си толкова сериозно. И очакват бизнесът, с който споделят информацията си, да мисли по същия начин. В скорошно проучване69% от потребителите в САЩдори заявиха, че биха искали да видят приет закон, подобен на ОРЗД, в САЩ. И по същество проучване наСъвета на CMOустанови, че членовете, които са били подготвени за ОРЗД, са постигнали по-добра ангажираност, по-голяма лоялност и повишено доверие от страна на потребителите. Очевидно ОРЗД е повече от куп правила, които трябва да спазвате, за да не бъдете глобени. На никого не му е приятно личната му информация да бъде взета без съгласието му. Или да бъде съхранявана някъде, където престъпниците могат да се доберат до нея. Така че, като предприемете стъпки за постигане на съответствие с ОРЗД, можете да позиционирате малкия си бизнес като такъв, който наистина се грижи за личните данни на клиентите си. И това би могло да ви даде предимство пред конкурентите ви.