Dodržování nařízení GDPR a malé firmy

Ne, nevztahuje se. GDPR se vztahuje na každou firmu, která shromažďuje osobní údaje od osoby nacházející se v EU. Platí to bez ohledu na to, jestli podnikáte sami, nebo máte kanceláře na šesti kontinentech.

Pokud ale máte méně než 250 zaměstnanců, nemusíte vést písemné záznamy o činnostech zpracování údajů, s výjimkou těchto případů:

• Vaše činnosti zpracování údajů by mohly ovlivnit práva a svobody jednotlivců

• Zpracováváte údaje, na které se vztahuje článek 9 GDPR. Jde o údaje, které odhalují:
  • Rasový nebo etnický původ osoby
  • Politické, náboženské nebo filozofické přesvědčení
  • Členství v odborech
  • Genetické nebo biometrické údaje nebo údaje o zdravotním stavu či sexualitě dané osoby

• Zpracováváte osobní údaje podle článku 10, tedy údaje týkající se trestných činů a odsouzení

• Pravidelně zpracováváte osobní údaje

Na mnoho malých firem a živnostníků se první tři výjimky nevztahují.

A co čtvrtá? Belgická komise pro ochranu soukromí uvedla, že ne každé zpracování údajů je „pravidelné“, i když ho můžete provádět každý den. Podle tohoto výkladu například nemusíte vést záznamy o osobních údajích, které používáte k zadávání objednávek nebo komunikaci se zákazníky. Stanovisko pracovní skupiny podle článku 29, předchůdce Evropského sboru pro ochranu osobních údajů, ale zřejmě naznačuje, že slovo „pravidelně“ by se mělo vykládat doslova. A Evropský sbor pro ochranu osobních údajů s tím souhlasil. Protože je situace tak nejasná, je vhodné záznamy vést, i když se domníváte, že se na vás vztahuje výjimka. Opatrnosti není nikdy dost.

Ano. GDPR se vztahuje na americké společnosti, pokud:

• Podnikají v EU

• Nepodnikají v EU, ale shromažďují nebo sledují osobní údaje lidí, kteří se fyzicky nacházejí v EU. To zahrnuje i osoby, které po EU cestují, ale běžně tam nežijí. Možná to děláte, aniž byste si to uvědomovali. Pokud lze například soubory cookie na vašem webu použít k identifikaci konkrétní osoby, podle GDPR se považují za osobní údaje

Pokud chcete dál podnikat v EU, musíte dodržovat GDPR. Jinak vám hrozí vysoká pokuta. Pokud v EU nepodnikáte, máte dvě možnosti:

• Dodržovat GDPR i tak

• Omezit přístup k webu, aby nemohl shromažďovat osobní údaje lidí nacházejících se v EU

Když GDPR poprvé vstoupilo v platnost, mnoho amerických webů zablokovalo uživatele z EU, aby se vyhnulo porušení GDPR. V srpnu 2018 bylo například v EU nedostupných více než 1 1 amerických zpravodajských webů. Někteří vydavatelé se rozhodli z trhu EU stáhnout natrvalo. Mluvčí společnosti Lee Enterprises Charles Arms uvedl: „Internetový provoz na našich místních zpravodajských webech pocházející z EU a EHP je de minimis a domníváme se, že blokování tohoto provozu je v nejlepším zájmu našich místních mediálních klientů.“ Mnoha americkým webům se ale mezitím podařilo znovu bez problémů zpřístupnit svůj obsah v EU. A také web vaší malé firmy může být v EU dostupný bez problémů. Tím se dostáváme k dalšímu bodu.

Připravit malou firmu na dodržování GDPR není tak obtížné, jak se může zdát. Začněte tímto kontrolním seznamem pro dodržování GDPR.

1. Jaké osobní údaje shromažďujete?

Měli byste vědět, jaké osobní informace shromažďujete a jestli jsou některé z nich citlivé, tedy jestli spadají do kategorií uvedených v článcích 9 a 10 GDPR. Položte si také tyto otázky:

• Odkud informace pocházejí?

• Proč je shromažďujete?

• Co s nimi děláte?

Na tyto otázky musíte být schopní odpovědět, pokud se vás na ně někdo zeptá.

2. Máte souhlas?

Pokud nemáte zákonný důvod k používání osobních údajů, musí jednotlivci udělit souhlas. Tento souhlas musí být:

• Dobrovolný

• Konkrétní

• Informovaný

• Jednoznačný

O souhlasu musíte vést písemný záznam. Odvolání souhlasu musí být také rychlé a snadné. Pomoct vám může software pro řízení vztahů se zákazníky, který je v souladu s GDPR. Konkrétně může:

• Vést písemný záznam o jménech lidí a osobních údajích, které o nich uchováváte

• Zaznamenávat jejich souhlas včetně toho, k jakému použití údajů souhlasili, například k odběru měsíčního zpravodaje

• Nabídnout lidem snadný způsob, jak souhlas odvolat, pokud si to rozmyslí, například jedním kliknutím na odkaz pro odhlášení odběru

3. Jsou data v bezpečí?

Vaše firma odpovídá za osobní údaje, které shromažďuje. A pokud se dostanou do nepovolaných rukou, hrozí vám pokuta. Proto:

• Při ukládání nebo přenosu osobních údajů online používejte šifrovací software

• Zabezpečte síť. Neopatrní zaměstnanci jsou hlavní příčinou úniků dat, proto jsou nezbytné důkladné zásady pro IT. Měli byste investovat také do bezpečnostního softwaru včetně brány firewall

• Vytvořte oznámení o souborech cookie a zásady ochrany osobních údajů, které jsou v souladu s GDPR. Pomoct vám můžou tyto příklady šablon souborů cookie a příklady šablon zásad ochrany osobních údajů. Další informace o osvědčených postupech pro GDPR najdete také v Centru zabezpečení Microsoftu

• Zkontrolujte, jestli vaši dodavatelé dodržují GDPR

4. Co když dojde k závažnému narušení?

Závažné narušení musíte do 72 hodin nahlásit dozorovému úřadu, jinak vám hrozí pokuta. Ujistěte se, že máte zavedené postupy pro hlášení incidentů. A hlavně vyškolte zaměstnance, aby:

• Byli obezřetní

• Rozuměli tomu, co je závažné narušení

• Dokázali rozpoznat varovné signály

Jaký dopad mělo GDPR dosud na malé firmy?

Je to jednoznačné. Dodržování GDPR je časově náročné a drahé. Před 25. květnem 2018 strávily malé firmy ve Spojeném království přípravou na GDPR v průměru přibližně 600 hodin. A to nepočítáme finanční náklady. Malé a střední firmy po celém světě vynaložily na dodržování GDPR 1,3 milionu USD. Nedodržování předpisů může mít stejně tak velmi citelný dopad na hospodářský výsledek. V historicky prvním případu podle GDPR dostala německá sociální síť pokutu 20 000 EUR (přibližně 22 600 USD) za to, že nezajistila bezpečnost osobních údajů uživatelů poté, co hacker odcizil 330 000 e-mailových adres a hesel. I když můžete GDPR vnímat jako zátěž, jeho dodržování má na malé firmy také pozitivní dopad. Tady je důvod. Spotřebitelé nikdy nebrali své soukromí vážněji. A očekávají, že firmy, se kterými své informace sdílejí, k nim budou přistupovat stejně. V nedávné studii dokonce 69 % amerických spotřebitelů uvedlo, že by si přáli přijetí zákona podobného GDPR také v USA. Studie CMO Council navíc zjistila, že členové, kteří byli na GDPR připravení, zaznamenali vyšší zapojení, větší loajalitu a rostoucí důvěru spotřebitelů. GDPR je tedy zjevně víc než jen soubor pravidel, která musíte dodržovat, abyste se vyhnuli pokutě. Nikdo nechce, aby někdo získal jeho soukromé informace bez souhlasu. Ani aby byly uložené někde, kde se k nim můžou dostat zločinci. Když podniknete kroky k dodržování GDPR, můžete svou malou firmu představit jako firmu, které skutečně záleží na soukromých údajích zákazníků. A díky tomu můžete získat náskok před konkurencí.