Συμμόρφωση ΓΚΠΔ και μικρές επιχειρήσεις

Όχι, δεν ισχύει. Ο ΓΚΠΔ ισχύει κάθε φορά που μια επιχείρηση συλλέγει προσωπικά δεδομένα από ένα άτομο που βρίσκεται στην ΕΕ. Αυτό ισχύει είτε είστε μια λειτουργία ενός ατόμου είτε έχετε γραφεία σε έξι ηπείρους.

Ωστόσο, δεν χρειάζεται να διατηρείτε γραπτό αρχείο των δραστηριοτήτων επεξεργασίας δεδομένων σας αν έχετε λιγότερους από 250 υπαλλήλους, εκτός αν:

• Οι δραστηριότητες επεξεργασίας δεδομένων σας θα μπορούσαν να επηρεάσουν τα δικαιώματα και τις ελευθερίες των ατόμων

• Επεξεργάζεστε δεδομένα που καλύπτονται από το άρθρο 9 του ΓΚΠΔ. Πρόκειται για δεδομένα που αποκαλύπτουν τα εξής για ένα άτομο:
  • Φυλή ή εθνικότητα
  • Πολιτικές, θρησκευτικές ή φιλοσοφικές πεποιθήσεις
  • Συνδικαλιστική συμμετοχή
  • Γενετικά ή βιομετρικά δεδομένα, ή δεδομένα σχετικά με την υγεία ή τη σεξουαλικότητα του ατόμου

• Επεξεργάζεστε προσωπικά δεδομένα που καλύπτονται από το άρθρο 10, δηλαδή δεδομένα που σχετίζονται με ποινικά αδικήματα και καταδίκες

• Επεξεργάζεστε προσωπικά δεδομένα σε τακτική βάση

Πολλές μικρές επιχειρήσεις και ατομικές επιχειρήσεις δεν θα εμπίπτουν στις τρεις πρώτες εξαιρέσεις.

Τι γίνεται όμως με την τέταρτη; Η Επιτροπή προστασίας προσωπικών δεδομένων του Βελγίου πρότεινε ότι δεν είναι "τακτική" η επεξεργασία όλων των δεδομένων, παρόλο που μπορεί να το κάνετε καθημερινά. Σύμφωνα με αυτή την ερμηνεία, δεν χρειάζεται να διατηρείτε αρχεία των προσωπικών δεδομένων που χρησιμοποιείτε για την υποβολή παραγγελιών ή την επικοινωνία με πελάτες, για παράδειγμα. Όμως ένα έγγραφο θέσης της Ομάδας Εργασίας του Άρθρου 29 — του προκατόχου του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων — φαίνεται να υποδεικνύει ότι πρέπει να ερμηνεύετε το "τακτική" κυριολεκτικά. Και το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων συμφώνησε. Επειδή η θέση είναι τόσο ασαφής, καλό είναι να τηρείτε αρχεία, ακόμη κι αν πιστεύετε ότι εξαιρείστε. Καλύτερα να προλαμβάνετε παρά να θεραπεύετε.

Ναι. Ο GDPR ισχύει σε εταιρείες στις ΗΠΑ, αν:

• Επιχειρηματικές δραστηριότητες στην ΕΕ

• Δεν δραστηριοποιείστε στην ΕΕ, αλλά συλλέγετε ή παρακολουθείτε προσωπικά δεδομένα που ανήκουν σε άτομα που βρίσκονται φυσικά στην ΕΕ (αυτό περιλαμβάνει άτομα που ταξιδεύουν στην ΕΕ αλλά δεν ζουν συνήθως εκεί). Ίσως το κάνετε αυτό χωρίς να το συνειδητοποιείτε καν. Για παράδειγμα, αν τα cookies της τοποθεσία web σας θα μπορούσαν να χρησιμοποιηθούν για την ταυτοποίηση ενός ατόμου, θεωρούνται δεδομένα προσωπικού χαρακτήρα βάσει του ΓΚΠΔ

Αν θέλετε να συνεχίσετε να δραστηριοποιείστε στην ΕΕ, πρέπει να συμμορφώνεστε με τον ΓΚΠΔ. Διαφορετικά, διακινδυνεύετε να πληρώσετε ένα βαρύ πρόστιμο. Αν δεν δραστηριοποιείστε επιχειρηματικά στην ΕΕ, έχετε δύο επιλογές:

• Συμμορφωθείτε με τον ΓΚΠΔ ούτως ή άλλως

• Περιορίστε την πρόσβαση στην τοποθεσία web σας, ώστε να μην μπορεί να συλλέξει προσωπικά δεδομένα από άτομα που βρίσκονται στην ΕΕ

Όταν τέθηκε για πρώτη φορά σε ισχύ ο ΓΚΠΔ, πολλές τοποθεσίες web των Η.Π.Α. απέκλεισαν τους χρήστες της ΕΕ, ώστε να μην παραβιάσουν τον ΓΚΠΔ. Για παράδειγμα, περισσότερες από 1.1 ειδησεογραφικές τοποθεσίες των Η.Π.Α. δεν ήταν προσβάσιμες στην ΕΕ τον Αύγουστο του 2018. Ορισμένοι εκδότες αποφάσισαν να αποσυρθούν οριστικά από την ΕΕ. Ο εκπρόσωπος της Lee Enterprises, Charles Arms, σχολίασε: "Η κυκλοφορία στο Internet προς τις τοπικές ειδησεογραφικές ιστοσελίδες μας που προέρχεται από την ΕΕ και τον ΕΟΧ είναι de minimis, και πιστεύουμε ότι ο αποκλεισμός αυτής της κυκλοφορίας είναι προς όφελος των πελατών μας στον τομέα των τοπικών μέσων ενημέρωσης". Με αυτόν τον τρόπο, πολλές τοποθεσίες web των Η.Π.Α. έχουν πλέον καταφέρει να επανέλθουν online στην ΕΕ χωρίς κανένα πρόβλημα. Επίσης, η τοποθεσία web της μικρής επιχείρησής σας μπορεί να είναι διαθέσιμη στην ΕΕ χωρίς να αντιμετωπίσετε προβλήματα. Το οποίο μας φέρνει στο επόμενο σημείο.

Η τοποθέτηση της μικρής επιχείρησής σας σε πορεία συμμόρφωσης με τον ΓΚΠΔ δεν είναι τόσο δύσκολη όσο νομίζετε. Ακολουθεί μια λίστα ελέγχου συμμόρφωσης ΓΚΠΔ για να ξεκινήσετε.

1. Ποια προσωπικά δεδομένα συλλέγετε;

Θα πρέπει να γνωρίζετε ποιες προσωπικές πληροφορίες συλλέγετε και αν κάποια από αυτές είναι ευαίσθητες, δηλαδή αν εμπίπτει στις κατηγορίες στα άρθρα 9 και 10 του ΓΚΠΔ. Θα πρέπει επίσης να αναρωτηθείτε:

• Από πού προέρχονται οι πληροφορίες;

• Γιατί τις συλλέγετε;

• Τι κάνετε με αυτές;

Θα πρέπει να μπορείτε να απαντήσετε σε αυτές τις ερωτήσεις, αν σας ζητηθεί.

2. Έχετε συγκατάθεση;

Εκτός αν έχετε νόμιμη βάση για να χρησιμοποιήσετε προσωπικά δεδομένα, τα άτομα πρέπει να δώσουν τη συγκατάθεσή τους. Αυτό πρέπει να είναι:

• Ελεύθερη παροχή

• Συγκεκριμένο

• Ενημερωμένο

• Αδιαμφισβήτητο

Πρέπει να διατηρήσετε ένα γραπτό αρχείο συγκατάθεσης. Πρέπει επίσης να κάνετε την ανάκληση συγκατάθεσης γρήγορη και εύκολη. Το Λογισμικό διαχείρισης σχέσεων πελατών που συμμορφώνεται με τον ΓΚΠΔ μπορεί να βοηθήσει σε αυτό. Συγκεκριμένα, μπορεί να:

• Διατηρεί μια γραπτή εγγραφή των ονομάτων των ατόμων και των προσωπικών δεδομένων που διατηρείτε σε αυτά

• Καταγράφει τη συγκατάθεσή τους, διευκρινίζοντας για ποιο σκοπό έχουν συναινέσει στη χρήση των δεδομένων τους (για παράδειγμα, για να λαμβάνουν το μηνιαίο ενημερωτικό δελτίο σας)

• Παρέχει στα άτομα έναν εύκολο τρόπο ανάκλησης της συγκατάθεσής τους, σε περίπτωση που αλλάξουν γνώμη (για παράδειγμα, μέσω λειτουργιών "κατάργησης εγγραφής" με ένα κλικ)

3. Είναι ασφαλή τα δεδομένα;

Η επιχείρησή σας είναι υπεύθυνη για τα προσωπικά δεδομένα που συλλέγετε. Και κινδυνεύετε να δεχτείτε πρόστιμο αν αυτά πέσουν σε λάθος χέρια. Επομένως:

• Χρήση λογισμικού κρυπτογράφησης κατά την αποθήκευση ή τη μετάδοση προσωπικών δεδομένων online

• Προστατεύστε το δίκτυό σας. Οι απρόσεκτοι υπάλληλοι αποτελούν τη βασικότερη αιτία παραβιάσεων δεδομένων, οπότε μια ισχυρή πολιτική IT είναι απαραίτητη. Θα πρέπει επίσης να επενδύσετε σε λογισμικό ασφαλείας, συμπεριλαμβανομένου ενός τείχους προστασίας

• Δημιουργήστε ειδοποιήσεις για cookie και πολιτικές προστασίας προσωπικών δεδομένων συμβατά με τον ΓΚΠΔ. Αυτά τα παραδείγματα προτύπων cookie και τα παραδείγματα προτύπων πολιτικής προστασίας προσωπικών δεδομένων μπορούν να σας βοηθήσουν. Μπορείτε επίσης να ελέγξετε το Κέντρο αξιοπιστίας της Microsoft για να μάθετε περισσότερα σχετικά με τις βέλτιστες πρακτικές του ΓΚΠΔ

• Ελέγξτε τους προμηθευτές σας για συμμόρφωση με τον ΓΚΠΔ

4. Τι γίνεται αν υπάρξει σοβαρή παραβίαση;

Πρέπει να αναφέρετε σοβαρές παραβιάσεις στον ρυθμιστή εντός 72 ωρών, αλλιώς κινδυνεύετε να δεχτείτε πρόστιμο. Βεβαιωθείτε ότι έχετε σε ισχύ διαδικασίες αναφοράς. Και, το πιο σημαντικό, εκπαιδεύστε τους υπαλλήλους σας στο:

• Να είναι ενήμεροι

• Να κατανοούν τι είναι μια σοβαρή παραβίαση

• Να αναγνωρίζουν τις ενδείξεις κινδύνου

Ποιες ήταν οι επιπτώσεις του ΓΚΠΔ στις μικρές επιχειρήσεις έως τώρα;

Δεν υπάρχει καμία αμφιβολία γι’ αυτό. Η συμμόρφωση με τον ΓΚΠΔ είναι χρονοβόρα και δαπανηρή. Στο διάστημα πριν από τις 25 Μαΐου 2018, οι μικρές επιχειρήσεις στο Ηνωμένο Βασίλειο αφιέρωσαν περίπου 600 ώρες η καθεμία για την προετοιμασία τους για τον ΓΚΠΔ. Και αυτό δεν υπολογίζει το οικονομικό κόστος. Σε παγκόσμιο επίπεδο, οι μικρές και μεσαίες επιχειρήσεις έχουν ξοδέψει 1,3 εκατομμύρια δολάρια ΗΠΑ για τη συμμόρφωση με τον ΓΚΠΔ. Ομοίως, η μη συμμόρφωση μπορεί να έχει μια εντυπωσιακή επίδραση στο καθαρό αποτέλεσμά σας. Στην πρώτη υπόθεση με βάση τον ΓΚΠΔ, ένα γερμανικό κοινωνικό δίκτυο δέχτηκε πρόστιμο 20.000 ευρώ (περίπου 22.600 δολάρια ΗΠΑ) επειδή δεν διατήρησε ασφαλή τα προσωπικά δεδομένα των χρηστών, αφότου ένας εισβολέας έκλεψε 330.000 διευθύνσεις email και κωδικούς πρόσβασης. Ωστόσο, παρόλο που μπορεί να το εκλαμβάνετε ως βάρος, η συμμόρφωση με τον ΓΚΠΔ είχε επίσης θετικές επιπτώσεις στις μικρές επιχειρήσεις. Και δείτε γιατί. Οι καταναλωτές δεν έχουν ποτέ λάβει πιο σοβαρά υπόψη την προστασία των προσωπικών δεδομένων τους. Επίσης, αναμένουν από τις επιχειρήσεις με τις οποίες μοιράζονται τις πληροφορίες τους να νιώθουν το ίδιο. Σε πρόσφατη μελέτη, το 69% των καταναλωτών στις ΗΠΑ είπε μάλιστα ότι θα ήθελε να θεσπιστεί στις ΗΠΑ ένας νόμος παρόμοιος με τον ΓΚΠΔ. Πιο συγκεκριμένα, μελέτη του CMO Council έδειξε ότι τα μέλη που είχαν προετοιμαστεί για τον ΓΚΠΔ είδαν καλύτερη αλληλεπίδραση, μεγαλύτερη αφοσίωση και αυξημένη εμπιστοσύνη από τους καταναλωτές. Είναι σαφές ότι ο ΓΚΠΔ είναι κάτι περισσότερο από μια σειρά κανόνων που πρέπει να ακολουθείτε μόνο και μόνο για να μην πληρώσετε πρόστιμο. Σε κανέναν δεν αρέσει να του παίρνουν τις προσωπικές του πληροφορίες χωρίς τη συγκατάθεσή του. Ή να τις κρατούν κάπου όπου μπορούν να τις βάλουν στο χέρι εγκληματίες. Επομένως, λαμβάνοντας μέτρα για την επίτευξη συμμόρφωσης με τον ΓΚΠΔ, μπορείτε να τοποθετήσετε τη μικρή επιχείρησή σας ως μια επιχείρηση που ενδιαφέρεται πραγματικά για τα ιδιωτικά δεδομένα των πελατών της. Αυτό θα μπορούσε να σας δώσει το πλεονέκτημα έναντι του ανταγωνισμού σας.