Isikuandmete kaitse üldmääruse järgimine ja väikeettevõtted

Ei, ei ole. GDPR-i kohaldatakse alati, kui ettevõte kogub EL-is asuvalt isikult isikuandmeid. See kehtib olenemata sellest, kas olete ühe inimese ettevõte või omate kontoreid kuuel mandril.

Sellest hoolimata ei pea te pidama kirjalikku arvestust oma andmetöötlustoimingute kohta, kui teil on vähem kui 250 töötajat, välja arvatud juhul, kui:

• Teie andmetöötlustoimingud võivad mõjutada üksikisikute õigusi ja vabadusi

• Töötlete GDPR-i artikliga 9 hõlmatud andmeid. Need on andmed, mis kajastavad üksikkasutaja:
  • Rassilist või etnilist päritolu
  • Poliitilised, usulised või filosoofilised veendumused
  • Ametiühingusse kuulumine
  • Geneetilised või biomeetrilised andmed või andmed isiku tervisliku seisundi või seksuaalelu kohta

• Töötlete artikliga 10 hõlmatud isikuandmeid ehk andmeid süüdimõistvate kohtuotsuste ja süütegude kohta

• Töötlete isikuandmeid korrapäraselt

Paljud väikeettevõtted ja füüsilisest isikust ettevõtjad ei kuulu esimese kolme erandi alla.

Aga kuidas on lood neljandaga? Belgia andmekaitsekomisjon on esitanud soovitatavad kaalutlused, et mitte igasugune andmetöötlus ei ole „korrapärane“, kuigi võite seda teha iga päev. Selle tõlgenduse kohaselt ei pea te pidama arvestust isikuandmete kohta, mida kasutate näiteks tellimuste esitamiseks või klientidega suhtlemiseks. Kuid artikli 29 töörühma osapoole – Euroopa Andmekaitsenõukogu eelkäija – positsioonidokument näib viitavat sellele, et sõna „korrapärane“ tuleks tõlgendada sõna-sõnalt. Ja Euroopa Andmekaitsenõukogu on sellega nõustunud. Kuna see positsioon on nii ebaselge, on mõistlik arvestust pidada ka siis, kui arvate end olevat sellest vabastatud. Parem karta kui hiljem vabandust paluda.

Jah. GDPR-i rakendatakse USA ettevõtete korral, kui nad:

• tegutsevad EL-is;

• ei tegutse EL-is, kuid koguvad või jälgivad füüsiliselt EL-is asuvate inimeste isikuandmeid (see hõlmab inimesi, kes reisivad EL-is, kuid tavaliselt seal ei ela). Võite seda teha isegi ilma sellest aru saamata. Näiteks kui teie veebisaidi küpsiseid saab kasutada üksikkasutaja tuvastamiseks, lähevad need GDPR-i alusel arvesse isikuandmetena

Kui soovite EL-is äritegevust jätkata, peate järgima GDPR-i nõudeid. Vastasel juhul riskite kopsaka trahvi saamisega. Kui te ei tegutse EL-is, on teil kaks suvandit:

• Järgida GDPR-i nõudeid sellest hoolimata

• Piirata juurdepääsu oma veebisaidile, et see ei saaks koguda EL-is asuvate inimeste isikuandmeid

Kui GDPR esmakordselt jõustus, blokeerisid paljud USA veebisaidid EL-i kasutajad, et mitte GDPR-i nõudeid rikkuda. Näiteks 2018. aasta augusti seisuga polnud EL-is kättesaadavad üle 1000 USA uudistesaidi. Mõned väljaandjad on otsustanud EL-ist lõplikult lahkuda. Lee Enterprisesi pressiesindaja Charles Arms kommenteeris: „Interneti-liiklus meie kohalikele uudistesaitidele, mis pärineb EL-ist ja EMP-st, on tühine ning usume, et selle liikluse blokeerimine on meie kohalike meediaklientide huvides.“ Samas on paljud USA veebisaidid nüüd saanud EL-is uuesti probleemideta võrgus kättesaadavaks. Ka teie väikeettevõtte veebisait võib olla EL-is saadaval ilma probleemidesse sattumata. Mis viibki meid järgmise punktini.

Väikeettevõtte viimine vastavusse GDPR-i nõuetega pole nii keeruline, kui võite arvata. Siin on alustamiseks GDPR-i nõuetele vastavuse kontroll-loend.

1. Milliseid isikuandmeid te kogute?

Peaksite teadma, milliseid isikuandmeid te kogute ja kas mõni neist on delikaatne ehk kas need kuuluvad GDPR-i artiklite 9 ja 10 kategooriatesse. Samuti peaksite endalt küsima:

• Kust see teave pärineb?

• Miks te seda kogute?

• Mida te sellega teete?

Peate suutma neile küsimustele vastata, kui seda teilt küsitakse.

2. Kas teil on nõusolek?

Kui teil pole isikuandmete kasutamiseks seaduslikku alust, peavad üksikisikud andma oma nõusoleku. See peab olema:

• Vabatahtlikult antud

• Konkreetne

• Teadlik

• Ühemõtteline

Peate pidama nõusoleku kohta kirjalikku arvestust. Samuti peate tegema nõusoleku tagasivõtmise kiireks ja lihtsaks. Siin võib aidata GDPR-iga kooskõlas olev kliendisuhete halduse tarkvara. Eelkõige saab see teha järgmist:

• Pidada kirjalikku arvestust inimeste nimede ja nende kohta säilitatavate isikuandmete üle

• Salvestada nende nõusoleku, täpsustades, milleks nad on lubanud oma andmeid kasutada (näiteks teie igakuise teabelehe saamiseks)

• Pakkuda inimestele lihtsat viisi oma nõusoleku tagasivõtmiseks, kui nad peaksid meelt muutma (näiteks ühe klõpsuga „tühista tellimus“ skriptide kaudu)

3. Kas andmed on turvalised?

Teie ettevõte vastutab kogutavate isikuandmete eest. Ja te riskite trahviga, kui need satuvad valedesse kätesse. Seega:

• Kasutage isikuandmete võrgus talletamisel või edastamisel krüptimistarkvara

• Muutke oma võrk turvaliseks. Hooletud töötajad on andmeturbemurrete peamine põhjus, mistõttu on kindel IT-eeskiri kohustuslik. Samuti peaksite investeerima turbetarkvarasse, sealhulgas tulemüüri

• Looge GDPR-iga kooskõlas olevad küpsiste ja privaatsuspoliitika teatised. Abiks võivad olla need küpsiste malli näited ja privaatsuspoliitika malli näited. Samuti saate uurida Microsofti usalduskeskust, kust leiate lisateavet GDPR-i parimate tavade kohta

• Kontrollige oma tarnijate vastavust GDPR-i nõuetele

4. Mis saab siis, kui leiab aset tõsine turbemurre?

Tõsistest turbemurretest tuleb reguleerivale asutusele teatada 72 tunni jooksul, vastasel juhul riskite trahviga. Veenduge, et teil oleksid kehtestatud teatamisprotseduurid. Ja mis veelgi olulisem, koolitage oma töötajaid tegema järgmist:

• Olema teadlikud

• Mõistma, mis on tõsine turbemurre

• Tundma ära ohumärke

Milline on olnud GDPR-i mõju väikeettevõtetele seni?

Selles pole kahtlustki. GDPR-i nõuete täitmine on aeganõudev ja kallis. 2018. aasta 25. maile eelnenud perioodil kulutasid Ühendkuningriigi väikeettevõtted GDPR-iks valmistumisele igaüks umbes 600 tundi. Ja seda ilma rahalisi kulusid arvestamata. Ülemaailmselt on väikesed ja keskmise suurusega ettevõtted kulutanud GDPR-i nõuete järgimisele 1,3 miljonit dollarit. Samamoodi võib nõuete eiramine teie lõpptulemust valusalt tabada. Kõigi aegade esimeses GDPR-i kohtuasjas määrati Saksa sotsiaalvõrgustikule 20 000 euro (umbes 22 600 dollari) suurune trahv kasutajate isikuandmete kaitsmise tõrke eest pärast seda, kui häkker varastas 330 000 meiliaadressi ja parooli. Kuigi teil võib tekkida kiusatus pidada seda koormaks, on GDPR-i nõuete järgimisel olnud väikeettevõtetele ka positiivne mõju. Ja siin on põhjus. Tarbijad pole kunagi varem oma privaatsusse tõsisemalt suhtunud. Ja nad eeldavad, et ettevõtted, kellega nad oma teavet jagavad, suhtuvad sellesse samamoodi. Ühes hiljutises uuringus ütlesid 69% USA tarbijatest isegi seda, et nad sooviksid näha USA-s GDPR-iga sarnase seaduse vastuvõtmist. Veelgi olulisem on see, et organisatsiooni CMO Council uuringust ilmnes, et GDPR-iks valmistunud liikmed on kogenud tarbijate paremat kaasatust, suuremat lojaalsust ja suurenenud usaldust. On selge, et GDPR on enamat kui lihtsalt reeglite kogum, mida peate trahvide vältimiseks järgima. Kellelegi ei meeldi, kui tema isiklikke andmeid võetakse ilma tema nõusolekuta. Või kui neid hoitakse kuskil, kus kurjategijad saavad neile ligi. Seega saate GDPR-i nõuete täitmise etappe läbides viia oma väikeettevõtte positsiooni, kus see hoolib tõeliselt oma klientide privaatsetest andmetest. Ja see võib anda teile eelise oma konkurentide ees.