GDPR-yhteensopivuus ja pienyritys

Ei, eivät ole. GDPR:ää sovelletaan aina, kun yritys kerää henkilökohtaisia tietoja EU:ssa olevalta henkilöltä. Tämä pätee huolimatta siitä, oletko yksinyrittäjä vai onko sinulla toimistoja kuudella mantereella.

Sinun ei kuitenkaan tarvitse pitää kirjaa tietojenkäsittelytoimistasi, jos sinulla on alle 250 työntekijää, paitsi seuraavissa tilanteissa:

• Tietojenkäsittelytoimesi voivat vaikuttaa yksilöiden oikeuksiin ja vapauksiin.

• Käsittelet GDPR:n 9 artiklan piiriin kuuluvaa tietoa. Tämä on tietoa, joka paljastaa yksilön:
  • rodun tai etnisen alkuperän
  • poliittiset, uskonnolliset tai filosofiset vakaumukset
  • ammattiliiton jäsenyyden
  • geneettiset tai biometriset tiedot tai tiedot henkilön terveydestä tai seksuaalisuudesta.

• Käsittelet henkilötietoja, joihin 10 artiklaa sovelletaan, eli rikoksiin ja tuomioihin liittyviä tietoja.

• Käsittelet henkilötietoja säännöllisesti.

Monet pienyritykset ja yksinyrittäjät eivät kuulu kolmen ensimmäisen poikkeuksen piiriin.

Mutta entä neljäs kohta? Belgian tietosuojaneuvosto on ehdottanut, että kaikki tietojenkäsittely ei ole "säännöllistä", vaikka sitä tehtäisi päivittäin. Tämän tulkinnan mukaan sinun ei tarvitse pitää kirjaa henkilökohtaisista tiedoista, joita käytät esimerkiksi tilausten tekemiseen tai asiakkaiden kanssa viestimiseen. Mutta 29 artiklan työryhmän – Euroopan tietosuojaneuvoston edeltäjän – kannanotto näyttää viittaavan siihen, että "säännöllinen" pitäisi tulkita kirjaimellisesti. Euroopan tietosuojaneuvosto on samaa mieltä. Koska tilanne on epäselvä, on hyvä pitää kirjaa, vaikka ajattelisit olevasi vapautettu vaatimuksesta. Parempi katsoa kuin katua.

Kyllä. GDPR koskee yhdysvaltalaisia yrityksiä seuraavissa tilanteissa:

• Ne harjoittavat liiketoimintaa EU:ssa.

• Ne eivät harjoita liiketoimintaa EU:ssa, mutta keräävät tai seuraavat fyysisesti EU:ssa oleville ihmisille kuuluvia henkilökohtaisia tietoja. Tämä koskee myös ihmisiä, jotka matkustavat EU:ssa mutta eivät asu siellä. Tätä saattaa tehdä huomaamattaan. Jos esimerkiksi sivustosi evästeitä voidaan käyttää henkilön tunnistamiseen, ne lasketaan GDPR:n alaisiksi henkilökohtaisiksi tiedoiksi.

Jos haluat jatkaa liiketoimintaa EU:ssa, sinun on noudatettava GDPR:ää. Muuten saatat saada suuren sakon. Jos et harjoita liiketoimintaa EU:ssa, sinulla on kaksi vaihtoehtoa:

• noudata joka tapauksessa GDPR:ää

• rajoita pääsyä sivustollesi, jotta se ei voi kerätä henkilökohtaisia tietoja EU:ssa olevilta ihmisiltä.

Kun GDPR tuli ensimmäisen kerran voimaan, monet yhdysvaltalaiset sivustot estivät EU:n käyttäjät, jotta ne eivät rikkoisi GDPR:ää. Esimerkiksi yli 1 1 yhdysvaltalaista uutissivustoa ei ollut käytettävissä EU:ssa elokuussa 2018. Jotkin julkaisijat ovat päättäneet vetäytyä EU:sta pysyvästi. Lee Enterprisesin tiedottaja Charles Arms kommentoi: "EU:sta ja ETA:sta peräisin oleva liikenne paikallisilla uutissivustoillamme on de minimis. Uskomme, että tämän liikenteen estäminen on paikallisten media-asiakkaidemme edun mukaista." Monet yhdysvaltalaiset sivustot ovat kuitenkin taas online-tilassa EU:ssa ilman ongelmia. Myös pienyrityksesi sivusto voi olla käytettävissä EU:ssa joutumatta vaikeuksiin. Tästä pääsemmekin seuraavaan kohtaan.

Pienyrityksen saattaminen GDPR-yhteensopivaksi ei ole niin vaikeaa kuin ehkä luulet. Tässä on GDPR-yhteensopivuuden tarkistuslista, jolla pääset alkuun.

1. Mitä henkilökohtaisia tietoja keräät?

Sinun tulisi tietää, mitä henkilötietoja keräät ja ovatko jotkin tiedoista arkaluonteisia, eli kuuluvatko ne GDPR:n artiklojen 9 ja 10 piiriin. Sinun kannattaa myös kysyä itseltäsi:

• Mistä tiedot tulevat?

• Miksi keräät niitä?

• Mitä teet niillä?

Sinun pitää pystyä vastaamaan kysyttäessä näihin kysymyksiin.

2. Onko sinulla suostumus?

Ellei sinulla ole laillista perustetta käyttää henkilökohtaisia tietoja, henkilöiden on annettava suostumuksensa. Sen on oltava:

• vapaaehtoisesti annettu

• tarkka

• tietoon perustuva

• yksiselitteinen.

Sinun on pidettävä kirjaa suostumuksesta. Sinun on myös tehtävä suostumuksen peruuttamisesta nopeaa ja helppoa. GDPR-yhteensopivat asiakkuudenhallintaohjelmistot voivat auttaa tässä. Ohjelmisto voi erityisesti:

• pitää kirjaa ihmisten nimistä ja heistä hallussasi olevista henkilökohtaisista tiedoista

• kirjata heidän suostumuksensa ja määrittää, mihin he ovat antaneet suostumuksensa tietojensa käytössä, esimerkiksi kuukausittaisen uutiskirjeen vastaanottamiseen

• tarjota ihmisille helpon tavan peruuttaa suostumuksensa, jos he muuttavat mieltään, esimerkiksi yhdellä napsautuksella toimivien Peruuta tilaus -komentosarjojen avulla.

3. Ovatko tiedot turvassa?

Yrityksesi on vastuussa keräämistään henkilökohtaisista tiedoista. Voit saada sakot, jos tiedot päätyvät vääriin käsiin. Toimi siis näin:

• Käytä salausohjelmistoa, kun tallennat tai siirrät henkilökohtaisia tietoja verkossa.

• Suojaa verkko. Huolimattomat työntekijät ovat yleisin tietomurtojen syy, joten toimiva IT-käytäntö on välttämätön. Sinun kannattaa myös panostaa tietoturvaohjelmistoihin, kuten palomuuriin.

• Luo GDPR:n mukaiset eväste- ja tietosuojailmoitukset. Nämä evästemallin esimerkit ja tietosuojakäytäntömallin esimerkit voivat olla hyödyllisiä. Voit myös tutustua Microsoftin luottamuskeskukseen saadaksesi lisätietoja GDPR:n parhaista käytännöistä.

• Tarkista toimittajien GDPR-yhteensopivuus.

4. Entä jos tapahtuu vakava tietomurto?

Sinun on ilmoitettava vakavista tietomurroista valvontaviranomaiselle 72 tunnin kuluessa tai voit saada sakon. Varmista, että ilmoitusmenettelyt ovat käytössä. Mikä tärkeintä, kouluta työntekijäsi:

• olemaan valppaina

• ymmärtämään, mitä vakava tietomurto tarkoittaa

• tunnistamaan varoitusmerkit.

Mikä on ollut GDPR:n vaikutus pienyrityksiin tähän mennessä?

Tähän on vain yksi vastaus. GDPR-yhteensopivuus vie aikaa ja on kallista. Ennen 25. toukokuuta 2018 Yhdistyneen kuningaskunnan pienyritykset käyttivät noin 600 tuntia valmistautuessaan GDPR:ään. Eikä siinä ole vielä mukana taloudelliset kustannukset. Maailmanlaajuisesti pienet ja keskisuuret yritykset ovat käyttäneet GDPR-yhteensopivuuteen 1,3 miljoonaa dollaria. Vaatimusten noudattamatta jättäminen voi myös vaikuttaa hyvin negatiivisesti yrityksen tulokseen. Ensimmäisessä GDPR-tapauksessa saksalainen yhteisöpalvelu sai 20 000 euron sakot (noin 22 600 dollaria), koska se ei pitänyt käyttäjien henkilökohtaisia tietoja turvassa sen jälkeen, kun hakkeri varasti 330 000 sähköpostiosoitetta ja salasanaa. Vaikka sitä on helppo pitää rasitteena, GDPR-yhteensopivuus on vaikuttanut pienyrityksiin myös myönteisesti. Siihen on selkeä syy. Kuluttajat eivät ole koskaan suhtautuneet yksityisyyteensä näin vakavasti. He odottavat, että yritykset, joiden kanssa he jakavat tietojaan, suhtautuvat asiaan samalla tavalla. Viimeaikaisessa tutkimuksessa 69 % yhdysvaltalaisista kuluttajista sanoi, että he haluaisivat saada Yhdysvaltoihin GDPR:n kaltaisen lain. CMO Councilin tutkimus puolestaan osoitti, että GDPR:ään valmistautuneet jäsenet ovat saaneet kuluttajilta parempaa sitoutumista, enemmän uskollisuutta ja kasvanutta luottamusta. On selvää, että GDPR on enemmän kuin joukko sääntöjä, joita sinun on noudatettava, jotta et saa sakkoja. Kukaan ei pidä siitä, että hänen yksityiset tietonsa viedään ilman suostumusta. Tai että niitä säilytetään paikassa, josta rikolliset voivat päästä niihin käsiksi. Kun ryhdyt toimiin GDPR:n vaatimusten täyttämiseksi, voit asemoida pienyrityksesi sellaiseksi, joka todella välittää asiakkaidensa yksityisistä tiedoista. Tämä voi antaa sinulle etua kilpailijoihin nähden.