תאימות GDPR ועסקים קטנים

לא, הם לא. GDPR חל בכל פעם שעסק אוסף נתונים אישיים מאדם הממוקם באיחוד האירופי. הדבר נכון בין אם אתה מנהל עסק של אדם אחד ובין אם יש לך משרדים בשש יבשות.

עם זאת, אינך נדרש לנהל תיעוד כתוב של פעילויות עיבוד הנתונים שלך אם יש לך פחות מ- 250 עובדים, אלא אם כן:

• פעילויות עיבוד הנתונים שלך עלולות להשפיע על הזכויות והחופש של אנשים

• אתה מעבד נתונים המכוסים על ידי מאמר 9 של GDPR. אלה נתונים שחושפים את הנתונים של אדם:
  • גזע או אתניות
  • דעות פוליטיות, דתיות או פילוסופיות
  • חברות באיגוד מסחרי
  • נתונים רפואיים או ביומטריים, או נתונים על הבריאות או המיניות של האדם

• אתה מעבד מידע אישי הכלול בסעיף 10, כלומר מידע הנוגע לעבירות פליליות ולהרשעות

• אתה מעבד נתונים אישיים באופן קבוע

עסקים קטנים רבים ועוסקים עצמאיים לא ייכללו תחת שלוש ההחרגות הראשונות.

אבל מה לגבי ההחרגה הרביעית? הוועדה הבלגית להגנת הפרטיות ציינה שלא כל עיבוד נתונים נחשב ל"רגיל", גם אם הוא מתבצע על בסיס יומיומי. לפי פירוש זה, אינך צריך לשמור רשומות של נתונים אישיים שבהם אתה משתמש לביצוע הזמנות או לתקשורת עם לקוחות, לדוגמה. עם זאת, נראה כי מסמך עמדה של קבוצת העבודה לפי מאמר 29 - הגוף שקדם ל"מועצה האירופית להגנת מידע" - מציע שיש לפרש את המונח "רגיל" באופן מילולי. וגם מועצת הגנת הנתונים האירופית הסכימה. מאחר שהמיקום כל כך לא ברור, מומלץ לשמור רשומות, גם אם אתה סבור שאתה פטור. עדיף להיזהר מאשר להצטער.

כן. GDPR חל על חברות אמריקאיות אם הן:

• עושות עסקים באיחוד האירופי

• לא מנהלות עסקים באיחוד האירופי, אך אוספות או עוקבות אחר מידע אישי של אנשים הנמצאים פיזית באיחוד האירופי (לרבות אנשים המטיילים באיחוד אך אינם מתגוררים בו דרך קבע). יכול להיות שאתה עושה את זה בלי אפילו לשים לב. לדוגמה, אם ניתן להשתמש בקובצי ה- Cookie של אתר האינטרנט שלך כדי לזהות אדם, הם נחשבים כנתונים אישיים תחת GDPR

אם ברצונך להמשיך לבצע עסקים באיחוד האירופי, עליך לציית ל- GDPR. לחלופין, אתה מסתכן בספיגת קנס כבד. אם אינך מבצע עסקים באיחוד האירופי, יש לך שתי אפשרויות:

• לציית ל- GDPR בכל זאת

• להגביל את הגישה לאתר האינטרנט שלך, כך שהוא אינו יכול לאסוף נתונים אישיים מאנשים הממוקמים באיחוד האירופי

כאשר תקנות ה-GDPR נכנסו לתוקף לראשונה, אתרי אינטרנט רבים בארה"ב חסמו את הגישה למשתמשים מהאיחוד האירופי כדי להימנע מהפרת התקנות. לדוגמה, נכון לאוגוסט 2018, למעלה מ-1,1 אתרי חדשות אמריקאיים לא היו נגישים באיחוד האירופי. כמה מפרסמים החליטו לפרוש מהאיחוד האירופי לצמיתות. צ'ארלס ארמס, דובר חברת Lee Enterprises, מסר: "היקף התעבורה באתרי החדשות המקומיים שלנו שמקורה באיחוד האירופי ובאזור הכלכלי האירופי (EEA) הוא זניח, ואנו סבורים כי חסימת תעבורה זו משרתת את האינטרסים של לקוחות המדיה המקומיים שלנו." עם זאת, אתרי אינטרנט רבים בארה"ב כוללים כעת אפשרות לחזור למצב מקוון באיחוד האירופי ללא שום בעיות. וגם אתר העסק הקטן שלך יכול להיות זמין באיחוד האירופי בלי להסתבך. מה שמביא אותנו לנקודה הבאה.

העלאת העסק הקטן שלך על המסלול לעמידה בתקנות ה-GDPR אינה קשה כפי שאתה עשוי לחשוב. להלן רשימת פעולות לביצוע של תאימות GDPR כדי להתחיל.

1. אילו נתונים אישיים אתה אוסף?

עליך לדעת איזה מידע אישי אתה אוסף ואם כל המידע רגיש, כלומר אם הוא נמצא תחת הקטגוריות במאמרים 9 ו- 10 של GDPR. עליך גם לשאול את עצמך:

• מהיכן מגיע המידע?

• מדוע אתה אוסף אותו?

• מה אתה עושה עם זה?

תצטרך להיות מסוגל לענות על שאלות אלה אם ישאלו אותך.

2. האם יש לך הסכמה?

אלא אם יש לך עילה חוקית להשתמש בנתונים אישיים, אנשים חייבים לתת את הסכמתם. ערך זה חייב להיות:

• להינתן מרצון

• ספציפי

• מודע

• חד-משמעי

עליך לתעד את ההסכמה בכתב. כמו כן, צריך לוודא שביטול ההסכמה יהיה מהיר וקל. תוכנה לניהול קשרי לקוחות (CRM) התואמת ל- GDPR יכולה לסייע בכך. באופן ספציפי, היא יכולה:

• לרשום בכתב את שמות האנשים ואת הנתונים האישיים שאתה מחזיק בהם

• לתעד את ההסכמה שלהם, ולציין למה הם הסכימו שתשתמש בנתונים שלהם (למשל, כדי לקבל את הידיעון החודשי שלך)

• לתת לאנשים דרך קלה לבטל את הסכמתם אם הם ישנו את דעתם (לדוגמה, באמצעות קובצי Script של "ביטול מינוי" בלחיצה אחת)

3. האם הנתונים בטוחים?

העסק שלך אחראי על הנתונים האישיים שאתה אוסף. ואתה מסתכן בקנס אם זה יגיע לידיים הלא נכונות. אז:

• השתמש בתוכנה להצפנה בעת אחסון או שידור של נתונים אישיים באופן מקוון

• אבטח את הרשת שלך. עובדים רשלניים הם הגורם העיקרי לדליפות מידע, ולכן מדיניות IT איתנה היא בגדר חובה. עליך להשקיע גם בתוכנה לאבטחה, כולל חומת אש

• צור הודעות מדיניות פרטיות וקובצי Cookie תואמי GDPR. דוגמאות אלו לתבניות של קובצי Cookie וגם מדיניות פרטיות עשויות לסייע. באפשרותך גם לבחון את מרכז יחסי האמון של Microsoft לקבלת מידע נוסף אודות שיטות עבודה מומלצות של GDPR

• בדוק אם הספקים שלך מספקיםתאימות ל- GDPR

4. מה אם יש הפרה חמורה?

צריך לדווח על פרצות חמורות לרגולטור בתוך 72 שעות, אחרת אתה עלול להיקנס. לוודא שיש לכם נוהלי דיווח מסודרים. וחשוב יותר, לתרגל את העובדים שלך:

• לשים לב

• להבין מהי הפרה חמורה

• לזהות דגלים אדומים

מה הייתה ההשפעה של GDPR על עסקים קטנים עד עכשיו?

אין שתי דרכים לעשות זאת. התאימות של GDPR צורכת זמן ויקרה. לקראת ה- 25 במאי 2018, עסקים קטנים בבריטניה הקדישו כ- 600 שעות כל אחד להיערכות ל-GDPR. זה לא כולל את העלות הפיננסית. עסקים גלובליים, קטנים ובינוניים השקיעו $1.3 מיליון על תאימות ל- GDPR. ובאותה מידה, אי-עמידה יכולה לפגוע קשות בשורה התחתונה שלך. במקרה הראשון אי-פעם שבו הוחל GDPR, רשת חברתית גרמנית נקנסה ב- €20,000 (כ- $22,600) בגין אי-שמירה על אבטחת המידע האישי של המשתמשים, לאחר שפורץ גנב 330,000 כתובות דואר אלקטרוני וסיסמאות. אך בעוד שייתכן שתתפתה לראות בכך נטל, לעמידה בהוראות ה- GDPR הייתה גם השפעה חיובית על עסקים קטנים. והנה הסיבה לכך. הצרכנים מעולם לא לקחו את הפרטיות שלהם ברצינות רבה יותר. והם מצפים שהעסקים שעמם הם חולקים את המידע שלהם ירגישו באותו האופן. במחקר שבוצע לאחרונה, 69% מהצרכנים בארה"ב אפילו אמרו שהם רוצים לראות חוק דומה ל- GDPR נחקק בארה"ב. לעומת זאת, מחקר של מועצת מנהל ה- CMO מצא כי חברים שהיו מוכנים ל- GDPR ראו מעורבות טובה יותר, יותר נאמנות והגדילו את האמון מהצרכנים. ברור ש- GDPR הוא הרבה מעבר לאוסף כללים שיש לפעול לפיהם כדי להימנע מקנסות. אף אחד לא אוהב שהמידע הפרטי שלו נלקח ללא הסכמתו. או שהא מוחזק במקום שבו פושעים יכולים לשים עליו את ידם. לכן, על-ידי נקיטת צעדים להשגת תאימות ל- GDPR, תוכל למקם את העסק הקטן שלך כעסק שבאמת אכפת לו מהנתונים הפרטיים של הלקוחות שלו. וזה עשוי להעניק לך יתרון על פני המתחרים שלך.