Usklađenost s GDPR-om i mala poduzeća

Ne, nisu. GDPR se primjenjuje svaki put kada poduzeće prikuplja osobne podatke od osobe koja se nalazi u EU-u. To vrijedi bez obzira na to vodite li posao sami ili imate urede na šest kontinenata.

Međutim, ne morate voditi pisanu evidenciju svojih aktivnosti obrade podataka ako imate manje od 250 zaposlenika, osim ako:

• Vaše aktivnosti obrade podataka mogu utjecati na prava i slobode pojedinaca

• Obrađujete podatke obuhvaćene člankom 9. GDPR-a. To su podaci koji otkrivaju sljedeće o pojedincu:
  • Rasno ili etničko podrijetlo
  • Politička, vjerska ili filozofska uvjerenja
  • Članstvo u sindikatu
  • Genetske ili biometrijske podatke ili podatke o zdravlju ili spolnosti osobe

• Obrađujete osobne podatke obuhvaćene člankom 10., odnosno podatke koji se odnose na kaznena djela i osude

• Osobne podatke obrađujete redovito

Mnoge male tvrtke i samozaposlene osobe neće potpasti pod prva tri izuzeća.

Ali što je s četvrtim? Belgijsko povjerenstvo za zaštitu privatnosti navelo je da se svaka obrada podataka ne smatra „uobičajenom”, čak i ako je provodite svakodnevno. Prema tom tumačenju, ne morate voditi evidenciju o osobnim podacima koje, primjerice, upotrebljavate za naručivanje ili komunikaciju s klijentima. No, u dokumentu sa stajalištem Radne skupine iz članka 29 – prethodnice Europskog odbora za zaštitu podataka – čini se da se sugerira da „uobičajeno” trebate tumačiti doslovno. I Europski odbor za zaštitu podataka složio se s tim. Budući da je stajalište vrlo nejasno, dobro je voditi evidenciju, čak i ako mislite da ste izuzeti. Bolje spriječiti nego liječiti.

Da. GDPR se primjenjuje na američke tvrtke ako:

• Posluju u EU-u

• Ne posluju u EU-u, ali prikupljaju ili prate osobne podatke koji pripadaju osobama koje se fizički nalaze u EU-u (to uključuje osobe koje putuju po EU-u, ali ondje inače ne žive). To možda činite, a da toga niste ni svjesni. Na primjer, ako se kolačići na vašem web-mjestu mogu koristiti za identifikaciju pojedinca, smatraju se osobnim podacima prema GDPR-u

Ako želite nastaviti poslovati u EU-u, morate biti usklađeni s GDPR-om. Ili riskirate da dobijete visoku novčanu kaznu. Ako ne poslujete u EU-u, imate dvije mogućnosti:

• U svakom slučaju, uskladite se s GDPR-om

• Ograničite pristup svojem web-mjestu kako ne bi moglo prikupljati osobne podatke od osoba koje se nalaze u EU-u

Kada je GDPR prvi put stupio na snagu, mnoga su američka web-mjesta onemogućila pristup korisnicima iz EU-a kako ne bi prekršile GDPR. Primjerice, više od 1000 američkih web-mjesta s vijestima bilo je nedostupno u EU-u u kolovozu 2018. Neki su izdavači odlučili trajno se povući iz EU-a. Glasnogovornik tvrtke Lee Enterprises Charles Arms komentirao je: „Internetski promet na našim lokalnim web-stranicama s vijestima koji potječe iz EU-a i EGP-a zanemariv je i smatramo da je blokiranje tog prometa u najboljem interesu naših klijenata iz lokalnih medija.” Unatoč tome, mnoga su američka web-mjesta sada ponovno dostupna u EU-u bez ikakvih problema. I web-mjesto vaše male tvrtke može biti dostupno u EU-u bez da upadnete u probleme. Što nas dovodi do sljedeće točke.

Dovođenje vaše male tvrtke na put usklađenosti s GDPR-om nije tako teško kao što možda mislite. Evo kontrolnog popisa za usklađenost s GDPR-om da biste započeli.

1. Koje osobne podatke prikupljate?

Trebali biste znati koje osobne podatke prikupljate i jesu li neki od njih osjetljivi, odnosno spadaju li u kategorije iz članaka 9. i 10. GDPR-a. Također se trebate zapitati:

• Odakle informacije dolaze?

• Zašto ih prikupljate?

• Što s njima radite?

Morat ćete moći odgovoriti na ta pitanja ako vas se to zatraži.

2. Imate li privolu?

Ako nemate pravnu osnovu za korištenje osobnih podataka, pojedinci moraju dati svoj pristanak. Ona mora biti:

• Dobrovoljno dana

• Specifična

• Informirana

• Nedvosmislena

Morate voditi pisanu evidenciju o privoli. Također morate brzo i jednostavno omogućiti povlačenje pristanka. Softver za upravljanje odnosima s klijentima usklađen s GDPR-om može pomoći u tome. Posebno, treba da:

• Vodite pisanu evidenciju o imenima ljudi i osobnim podacima koje imate o njima

• Zabilježite njihov pristanak, uz navođenje za što su pristali da koristite njihove podatke (na primjer, za primanje vašeg mjesečnog biltena)

• Omogućite ljudima jednostavan način povlačenja pristanka ako promijene mišljenje (na primjer putem skripti za odjavu jednim klikom)

3. Jesu li podaci sigurni?

Vaša je tvrtka odgovorna za osobne podatke koje prikupljate. A riskirate kaznu ako dospiju u pogrešne ruke. Onda:

• Koristite softver za šifriranje pri pohrani ili prijenosu osobnih podataka putem interneta

• Osigurajte svoju mrežu. Nemarni zaposlenici su najčešći uzrok povreda podataka, stoga je čvrsta IT politika nužna. Također biste trebali uložiti u sigurnosni softver, uključujući vatrozid

• Izradite obavijesti o kolačićima i pravilima privatnosti usklađene s GDPR-om. Ovi primjeri predložaka za kolačiće i primjeri predložaka pravilnika o privatnosti mogu pomoći. Možete pogledati i Microsoftov centar za pouzdanost da biste saznali više o najboljim praksama za GDPR

• Provjerite usklađenost svojih dobavljača s GDPR-om

4. Što ako dođe do ozbiljnog proboja sigurnosti?

Ozbiljne povrede morate prijaviti nadležnom tijelu u roku od 72 sata ili riskirate novčanu kaznu. Provjerite imate li uspostavljene postupke za izvješćivanje. A što je još važnije, obučite zaposlenike da:

• Budu svjesni

• Razumiju što je ozbiljan proboj sigurnosti

• Prepoznaju znakove upozorenja

Kakav je do sada bio učinak GDPR-a na male tvrtke?

Oko toga nema dvojbe. Usklađenost s GDPR-om dugotrajna je i skupa. Uoči 25. svibnja 2018. mala poduzeća u Ujedinjenoj Kraljevini potrošila su oko 600 sati svako na pripremu za GDPR. A to je bez uračunatog financijskog troška. Globalno su male i srednje tvrtke potrošile 1,3 milijuna dolara na usklađivanje s GDPR-om. Isto tako, neusklađenost može imati razoran učinak na vašu dobit. U prvom slučaju prema GDPR-u njemačka društvena mreža kažnjena je s 20.000 eura (otprilike 22.600 američkih dolara) jer nije zaštitila osobne podatke korisnika nakon što je haker ukrao 330.000 adresa e-pošte i lozinki. No iako biste to mogli doživjeti kao teret, usklađenost s GDPR-om imala je i pozitivan učinak na male tvrtke. Evo zašto. Potrošači nikada nisu ozbiljnije shvaćali svoju privatnost. A od tvrtki s kojima dijele informacije očekuju da se osjećaju isto. U nedavnom istraživanju čak je 69% američkih potrošača izjavilo da bi željeli da se u SAD-u donese zakon sličan GDPR-u. Štoviše, istraživanje koje je proveo CMO Council pokazalo je da su članovi koji su bili spremni za GDPR ostvarili bolji angažman, veću vjernost i veće povjerenje potrošača. Jasno je da je GDPR više od hrpe pravila kojih se morate pridržavati kako ne biste bili kažnjeni. Nitko ne voli kada mu se privatne informacije uzmu bez pristanka. Ili kada se čuvaju negdje gdje bi ih kriminalci mogli dohvatiti. Stoga, poduzimanjem koraka prema usklađenosti s GDPR-om možete svoje malo poduzeće pozicionirati kao ono koje istinski brine o privatnim podacima svojih korisnika. I to bi vam moglo dati prednost nad konkurencijom.