GDPR-megfelelőség és kisvállalatok

Nem. A GDPR akkor alkalmazandó, amikor egy vállalkozás az EU-ban tartózkodó személytől gyűjt személyes adatokat. Ez akkor is igaz, ha egyszemélyes vállalkozásról van szó, és akkor is, ha hat kontinensen vannak irodái.

Ha 250-nél kevesebb alkalmazottal rendelkezik, akkor nem kell rögzítenie az adatfeldolgozási tevékenységeit, kivéve az alábbiakat:

• Az adatkezelési tevékenységei érinthetik az érintettek jogait és szabadságait

• Ön a GDPR 9. cikke által lefedett adatokat kezel. Ez olyan adat, amely feltárja egy személy:
  • Faji vagy etnikai hovatartozását
  • Politikai, vallási vagy filozófiai meggyőződését
  • Szakszervezeti tagságát
  • Genetikai vagy biometrikus adatait, illetve az érintett egészségi állapotára vagy szexuális életére vonatkozó adatokat

• A 10. cikk hatálya alá tartozó személyes adatokat kezel, vagyis a bűncselekményekkel és büntetőítéletekkel kapcsolatos adatokat

• Rendszeresen kezel személyes adatokat

Sok kisvállalkozás és egyéni vállalkozó nem fog az első három kivétel alá tartozni.

De mi a helyzet a negyedikkel? A belga adatvédelmi bizottság felhívta a figyelmet arra, hogy nem minden adatkezelés minősül „rendszeresnek”, még akkor sem, ha azt naponta végzi. Ezzel az értelmezéssel például nem kell nyilvántartást vezetnie a rendelések feladásához vagy az ügyfelekkel való kommunikációhoz használt személyes adatokról. Az Article 29 Working Party – az Európai Adatvédelmi Testület elődje – állásfoglalása azonban arra utal, hogy a „rendszeres” kifejezést szó szerint kell értelmezni. És az Európai Adatvédelmi Testület is egyetért ezzel. Mivel ez a kérdés nagyon nem egyértelmű, érdemes nyilvántartást vezetnie akkor is, ha úgy gondolja, hogy mentesül. Jobb félni, mint megijedni.

Igen. A GDPR azokra az amerikai vállalatokra vonatkozik, amelyek:

• Üzleti tevékenységet végeznek az EU-ban

• Nem folytatnak üzleti tevékenységet az EU-ban, de olyan személyek személyes adatait gyűjtik vagy követik nyomon, akik fizikailag az EU-ban tartózkodnak (ide tartoznak azok is, akik az EU-ban utaznak, de általában nem ott élnek). Előfordulhat, hogy ezt anélkül hajtja végre, hogy észrevenné. Ha például a webhely cookie-jaival azonosítható egy személy, akkor a GDPR értelmében személyes adatoknak számítanak

Ha továbbra is az EU-ban szeretne üzleti tevékenységet folytatni, meg kell felelnie a GDPR-nak. Különben súlyos bírságot kockáztat. Ha nem folytat üzleti tevékenységet az EU-ban, két lehetősége van:

• Mindenképpen feleljen meg a GDPR-nak

• Korlátozza a hozzáférést a webhelyéhez, hogy ne tudjon személyes adatokat gyűjteni az EU-ban tartózkodó személyektől

Amikor a GDPR először hatályba lépett, sok amerikai webhely letiltotta az EU-s felhasználókat, hogy ne sértsék meg a GDPR-t. Például 2018 augusztusában az EU-ban több mint 1000 amerikai hírportál nem volt elérhető. Egyes kiadók úgy döntöttek, hogy végleg kivonulnak az EU-ból. Charles Arms, a Lee Enterprises szóvivője így nyilatkozott: „Az EU-ból és az EGT-ből származó internetes forgalom a helyi hírportáljainkon elhanyagolható mértékű, és úgy véljük, hogy ennek a forgalomnak a blokkolása a helyi médiaügyfeleink számára a legkedvezőbb megoldás.” Ennek ellenére számos amerikai webhelynek mára már sikerült problémamentesen újra elérhetővé válnia az EU-ban. És a kisvállalkozása webhelye is elérhető lehet az EU-ban anélkül, hogy emiatt bajba kerülne. Ez pedig elvezet a következő ponthoz.

Nem olyan nehéz a kisvállalkozását a GDPR-megfelelőség felé terelni, mint gondolná. Íme egy GDPR-megfelelőségi ellenőrzőlista, amellyel elindulhat.

1. Milyen személyes adatokat gyűjt?

Tudnia kell, milyen személyes adatokat gyűjt, és hogy ezek közül valamelyik bizalmas-e, vagyis hogy a GDPR 9. és 10. cikkében szereplő kategóriák valamelyikébe tartozik-e. Érdemes feltennie magának a kérdést is:

• Honnan származik az információ?

• Miért gyűjti?

• Mit csinál vele?

Ha erre rákérdeznek, tudnia kell válaszolni ezekre a kérdésekre.

2. Van hozzájárulása?

Ha nincs jogalapja a személyes adatok használatára, az érintetteknek hozzá kell járulniuk. Ennek a következőknek kell lennie:

• Önkéntes

• Konkrét

• Tájékozott

• Egyértelmű

Írásos nyilvántartást kell vezetnie a hozzájárulásról. A hozzájárulás visszavonását is gyorsan és egyszerűen kell lehetővé tennie. Itt segíthet a GDPR-kompatibilis Ügyfélkapcsolat-kezelő szoftver. Ennek a következőket kell elvégeznie:

• Vezessen írásbeli nyilvántartást az érintettek nevéről és az Ön birtokában lévő személyes adataikról

• Rögzítse a hozzájárulásukat is, megadva, hogy mihez járultak hozzá az adataik használatánál (például a havi hírlevél fogadásához)

• Biztosítson az embereknek egyszerű módot a hozzájárulásuk visszavonására, ha meggondolnák magukat (például egykattintásos „leiratkozás” szkriptekkel)

3. Biztonságban vannak az adatok?

Az Ön vállalkozása felelős az Ön által gyűjtött személyes adatokért. És bírságot is kaphat, ha ezek rossz kezekbe kerülnek. Tehát:

• Használjon titkosító szoftvert a személyes adatok online tárolásakor vagy továbbításakor

• Gondoskodjon a hálózat biztonságáról. A gondatlan alkalmazottak az adatszivárgások vezető okai, ezért elengedhetetlen a szilárd informatikai szabályzat. Érdemes biztonsági szoftverekbe is befektetnie, például tűzfalba

• GDPR-kompatibilis cookie-kra és adatvédelmi szabályzatokra vonatkozó közlemények létrehozása. Ezek a cookie-sablon példák és adatvédelmi szabályzatsablonok segíthetnek. A GDPR ajánlott eljárásairól a Microsoft adatvédelmi központban is tájékozódhat

• Ellenőrizze a beszállítóknál, hogy rendelkeznek-e GDPR-megfelelőséggel

4. Mi van, ha súlyos adatvédelmi incidens történik?

A súlyos incidenseket 72 órán belül jelenteni kell a felügyeleti hatóságnak, különben bírságot kockáztat. Győződjön meg róla, hogy vannak kialakított jelentési eljárásai. És ami még fontosabb, tanítsa meg az alkalmazottait arra, hogy:

• Legyenek figyelmesek

• Értsék meg, mi számít súlyos adatvédelmi incidensnek

• Ismerjék fel a figyelmeztető jeleket

Milyen hatással volt eddig a GDPR a kisvállalkozásokra?

Ennek nincs két módja. A GDPR-megfelelőség időigényes és költséges. A 2018. május 25-e előtti időszakban az Egyesült Királyság kisvállalkozásai átlagosan körülbelül 600 órát fordítottak egyenként a GDPR-ra való felkészülésre. És ebben még nincs benne a pénzügyi költség. Világszerte a kis- és középvállalkozások 1.3 millió USD-t költöttek a GDPR-megfelelőségre. Hasonlóképpen, a szabályok be nem tartása is megdöbbentő hatással lehet a végső eredményre. Az első GDPR-ügyben egy német közösségi hálózatot 20 000 euró (körülbelül 22 600 dollár) bírsággal sújtottak, mert nem biztosította a felhasználók személyes adatainak biztonságát, miután egy hacker 330 000 e-mail-címet és jelszót lopott el. Bár könnyen előfordulhat, hogy ezt tehernek tekintjük, a GDPR-nek való megfelelés pozitív hatással volt a kisvállalkozásokra is. Ennek oka a következő. A fogyasztók még soha nem vették ennyire komolyan a magánéletük védelmét. És el is várják, hogy azok a vállalkozások, amelyekkel megosztják az adataikat, ugyanígy gondolkodjanak. Egy közelmúltbeli kutatásban az amerikai fogyasztók 69%-a azt is elmondta, hogy szívesen látnának az Egyesült Államokban a GDPR-hoz hasonló törvényt. A lényeg: a CMO Council kutatása szerint azok a tagok, akik fel voltak készülve a GDPR-ra, jobb elköteleződést, nagyobb hűséget és erősebb fogyasztói bizalmat tapasztaltak. Nyilvánvaló, hogy a GDPR több mint egy rakás szabály, amelyet be kell tartania, hogy ne kapjon bírságot. Senki sem szereti, ha a magánjellegű adatait a beleegyezése nélkül veszik el. Vagy olyan helyen tartják, ahol a bűnözők megszerezhetik őket. Így tehát a GDPR-nek való megfelelés érdekében tett lépésekkel úgy pozícionálhatja kisvállalkozását, mint egy olyan céget, amely valóban törődik ügyfelei személyes adataival. És ez versenyelőnyt jelenthet a versenytársaival szemben.