Atbilstība VDAR prasībām un mazs uzņēmums

Nē, nav. VDAR ir piemērojama ikreiz, kad uzņēmums vāc personas datus no personas, kas atrodas ES. Tas ir spēkā neatkarīgi no tā, vai esat viena cilvēka uzņēmums vai jums ir biroji sešos kontinentos.

Tomēr jums nav jāuztur rakstisks datu apstrādes darbību reģistrs, ja jums ir mazāk nekā 250 darbinieku, izņemot gadījumus, kad:

• jūsu datu apstrādes darbības var ietekmēt personu tiesības un brīvības

• Jūs apstrādājat datus, uz kuriem attiecas VDAR 9. pants. Tie ir dati, kas atklāj personas:
  • rasi vai etnisko piederību
  • politiskos, reliģiskos vai filozofiskos uzskatus
  • piederību arodbiedrībai
  • ģenētiskie vai biometriskie dati vai dati par personas veselību vai seksualitāti

• jūs apstrādājat personas datus, uz kuriem attiecas 10. pants, proti, datus, kas saistīti ar noziedzīgiem nodarījumiem un sodāmību

• Jūs regulāri apstrādājat personas datus

Daudzi mazie uzņēmumi un individuālie komersanti neatbilst pirmajiem trim atbrīvojuma nosacījumiem.

Bet kā ir ar ceturto? Beļģijas privātuma komisija norāda, ka ne visa datu apstrāde ir ierasta, kaut arī jūs to varētu veikt katru dienu. Saskaņā ar šo interpretāciju jums, piemēram, nav jāuztur uzskaite par personas datiem, ko izmantojat pasūtījumu veikšanai vai saziņai ar klientiem. Taču 29. panta darba grupa — Eiropas Datu aizsardzības kolēģijas priekštece — pozīcijas dokumentā šķiet norādām, ka jēdziens “regulāra” ir jāinterpretē burtiski. Un tam piekrīt arī Eiropas Datu aizsardzības kolēģija. Tā kā šis jautājums ir tik neskaidrs, ieteicams uzturēt uzskaiti pat tad, ja uzskatāt, ka jums ir piemērojams atbrīvojums. Labāk drošs nekā nožēlot vēlāk.

Jā. VDAR attiecas uz ASV uzņēmumiem, ja tie:

• Veic uzņēmējdarbību ES

• Nedarbojaties ES, bet vācat vai izsekojat tādu personu personas datus, kas fiziski atrodas ES (tostarp personas, kas ceļo ES, bet parasti tur nedzīvo). Iespējams, to darāt, pat to neapzinoties. Piemēram, ja jūsu tīmekļa vietnes sīkdatnes var izmantot, lai identificētu cilvēku, tās tiek uzskatītas par personas datiem saskaņā ar VDAR

Ja vēlaties turpināt darbību ES, jums ir jāievēro VDAR. Pretējā gadījumā riskējat saņemt lielu naudas sodu. Ja jūs neveicat uzņēmējdarbību ES, jums ir divas iespējas:

• Jebkurā gadījumā ievērojiet VDAR

• Ierobežot piekļuvi savai tīmekļa vietnei, lai tā nevarētu vākt personas datus no cilvēkiem, kas atrodas ES

Kad VDAR stājās spēkā, daudzas ASV tīmekļa vietnes bloķēja ES lietotājus, lai nepārkāptu VDAR. Piemēram, vairāk nekā 1000 ASV ziņu tīmekļa vietņu nebija pieejamas ES no 2018. gada augusta. Daži izdevēji ir nolēmuši neatgriezeniski izstāties no ES. Lee Enterprises pārstāvis Čārlzs Arms komentēja: “No ES un EEZ nākošā interneta datplūsma mūsu vietējo ziņu vietnēs ir de minimis, un uzskatām, ka šīs datplūsmas bloķēšana ir mūsu vietējo plašsaziņas līdzekļu klientu interesēs.” Tomēr daudzas ASV tīmekļa vietnes tagad ir atkal pieejamas ES bez jebkādām problēmām. Arī jūsu mazā uzņēmuma tīmekļa vietne var būt pieejama ES, neradot problēmas. Tas mūs ved pie nākamā punkta.

Mazā uzņēmuma virzīšana uz VDAR atbilstību nav tik sarežģīta, kā varētu šķist. Šeit ir VDAR atbilstības kontrolsaraksts, ar ko sākt.

1. Kādus personas datus jūs vācāt?

Jums jāzina, kādu personas informāciju vācat un vai kāda no tās ir sensitīva, tas ir, vai tā ietilpst VDAR 9. un 10. pantā minētajās kategorijās. Jums arī jāuzdod sev šādi jautājumi:

• No kurienes tiek iegūta šī informācija?

• Kāpēc jūs to vācat?

• Ko jūs ar to darāt?

Ja jums jautās, jums būs jāspēj uz šiem jautājumiem atbildēt.

2. Vai jums ir piekrišana?

Ja vien jums nav tiesiska pamata personas datu izmantošanai, personām ir jādod piekrišana. Tai jābūt:

• Brīvi dota

• Konkrētai

• Informētai

• Viennozīmīgai

Jums ir jāsaglabā rakstiska piekrišanas apliecinājuma uzskaite. Jums arī jānodrošina, lai piekrišanas atsaukšana būtu ātra un vienkārša. VDAR atbilstoša klientu attiecību pārvaldības programmatūra var palīdzēt šajā gadījumā. Piemēram:

• Glabāt rakstisku uzskaiti par cilvēku vārdiem un personas datiem, kas jums par viņiem ir.

• Reģistrēt lietotāju piekrišanu, norādot, kam tieši viņi ir piekrituši, lai jūs izmantojat viņu datus (piemēram, lai saņemtu jūsu ikmēneša jaunumus).

• Nodrošināt cilvēkiem vienkāršu veidu, kā atsaukt piekrišanu, ja viņi pārdomā (piemēram, izmantojot vienas klikšķa atteikšanās skriptus).

3. Vai dati ir droši?

Jūsu uzņēmums ir atbildīgs par jūsu apkopotajiem personas datiem. Un jums draud sods, ja tie nonāk nepareizās rokās. Tātad:

• Izmantojiet šifrēšanas programmatūru, glabājot vai pārsūtot personas datus tiešsaistē.

• Nodrošiniet savu tīklu. Neuzmanīgi darbinieki ir galvenais datu noplūžu cēlonis, tāpēc stingra IT politika ir obligāta. Jums vajadzētu arī ieguldīt drošības programmatūrā, tostarp ugunsmūrī.

• Izveidojiet VDAR atbilstošus sīkfailu un konfidencialitātes politikas paziņojumus. Šie sīkdatņu veidņu paraugi un privātuma politiku veidņu paraugi var palīdzēt. Tāpat varat apmeklēt Microsoft uzticamības centru, lai uzzinātu vairāk par VDAR labo praksi

• Pārbaudiet, vai jūs piegādātāji atbilst VDAR prasībām

4. Ko darīt, ja noticis nopietns pārkāpums?

Par nopietniem drošības pārkāpumiem jums regulatoram jāziņo 72 stundu laikā, pretējā gadījumā var draudēt sods. Nodrošiniet, ka ir ieviestas ziņošanas procedūras. Un, vēl svarīgāk, apmāciet savus darbiniekus:

• Pievērst uzmanību

• Izprast, kas ir nopietns pārkāpums

• Atpazīt brīdinājuma signālus

Kā līdz šim VDAR ir ietekmējis mazos uzņēmumus?

Tur nav divu domu. VDAR atbilstības nodrošināšana ir laikietilpīga un dārga. Laikā, kad tuvojās 2018. gada 25. maijs, Apvienotās Karalistes mazie uzņēmumi katrs VDAR sagatavošanai veltīja apmēram 600 stundas. Un tas vēl nav ieskaitot finansiālās izmaksas. Pasaulē mazie un vidējie uzņēmumi VDAR atbilstībai ir iztērējuši 1,3 miljonus ASV dolāru. Tāpat neatbilstība var ļoti negatīvi ietekmēt jūsu peļņu. Pirmajā VDAR lietā Vācijas sociālajam tīklam tika uzlikts 20 000 eiro liels sods (aptuveni 22 600 ASV dolāru) par nespēju nodrošināt lietotāju personas datu drošību pēc tam, kad hakeris nozaga 330 000 e-pasta adrešu un paroļu. Taču, lai gan jums varētu šķist, ka tā ir tikai papildu nasta, VDAR atbilstība ir pozitīvi ietekmējusi arī mazos uzņēmumus. Lūk, kādēļ: Patērētāji nekad iepriekš nav tik nopietni uztvēruši savu privātumu. Un viņi sagaida, ka uzņēmumi, ar kuriem viņi dalās savā informācijā, domās tāpat. Nesenā pētījumā 69% ASV patērētāju pat teica, ka viņi vēlētos redzēt ASV pieņemtu likumu, kas būtu līdzīgs VDAR. Un vēl svarīgāk, pētījumā, ko veica CMO Council, tika secināts, ka dalībnieki, kas bija sagatavojušies VDAR, ir redzējuši labāku iesaisti, lielāku lojalitāti un pieaugošu patērētāju uzticēšanos. Skaidrs, ka VDAR ir vairāk nekā tikai virkne noteikumu, kas jāievēro, lai netiktu sodīti. Nevienam nepatīk, ja viņa privātā informācija tiek paņemta bez piekrišanas. Vai arī glabāta vietā, kur tai var piekļūt noziedznieki. Tātad, veicot pasākumus VDAR atbilstības nodrošināšanai, jūs varat pozicionēt savu mazo uzņēmumu kā tādu, kam patiesi rūp klientu privātie dati. Tas varētu jums nodrošināt pārākumu pār jūsu konkurentiem.