Zgodność z ustawą RODO a mała firma

Nie, nie są. Przepisy RODO mają zastosowanie zawsze, gdy przedsiębiorstwo gromadzi dane osobowe osoby przebywającej w UE. Dotyczy to zarówno jednoosobowej działalności, jak i firmy z biurami na sześciu kontynentach.

Niemniej jednak nie musisz prowadzić pisemnego rejestru czynności przetwarzania danych, jeśli zatrudniasz mniej niż 250 pracowników, chyba że:

• Twoje działania związane z przetwarzaniem danych mogą wpływać na prawa i wolności osób fizycznych

• Przetwarzasz dane objęte zakresem art. 9 przepisów RODO. Są to dane, które ujawniają:
  • Rasę lub pochodzenie etniczne
  • Przekonania polityczne, religijne lub światopoglądowe
  • Przynależność do związków zawodowych
  • Dane genetyczne lub biometryczne albo dane dotyczące zdrowia lub seksualności danej osoby

• Przetwarzasz dane osobowe objęte artykułem 10, czyli dane dotyczące przestępstw i wyroków skazujących

• Regularnie przetwarzasz dane osobowe

Wiele małych firm i osób prowadzących jednoosobową działalność gospodarczą nie będzie kwalifikować się do pierwszych trzech zwolnień.

Ale co z czwartym? Belgijska Komisja ds. Ochrony Prywatności zasugerowała, że ​​nie każde przetwarzanie danych ma charakter „regularny”, nawet jeśli odbywa się ono codziennie. Zgodnie z tą interpretacją nie musisz prowadzić ewidencji danych osobowych, których używasz na przykład do składania zamówień lub komunikacji z klientami. Jednak stanowisko przyjęte przez Grupę Roboczą Art. 29 – poprzedniczkę Europejskiej Rady Ochrony Danych – zdaje się sugerować, że pojęcie „regularny” należy interpretować dosłownie. I Europejska Rada Ochrony Danych się z tym zgadza. Ponieważ stanowisko nie jest jasne, warto prowadzić ewidencję, nawet jeśli uważasz, że masz do tego prawo. Lepiej dmuchać na zimne.

Tak. Przepisy RODO dotyczą firm z USA, jeśli:

• Prowadzą działalność w UE

• Nie prowadzą działalności w UE, ale zbierają lub śledzą dane osobowe należące do osób fizycznie znajdujących się w UE (dotyczy to też osób, które podróżują po UE, ale zwykle tam nie mieszkają). Mogą to robić nawet bez świadomości. Na przykład, jeśli pliki cookies Twojej witryny mogą posłużyć do identyfikacji konkretnej osoby, są one uznawane za dane osobowe w rozumieniu przepisów RODO

Jeśli chcesz nadal prowadzić działalność w UE, musisz przestrzegać przepisów RODO. W przeciwnym razie narażasz się na wysoką grzywnę. Jeśli nie prowadzisz działalności w UE, masz dwie możliwości:

• Dostosuj się do przepisów RODO mimo wszystko

• Ogranicz dostęp do swojej witryny, aby nie mogła zbierać danych osobowych od osób znajdujących się w UE

Gdy przepisy RODO weszły w życie, wiele amerykańskich witryn odcięło użytkowników z UE, aby nie narazić się na naruszenie przepisów RODO. Na przykład w sierpniu 2018 roku ponad 1000 amerykańskich serwisów informacyjnych było niedostępnych w UE. Niektórzy wydawcy zdecydowali się wycofać z UE na stałe. Rzecznik firmy Lee Enterprises, Charles Arms, skomentował to następująco: „Ruch internetowy na naszych lokalnych serwisach informacyjnych, pochodzący z UE i EOG, jest znikomyi uważamy, że blokowanie tego ruchu leży w najlepszym interesie naszych klientów z sektora mediów lokalnych”. Mimo to wielu amerykańskim serwisom internetowym udało się już bez problemów wznowić działalność w UE. A Twoja witryna małej firmy też może być dostępna w UE bez kłopotów. To prowadzi nas do kolejnego punktu.

Dostosowanie małej firmy do przepisów RODO nie jest tak trudne, jak mogłoby się wydawać. Oto lista kontrolna zgodności z przepisami RODO, od której możesz zacząć.

1. Jakie dane osobowe zbierasz?

Musisz wiedzieć, jakie dane osobowe zbierasz i czy część z nich jest poufna, czyli czy należy do kategorii określonych w artykułach 9 i 10 przepisów RODO. Musisz też zadać sobie pytanie:

• Skąd pochodzą te informacje?

• Dlaczego je zbierasz?

• Co z nimi robisz?

Musisz umieć odpowiedzieć na te pytania, jeśli ktoś o to zapyta.

2. Czy masz zgodę?

Jeśli nie masz podstaw prawnych do użycia danych osobowych, osoby muszą wyrazić na to zgodę. Musi być ona:

• Dobrowolna

• Wyraźna

• Świadoma

• Jednoznaczna

Musisz prowadzić pisemny rejestr wyrażonych zgód. Musisz też zapewnić szybkie i łatwe wycofanie wyrażenia zgody. Pomocne może tu być oprogramowanie do zarządzania relacjami z klientami (CRM) zgodne z przepisami RODO. W szczególności może:

• Prowadzić pisemny rejestr nazwisk osób oraz posiadanych na ich temat danych osobowych

• Rejestrować ich zgodę, określając, do jakich celów wyrazili zgodę na wykorzystanie swoich danych (na przykład do otrzymywania comiesięcznego biuletynu)

• Zapewnić użytkownikom łatwy sposób wycofania zgody w razie zmiany zdania (na przykład za pomocą skryptów umożliwiających rezygnację z subskrypcji jednym kliknięciem)

3. Czy dane są bezpieczne?

Twoja firma odpowiada za zbierane dane osobowe. A jeśli trafią w niepowołane ręce, grozi Ci kara. Więc:

• Używaj oprogramowania do szyfrowania podczas przechowywania lub przesyłania danych osobowych online

• Zabezpiecz swoją sieć. Nieuważni pracownicy są główną przyczyną naruszeń zabezpieczeń danych, dlatego solidne zasady IT są niezbędne. Należy też zainwestować w oprogramowanie zabezpieczające, w tym zaporę sieciową

• Przygotuj komunikaty dotyczące plików cookie i powiadomienia dotyczące zasad ochrony prywatności zgodne z przepisami RODO. Pomocne mogą okazać się te przykładowe wzory dotyczące plików cookie oraz zasad ochrony prywatności. Możesz również odwiedzić Centrum zaufania firmy Microsoft, aby dowiedzieć się więcej o najlepszych rozwiązaniach związanych z przepisami RODO

• Sprawdź swoich dostawców pod kątem zgodności z przepisami RODO

4. Co jeśli dojdzie do poważnego naruszenia?

Musisz zgłosić poważne naruszenia organowi nadzorczemu w ciągu 72 godzin, bo inaczej grozi Ci kara. Upewnij się, że masz wdrożone procedury zgłaszania. A co ważniejsze, przeszkol swoich pracowników, aby:

• Byli świadomi

• Rozumieli, czym jest poważne naruszenie

• Rozpoznawali sygnały ostrzegawcze

Jaki był do tej pory wpływ przepisów RODO na małe firmy?

Nie ma co do tego dwóch zdań. Zgodność z przepisami RODO jest czasochłonna i kosztowna. W okresie poprzedzającym 25 maja 2018 r. brytyjskie małe przedsiębiorstwa poświęciły średnio po około 600 godzin na przygotowania do wdrożenia przepisów RODO. I to nie licząc kosztów finansowych. Na całym świecie małe i średnie firmy wydały na zgodność z przepisami RODO 1,3 mln USD. Podobnie, niezgodność może mieć bardzo dotkliwy wpływ na wyniki finansowe Twojej firmy. W pierwszej w historii sprawie dotyczącej przepisów RODOniemiecki serwis społecznościowy został ukarany grzywną w wysokości 20 000 euro (ok. 22 600 USD) za niedopełnienie obowiązku ochrony danych osobowych użytkowników, po tym jak haker wykradł 330 000 adresów e-mail i haseł. Ale choć możesz uznawać to za obciążenie, zgodność z przepisami RODO miała też pozytywny wpływ na małe firmy. Oto dlaczego. Konsumenci nigdy wcześniej tak poważnie nie podchodzili do prywatności. Oczekują też, że firmy, z którymi dzielą się swoimi informacjami, będą podchodzić do tego tak samo. W niedawnym badaniu aż 69% amerykańskich konsumentów stwierdziło, że chciałoby wprowadzenia w USA przepisów podobnych do RODO. Co istotniejsze, badanie przeprowadzone przez firmę CMO Council wykazało, że organizacje przygotowane na wdrożenie przepisów RODO odnotowały wyższy poziom zaangażowania i lojalności oraz wzrost zaufania ze strony konsumentów. Jasne jest, że przepisy RODO to coś więcej niż zbiór zasad, których musisz przestrzegać, żeby uniknąć kary. Nikt nie lubi, gdy jego prywatne informacje są zabierane bez zgody. Albo przechowywane w miejscu, do którego przestępcy mogliby się dostać. Dlatego, podejmując kroki w celu zapewnienia zgodności z przepisami RODO, możesz pozycjonować swoją małą firmę jako taką, która naprawdę dba o prywatne dane swoich klientów. A to może dać ci przewagę nad konkurencją.