Conformitatea RGPD și firmele mici

Nu, nu sunt. GDPR se aplică ori de câte ori o firmă colectează date cu caracter personal de la o persoană aflată în UE. Acest lucru este valabil fie că sunteți o firmă formată dintr-o singură persoană, fie că aveți birouri pe șase continente.

Totuși, nu trebuie să țineți o evidență scrisă a activităților dvs. de prelucrare a datelor dacă aveți mai puțin de 250 de angajați, cu excepția cazului în care:

• Activitățile dvs. de prelucrare a datelor ar putea afecta drepturile și libertățile persoanelor

• Prelucrați date acoperite de articolul 9 din RGPD. Acestea sunt date care dezvăluie următoarele informații despre o persoană:
  • Rasa sau originea etnică
  • Convingeri politice, religioase sau filozofice
  • Apartenența la un sindicat
  • Date genetice sau biometrice, ori date despre sănătatea sau sexualitatea persoanei

• Prelucrați date cu caracter personal prevăzute la articolul 10, adică date referitoare la infracțiuni și condamnări penale

• Prelucrați în mod periodic date cu caracter personal

Multe firme mici și persoane fizice autorizate nu se vor încadra în primele trei excepții.

Dar ce se întâmplă cu al patrulea? Comisia de confidențialitate din Belgia a sugerat că nu orice prelucrare a datelor este “obișnuită”, chiar dacă s-ar putea să o faceți zilnic. Potrivit acestei interpretări, nu trebuie să păstrați evidențe pentru datele cu caracter personal pe care le utilizați, de exemplu, pentru plasarea comenzilor sau pentru comunicarea cu clienții. Dar o poziție oficială a Grupului de lucru Articolul 29 — predecesorul Comitetului european pentru protecția datelor — pare să sugereze că ar trebui să interpretați „periodic” în sens literal. Și Comitetul european pentru protecția datelor a fost de acord. Deoarece situația este atât de neclară, este recomandabil să păstrați dovezi, chiar dacă considerați că sunteți scutit. Mai bine să fii precaut decât să regreți.

Da. RGPD se aplică companiilor din SUA dacă acestea:

• Fac afaceri în UE

• Nu desfășoară activități comerciale în UE, dar colectează sau urmăresc date cu caracter personal aparținând unor persoane aflate fizic în UE (aceasta include persoanele care călătoresc în UE, dar nu locuiesc în mod obișnuit acolo). S-ar putea să faceți acest lucru fără să vă dați seama. De exemplu, dacă modulele cookie ale site-ului dvs. web ar putea fi utilizate pentru a identifica o persoană, ele sunt considerate date cu caracter personal în cadrul RGPD

Dacă doriți să continuați să faceți afaceri în UE, trebuie să respectați RGPD. Sau riscați să primiți o amendă mare. Dacă nu faceți afaceri în UE, aveți două opțiuni:

• Respectați oricum RGPD

• Restricționați accesul la site-ul dvs. web, astfel încât să nu poată colecta date cu caracter personal de la persoane aflate în UE

Când RGPD a intrat pentru prima dată în vigoare, multe site-uri web din SUA au blocat utilizatorii din UE pentru a nu încălca RGPD. De exemplu, peste 1.1 de site-uri de știri din SUA au fost inaccesibile în UE începând cu august 2018. Unii editori au decis să se retragă definitiv din UE. Charles Arms, purtător de cuvânt al Lee Enterprises, a comentat: „Traficul de internet de pe site-urile noastre locale de știri care provine din UE și SEE este de minimis, iar noi considerăm că blocarea acestui trafic este în interesul clienților noștri din mass-media locală.” Totuși, multe site-uri web din SUA au reușit acum să revină online în UE fără nicio problemă. Și site-ul dvs. web pentru o firmă mică poate fi disponibil în UE fără să ajungeți în dificultate. Ceea ce ne aduce la următorul punct.

Aducerea micii dvs. firme pe drumul conformității cu RGPD nu este atât de dificilă pe cât ați putea crede. Iată o listă de verificare pentru conformitatea cu RGPD, ca să începeți.

1. Ce date cu caracter personal colectați?

Trebuie să știți ce informații personale colectați și dacă vreuna dintre ele este confidențială, adică dacă se încadrează în categoriile din articolele 9 și 10 din RGPD. Ar trebui să vă mai întrebați și:

• De unde provin informațiile?

• De ce le colectați?

• Ce faceți cu ele?

Va trebui să puteți răspunde la aceste întrebări, dacă vi se solicită.

2. Aveți consimțământ?

Cu excepția cazului în care aveți motive legale pentru a utiliza date cu caracter personal, persoanele trebuie să își dea consimțământul. Acesta trebuie să fie:

• Dat în mod liber

• Specific

• În cunoștință de cauză

• Neambiguu

Trebuie să păstrați o evidență scrisă a consimțământului. De asemenea, trebuie să faceți retragerea consimțământului rapidă și ușoară. Software-ul CRM compatibil cu RGPD vă poate ajuta aici. În special, acesta poate:

• Să păstreze o evidență scrisă a numelor persoanelor și a datelor cu caracter personal pe care le dețineți despre acestea

• Să înregistreze consimțământul acestora, specificând pentru ce au consimțit să le utilizați datele (de exemplu, pentru a primi buletinul informativ lunar)

• Oferiți persoanelor o modalitate ușoară de a-și retrage consimțământul, în cazul în care se răzgândesc (de exemplu, prin scripturi de dezabonare cu un singur clic)

3. Sunt datele în siguranță?

Firma dvs. este responsabilă pentru datele cu caracter personal pe care le colectați. Și riscați să fiți amendați dacă ajung pe mâini greșite. Așadar:

• Utilizați software de criptare atunci când stocați sau transmiteți online date cu caracter personal

• Securizați-vă rețeaua. Angajații neglijenți sunt principala cauză a încălcărilor de date, așa că o politică IT solidă este esențială. De asemenea, ar trebui să investiți în software de securitate, inclusiv într-un firewall

• Creați notificări privind modulele cookie și politica de confidențialitate conforme cu RGPD. Aceste exemple de șabloane de module cookie și exemple de șabloane de politică de confidențialitate vă pot ajuta. De asemenea, puteți consulta Centrul de autorizare Microsoft pentru a afla mai multe despre cele mai bune practici RGPD

• Verificați furnizorii pentru conformitate cu RGPD

4. Ce se întâmplă dacă apare o încălcare gravă?

Trebuie să raportați încălcările grave autorității de reglementare în termen de 72 de ore, altfel riscați să fiți amendați. Asigurați-vă că aveți proceduri de raportare implementate. Și, mai important, instruiți-vă angajații să:

• Fie atenți

• Înțeleagă ce este o încălcare gravă

• Recunoască semnalele de alarmă

Care a fost până acum impactul RGPD asupra firmelor mici?

Nu există loc de interpretări. Respectarea RGPD consumă timp și este costisitoare. În perioada premergătoare datei de 25 mai 2018, firmele mici din Regatul Unit au petrecut în medie aproximativ 600 de ore fiecare pentru a se pregăti pentru RGPD. Și asta fără să luăm în calcul costurile financiare. La nivel global, firmele mici și mijlocii au cheltuit 1,3 milioane USD pentru conformitatea cu RGPD. La fel, nerespectarea acestuia poate avea un impact uluitor asupra profitului dvs. În primul caz GDPR din istorie, o rețea socială germană a fost amendată cu 20.000 EUR (aproximativ 22.600 USD) pentru că nu a păstrat în siguranță datele cu caracter personal ale utilizatorilor, după ce un hacker a furat 330.000 de adrese de e-mail și parole. Dar, deși ați putea fi tentați să îl priviți ca pe o povară, conformitatea cu GDPR a avut și un impact pozitiv asupra firmelor mici. Iată de ce:. Consumatorii nu au acordat niciodată o importanță atât de mare confidențialității lor. Și se așteaptă ca întreprinderile cu care își împărtășesc informațiile să simtă la fel. Într-un studiu recent, 69% dintre consumatorii din SUA au spus chiar că și-ar dori să vadă o lege similară cu RGPD adoptată în SUA. Mai exact, un studiu realizat de Consiliul CMO a constatat că membrii care erau pregătiți pentru RGPD au observat o implicare mai bună, mai multă loialitate și o încredere sporită din partea consumatorilor. Este clar că RGPD este mai mult decât un set de reguli pe care trebuie să le respectați ca să nu fiți amendați. Nimănui nu îi place ca informațiile private să îi fie luate fără consimțământ. Sau să fie păstrate undeva unde infractorii ar putea pune mâna pe ele. Așadar, prin luarea de măsuri pentru obținerea conformității cu RGPD, vă puteți poziționa mica firmă ca una care acordă importanță reală datelor cu caracter personal ale clienților săi. Iar acest lucru v-ar putea oferi avantaj față de concurență.