Соблюдение GDPR и малый бизнес

Нет. GDPR применяется, когда бизнес собирает персональные данные у человека, находящегося в ЕС. Это справедливо, независимо от того, работаете ли вы в одиночку или у вас есть офисы на шести континентах.

При этом вам не нужно вести письменный учет операций по обработке данных, если у вас меньше 250 сотрудников, за исключением случаев, когда:

• Ваши операции по обработке данных могут затронуть права и свободы индивидуальных людей

• Вы обрабатываете данные, подпадающие под статью 9 GDPR. Это данные, которые раскрывают:
  • Расовую или этническую принадлежность
  • Политические, религиозные или философские убеждения
  • Членство в профсоюзе
  • Генетические или биометрические данные, а также данные о здоровье или сексуальной ориентации человека

• Вы обрабатываете персональные данные, подпадающие под статью 10, то есть данные, связанные с уголовными преступлениями и судимостями

• Вы регулярно обрабатываете персональные данные

Многие малые компании и индивидуальные предприниматели не подпадут под первые три исключения.

Но что насчет четвертого? Бельгийская комиссия по конфиденциальности предложила, что не вся обработка данных является "регулярной", даже если вы делаете это ежедневно. Согласно этой интерпретации, вам не нужно вести учет персональных данных, которые вы используете, например для размещения заказов или общения с клиентами. Но в пояснительной записке Рабочей группы по статье 29 (предшественник Европейского совета по защите данных) говорится, что термин "регулярно" следует понимать буквально. И Европейский совет по защите данных согласился с этим. Поскольку позиция остается очень неясной, стоит вести учет даже в том случае, если вам кажется, что вы относитесь к исключению. Лучше перестраховаться.

Да. GDPR применяется к компаниям из США, если они:

• Ведут бизнес в ЕС

• Если вы не ведете бизнес в ЕС, но собираете или отслеживаете персональные данные людей, которые физически находятся в ЕС (в том числе тех, кто путешествует по ЕС, но обычно там не живет). Вы можете делать это, даже не осознавая. Например, если файлы cookie вашего веб-сайта могут использоваться для идентификации человека, они считаются персональными данными согласно GDPR

Если вы хотите продолжать вести бизнес в ЕС, вам нужно соблюдать требования GDPR. Иначе вы рискуете получить крупный штраф. Если вы не ведете бизнес в ЕС, у вас есть два варианта:

• В любом случае соблюдать требования GDPR

• Ограничить доступ к вашему веб-сайту, чтобы он не мог собирать персональные данные у людей, находящихся в ЕС

Когда GDPR только вступил в силу, многие сайты США закрыли доступ для пользователей из ЕС, чтобы не нарушать GDPR. Например, с августа 2018 года более 1000 новостных сайтов в США были недоступны в ЕС. Некоторые издатели решили навсегда уйти с рынка ЕС. Представитель Lee Enterprises Чарльз Армс (Charles Arms) прокомментировал: "Интернет-трафик из ЕС и ЕЭЗ на наши локальные новостные сайты незначителен, и мы считаем, что блокировка такого трафика отвечает интересам наших местных медиаклиентов". При этом многим сайтам США уже удалось снова выйти в онлайн в ЕС без каких-либо проблем. И веб-сайт вашей малой компании тоже может быть доступен в ЕС без возникновения проблем для вас. А это подводит нас к следующему вопросу.

Привести свой малый бизнес к соблюдению требований GDPR не так сложно, как может показаться. Вот контрольный список по соблюдению GDPR, с которого можно начать.

1. Какие персональные данные вы собираете?

Вам нужно знать, какие персональные данные вы собираете и являются ли какие-либо из них конфиденциальными, то есть подпадают ли они под категории, указанные в статьях 9 и 10 GDPR. Также стоит задать себе следующие вопросы:

• Откуда поступает информация?

• Зачем вы ее собираете?

• Что вы с ней делаете?

Если вас спросят, у вас должна быть возможность ответить на эти вопросы.

2. Есть ли у вас согласие?

Если у вас нет законных оснований для использования персональных данных, люди должны предоставлять согласие. Оно должно быть:

• Добровольным

• Конкретным

• Осознанным

• Недвусмысленным

Вам необходимо вести письменные записи согласия. Кроме того, нужно сделать отзыв согласия простым и быстрым. Здесь может помочь программное обеспечение для управления отношениями с клиентами, соответствующее требованиям GDPR. В частности, оно может:

• Ведите письменные записи имен людей и персональных данных, которые вы храните о них

• Записывать их согласие и указывать, на что именно они согласились при использовании своих данных (например, на получение ежемесячного информационного бюллетеня)

• Предоставьте людям простой способ отозвать согласие, если они передумают (например, с помощью скриптов отказа от подписки одним щелчком)

3. Защищены ли данные?

Ваша компания несет ответственность за персональные данные, которые вы собираете. И вы рискуете получить штраф, если они попадут в чужие руки. Поэтому:

• Используйте программное обеспечение для шифрование при хранении или передаче персональных данных в сети

• Защитите свою сеть. Небрежные сотрудники — основная причина утечек данных, поэтому надежная ИТ-политика является обязательной. Также стоит инвестировать в защитное программное обеспечение, включая брандмауэр

• Создайте уведомления о файлах cookie и политике конфиденциальности, соответствующие GDPR. Вам помогут примеры шаблонов файлов cookie и примеры шаблонов политики конфиденциальности. Также вы можете ознакомиться с Центром управления безопасностью Майкрософт, чтобы узнать больше о рекомендациях по GDPR

• Проверьте своих поставщиков на соответствие требованиям GDPR

4. Что делать в случае серьезной бреши?

О серьезных брешах нужно сообщать регулятору в течение 72 часов, иначе есть риск получить штраф. Внедрите процедуры уведомления. И, что еще важнее, обучите сотрудников:

• Обращать внимание на происходящее

• Понимать, что такое серьезная брешь в системе безопасности

• Распознавать тревожные сигналы

Какое влияние GDPR оказал на малый бизнес на данный момент?

Тут все однозначно. Соблюдение требований GDPR занимает много времени и обходится дорого. В преддверии 25 мая 2018 года каждая малая компания в Соединенном Королевстве потратила на подготовку к GDPR в среднем около 600 часов. И это без учета финансовых затрат. Во всем мире малые и средние компании потратили 1,3 млн долларов США на соблюдение требований GDPR. И несоблюдение требований может очень отрицательно сказаться на вашей чистой прибыли. В первом в истории деле по GDPR немецкую социальную сеть оштрафовали на 20 000 евро (примерно 22 600 долларов США) за то, что она не обеспечила безопасность персональных данных пользователей после того, как злоумышленник украл 330 000 адресов электронной почты и паролей. Но, хотя вы можете воспринимать это как дополнительную нагрузку, соблюдение требований GDPR также оказало положительное влияние на малый бизнес. Вот почему. Потребители никогда прежде так серьезно не относились к своей конфиденциальности. И они ожидают, что компании, с которыми они делятся своей информацией, будут относиться к ней так же. В недавнем исследовании 69 % потребителей в США даже заявили, что хотели бы видеть в США закон, аналогичный GDPR. Что особенно важно, исследование Совета CMO показало, что у участников, которые были готовы к GDPR, выше вовлеченность, лучше лояльность и более высокое доверие со стороны потребителей. Очевидно, что GDPR — это не просто набор правил, которых нужно придерживаться, чтобы не получить штраф. Никому не нравится, когда личную информацию берут без согласия. Или хранят там, где до нее могут добраться преступники. Поэтому, предпринимая шаги для соблюдения требований GDPR, вы можете показать, что ваш малый бизнес действительно заботится о личных данных клиентов. И это может предоставить вам преимущество над конкурентами.