Súlad s nariadením GDPR a malé podniky

Nie, nie sú. GDPR sa uplatňuje vždy, keď podnik zhromažďuje osobné údaje osoby nachádzajúcej sa v EÚ. Platí to bez ohľadu na to, či podnikáte sami alebo máte kancelárie na šiestich kontinentoch.

Písomný záznam o činnostiach spracovania údajov však nemusíte viesť, ak máte menej ako 250 zamestnancov, okrem prípadov, keď:

• Vaše činnosti spracovania údajov môžu ovplyvniť práva a slobody jednotlivcov

• Spracúvate údaje, na ktoré sa vzťahuje článok 9 GDPR. Ide o údaje, ktoré odhaľujú:
  • Rasový alebo etnický pôvod osoby
  • Politické, náboženské alebo filozofické presvedčenie
  • Členstvo v odborovej organizácii
  • Genetické alebo biometrické údaje, prípadne údaje o zdraví alebo sexualite osoby

• Spracúvate osobné údaje, na ktoré sa vzťahuje článok 10, teda údaje týkajúce sa trestných činov a odsúdení

• Pravidelne spracúvate osobné údaje

Na mnohé malé podniky a živnostníkov sa prvé tri výnimky nevzťahujú.

Čo však štvrtá výnimka? Belgická komisia na ochranu súkromia naznačila, že nie každé spracovanie údajov je „pravidelné“, aj keď ho vykonávate denne. Podľa tohto výkladu napríklad nemusíte viesť záznamy o osobných údajoch, ktoré používate na zadávanie objednávok alebo komunikáciu s klientmi. Stanovisko pracovnej skupiny podľa článku 29 – predchodcu Európskeho výboru pre ochranu údajov – však naznačuje, že výraz „pravidelné“ by sa mal vykladať doslovne. A Európsky výbor pre ochranu údajov s tým súhlasil. Keďže je tento postoj taký nejasný, je dobré viesť záznamy, aj keď si myslíte, že sa na vás vzťahuje výnimka. Istota je istota.

Áno. GDPR sa vzťahuje na americké spoločnosti, ak:

• Podnikajú v EÚ

• Nepodnikajú v EÚ, ale zhromažďujú alebo sledujú osobné údaje ľudí, ktorí sa fyzicky nachádzajú v EÚ (vrátane ľudí, ktorí v EÚ cestujú, ale bežne tam nežijú). Možno to robíte bez toho, aby ste si to uvedomovali. Ak napríklad možno súbory cookie vašej webovej lokality použiť na identifikáciu osoby, podľa GDPR sa považujú za osobné údaje

Ak chcete naďalej podnikať v EÚ, musíte dodržiavať GDPR. V opačnom prípade riskujete vysokú pokutu. Ak v EÚ nepodnikáte, máte dve možnosti:

• Dodržiavať GDPR aj tak

• Obmedziť prístup na webovú lokalitu, aby nemohla zhromažďovať osobné údaje ľudí nachádzajúcich sa v EÚ

Keď GDPR prvýkrát nadobudlo účinnosť, mnohé americké webové lokality zablokovali používateľov z EÚ, aby sa vyhli porušeniu GDPR. V auguste 2018 bolo napríklad v EÚ nedostupných viac než 1 1 amerických spravodajských webov. Niektorí vydavatelia sa rozhodli z EÚ natrvalo odísť. Hovorca spoločnosti Lee Enterprises Charles Arms uviedol: „Internetová návštevnosť našich miestnych spravodajských webov pochádzajúca z EÚ a EHP je de minimis a domnievame sa, že blokovanie tejto návštevnosti je v najlepšom záujme našich miestnych mediálnych klientov.“ Mnohým americkým webovým lokalitám sa však už podarilo v EÚ opäť sprístupniť bez problémov. Aj webová lokalita vášho malého podniku môže byť v EÚ dostupná bez toho, aby ste sa dostali do problémov. A tým sa dostávame k ďalšiemu bodu.

Nastaviť malý podnik na cestu k súladu s GDPR nie je také náročné, ako by sa mohlo zdať. Začnite týmto kontrolným zoznamom na dosiahnutie súladu s GDPR.

1. Aké osobné údaje zhromažďujete?

Mali by ste vedieť, aké osobné informácie zhromažďujete a či sú niektoré z nich citlivé, teda či patria do kategórií uvedených v článkoch 9 a 10 GDPR. Mali by ste si tiež položiť tieto otázky:

• Odkiaľ informácie pochádzajú?

• Prečo ich zhromažďujete?

• Čo s nimi robíte?

Ak sa vás na to niekto opýta, budete musieť vedieť na tieto otázky odpovedať.

2. Máte súhlas?

Ak nemáte zákonný dôvod na používanie osobných údajov, jednotlivci musia udeliť súhlas. Súhlas musí byť:

• Slobodný

• Konkrétny

• Informovaný

• Jednoznačný

O súhlase musíte viesť písomný záznam. Odvolanie súhlasu musí byť zároveň rýchle a jednoduché. Pomôcť vám môže softvér na riadenie vzťahov so zákazníkmi v súlade s GDPR. Môže najmä:

• Viesť písomný záznam o menách ľudí a osobných údajoch, ktoré o nich uchovávate

• Zaznamenávať ich súhlas vrátane toho, na čo dovolili ich údaje používať (napríklad na zasielanie mesačného bulletinu)

• Poskytnúť ľuďom jednoduchý spôsob, ako odvolať súhlas, ak zmenia názor (napríklad pomocou odkazu na odhlásenie jedným kliknutím)

3. Sú údaje v bezpečí?

Za osobné údaje, ktoré zhromažďujete, zodpovedá váš podnik. Ak sa dostanú do nesprávnych rúk, riskujete pokutu. Preto:

• Pri ukladaní alebo prenose osobných údajov online používajte šifrovací softvér

• Zabezpečte sieť. Neopatrní zamestnanci sú hlavnou príčinou narušení údajov, preto je nevyhnutná dôkladná IT politika. Investujte aj do bezpečnostného softvéru vrátane firewallu

• Vytvorte oznámenia o súboroch cookie a zásadách ochrany osobných údajov v súlade s GDPR. Pomôcť vám môžu tieto príklady šablón súborov cookie a príklady šablón zásad ochrany osobných údajov. Ďalšie informácie o osvedčených postupoch v oblasti GDPR nájdete aj v Centre dôveryhodnosti spoločnosti Microsoft

• Overte si súlad dodávateľov s GDPR

4. Čo ak dôjde k závažnému narušeniu?

Závažné narušenia musíte nahlásiť regulačnému orgánu do 72 hodín, inak riskujete pokutu. Uistite sa, že máte zavedené postupy na nahlasovanie. A čo je ešte dôležitejšie, vyškoľte zamestnancov, aby:

• Boli obozretní

• Rozumeli tomu, čo je závažné narušenie

• Vedeli rozpoznať varovné signály

Aký vplyv malo GDPR doteraz na malé podniky?

Je to jednoznačné. Dosiahnutie súladu s GDPR je časovo aj finančne náročné. Pred 25. májom 2018 strávil každý malý podnik v Spojenom kráľovstve prípravou na GDPR približne 600 hodín. A to ešte bez započítania finančných nákladov. Malé a stredné podniky na celom svete vynaložili na dosiahnutie súladu s GDPR 1,3 milióna USD. Rovnako môže mať nesúlad výrazný vplyv na hospodársky výsledok. V historicky prvom prípade podľa GDPR dostala nemecká sociálna sieť pokutu 20 000 EUR (približne 22 600 USD) za nedostatočnú ochranu osobných údajov používateľov po tom, čo hacker ukradol 330 000 e-mailových adries a hesiel. Hoci vás môže lákať vnímať GDPR ako záťaž, súlad s nariadením má na malé podniky aj pozitívny vplyv. Tu je dôvod. Spotrebitelia nikdy nebrali svoje súkromie vážnejšie. A očakávajú, že podniky, s ktorými zdieľajú svoje informácie, k nim budú pristupovať rovnako. V nedávnej štúdii dokonca 69 % spotrebiteľov v USA uviedlo, že by v USA privítali zákon podobný GDPR. Ešte dôležitejšie je, že štúdia CMO Council zistila, že členovia pripravení na GDPR zaznamenali väčšiu mieru zapojenia, vyššiu lojalitu a väčšiu dôveru spotrebiteľov. GDPR je teda jednoznačne viac než len súbor pravidiel, ktoré musíte dodržiavať, aby ste nedostali pokutu. Nikomu sa nepáči, keď niekto získa jeho súkromné informácie bez súhlasu. Ani keď sú uložené niekde, kde sa k nim môžu dostať zločinci. Ak podniknete kroky na dosiahnutie súladu s GDPR, môžete svoj malý podnik prezentovať ako firmu, ktorej skutočne záleží na súkromných údajoch zákazníkov. A to vám môže poskytnúť výhodu oproti konkurencii.