Skladnost s predpisi uredbe GDPR in majhna podjetja

Ne, niso. GDPR velja vedno, ko podjetje zbira osebne podatke od osebe, ki je v EU. To velja tako za samostojno dejavnost ene osebe kot za podjetje s pisarnami na šestih celinah.

Kljub temu vam ni treba voditi pisne evidence o dejavnostih obdelave podatkov, če imate manj kot 250 zaposlenih, razen v naslednjih primerih:

• vaše dejavnosti obdelovanja podatkov lahko vplivajo na pravice in svoboščine posameznikov;

• obdelujete podatke, ki jih zajema 9. člen uredbe GDPR. To so podatki, ki razkrivajo naslednje o posamezniku:
  • raso ali etnično pripadnost;
  • politična, verska ali filozofska prepričanja;
  • članstvo v sindikatu;
  • genetske ali biometrične podatke ali podatke o zdravju ali spolnosti osebe.

• Obdelujete osebne podatke, ki jih zajema 10. člen, torej podatke, povezane s kaznivimi dejanji in obsodbami

• Osebne podatke obdelujete redno

Mnoga majhna podjetja in samostojni podjetniki ne bodo sodili v prve tri izjeme.

Kaj pa v četrto? Belgijska komisija za varstvo zasebnosti je predlagala, da ni vsako obdelovanje podatkov »redno«, tudi če ga izvajate vsak dan. Po tej razlagi vam na primer ni treba voditi evidence o osebnih podatkih, ki jih uporabljate za oddajo naročil ali komunikacijo s strankami. Vendar pa pisno podano stališče Delovne skupine 29. člena – predhodnice Evropskega odbora za varstvo podatkov – kaže, da bi morali izraz »redno« razumeti dobesedno. In Evropski odbor za varstvo podatkov se je strinjal. Ker je stališče tako nejasno, je dobro voditi evidence, tudi če menite, da ste izvzeti. Previdnost ni nikoli odveč.

Da. GDPR velja za ameriška podjetja, ki:

• poslujejo v EU;

• ne poslujejo v EU, vendar zbirajo ali spremljajo osebne podatke ljudi, ki so fizično v EU (to vključuje ljudi, ki potujejo po EU, vendar tam običajno ne živijo). Morda to počnete, ne da bi se tega sploh zavedali. Na primer, če je mogoče piškotke vašega spletnega mesta uporabiti za prepoznavanje posameznika, se v skladu z uredbo GDPR štejejo kot osebni podatki

Če želite še naprej poslovati v EU, morate izpolnjevati zahteve uredbe GDPR. Sicer tvegate visoko denarno kazen. Če ne poslujete v EU, imate dve možnosti:

• Vseeno lahko izpolnjujete zahteve uredbe GDPR

• Omejite lahko dostop do svojega spletnega mesta, da ne more zbirati osebnih podatkov ljudi, ki so v EU

Ko je začela veljati Splošna uredba o varstvu podatkov, je veliko ameriških spletnih mest onemogočilo dostop uporabnikom iz EU, da ne bi kršilo uredbe GDPR. Na primer več kot 1000 ameriških spletnih mest z novicami od avgusta 2018 v EU ni bilo dostopnih. Nekateri založniki so se odločili, da se bodo trajno umaknili iz EU. Tiskovni predstavnik družbe Lee Enterprises Charles Arms je dejal: »Promet na naših lokalnih novičarskih spletnih mestih, ki izvira iz EU in EGP, je de minimis, in verjamemo, da je blokiranje tega prometa v najboljšem interesu naših lokalnih medijskih strank.« Kljub temu je mnogim ameriškim spletnim mestom zdaj uspelo znova delovati v EU brez kakršnih koli težav. Tudi spletno mesto vašega majhnega podjetje je lahko na voljo v EU, ne da bi pri tem zašli v težave. To nas pripelje do naslednje točke.

Pot do skladnosti z uredbo GDPR za vaše majhno podjetje ni tako zapletena, kot morda mislite. Tukaj je kontrolni seznam za skladnost z uredbo GDPR, da lahko začnete.

1. Katere osebne podatke zbirate?

Vedeti morate, katere osebne podatke zbirate in ali so kateri od njih občutljivi, torej ali sodijo v kategorije iz 9. in 10. člena uredbe GDPR. Prav tako se morate vprašati:

• Od kod prihajajo podatki?

• Zakaj jih zbirate?

• Kaj z njimi počnete?

Na ta vprašanja boste morali znati odgovoriti, če vas kdo vpraša.

2. Ali imate soglasje?

Razen če imate zakonito podlago za uporabo osebnih podatkov, morajo posamezniki dati soglasje. To mora biti:

• dano prostovoljno,

• specifično,

• obveščeno,

• nedvoumno.

Hraniti morate pisni zapis soglasja. Prav tako morate omogočiti hiter in preprost način za umik soglasja. Pri tem vam lahko pomaga programska oprema za upravljanje odnosov s strankami, ki je skladna z uredbo GDPR. Predvsem lahko:

• vodi pisno evidenco imen ljudi in osebnih podatkov, ki jih hranite o njih;

• zabeleži njihovo soglasje in opredeli, za kaj so soglašali, da uporabljate njihove podatke (na primer za prejemanje mesečnega glasila);

• ljudem omogoča preprost način za umik soglasja, če si premislijo (na primer s skripti za odjavo z enim klikom).

3. Ali so podatki varni?

Vaše podjetje je odgovorno za osebne podatke, ki jih zbirate. Če padejo v napačne roke, lahko prejmete globo. Torej:

• Pri shranjevanju ali prenašanju osebnih podatkov v spletu uporabite programsko opremo za šifriranje

• Zavarujte svoje omrežje. Brezbrižni zaposleni so glavni razlog za kršitve varnosti podatkov, zato je robusten pravilnik za IT nujen. Vlagajte tudi v varnostno programsko opremo, vključno s požarnim zidom

• Ustvarite obvestila o piškotkih in pravilniku o zasebnosti, ki so skladna z uredbo GDPR. Ti primeri predlog za piškotke in primeri predlog za pravilnik o zasebnosti vam lahko pomagajo. Več informacij o najboljših praksah uredbe GDPR najdete v Microsoftovem središču zaupanja

• Preverite, ali vaši dobavitelji zagotavljajo skladnost z uredbo GDPR

4. Kaj pa, če pride do resne kršitve varnosti?

Resne kršitve varnosti morate prijaviti regulatorju v 72 urah, sicer tvegate globo. Poskrbite, da imate vzpostavljene postopke za poročanje. In kar je še pomembneje, usposobite svoje zaposlene, da:

• bodo ozaveščeni;

• bodo razumeli, kaj je resna kršitev varnosti;

• bodo prepoznali opozorilne znake.

Kakšen je bil vpliv uredbe GDPR na majhna podjetja doslej?

O tem ni nobenega dvoma. Skladnost z uredbo GDPR je zamudna in draga. V obdobju pred 25. majem 2018 so majhna podjetja v Združenem kraljestvu za pripravo na uredbo GDPR porabila približno 600 ur. In to še ne vključuje finančnih stroškov. Po svetu so majhna in srednje velika podjetja za skladnost z uredbo GDPR porabila 1,3 milijona USD. Neskladnost lahko tudi močno vpliva na vaš neto dobiček. V prvem primeru uredbe GDPR je nemško družabno omrežje dobilo globo 20.000 EUR (približno 22.600 USD) zaradi neustrezne zaščite osebnih podatkov uporabnikov, ko je heker ukradel 330.000 e-poštnih naslovov in gesel. Čeprav to morda dojemate kot breme, je skladnost z uredbo GDPR pozitivno vplivala tudi na majhna podjetja. Poglejmo si, zakaj. Potrošniki zasebnosti še nikoli niso jemali resneje. Prav tako pričakujejo, da bodo podjetja, s katerimi delijo svoje podatke, zasebnost jemala enako resno. V nedavni študiji je 69 % ameriških potrošnikov celo povedalo, da bi si želeli, da bi v ZDA sprejeli zakon, podoben uredbi GDPR. Še pomembneje pa je, da je študija, ki jo je izvedel svet CMO Council, pokazala, da so člani, ki so bili pripravljeni na uredbo GDPR, dosegli boljše vključevanje, večjo zvestobo in večje zaupanje potrošnikov. Jasno je, da je uredba GDPR več kot le kup pravil, ki jih morate upoštevati, da ne dobite globe. Nihče ne želi, da mu brez soglasja vzamejo zasebne podatke. Ali jih hranijo nekje, kjer bi jih lahko dobili kriminalci. Če torej izvedete ukrepe, s katerimi dosežete skladnost z uredbo GDPR, lahko svoje majhno podjetje postavite med podjetja, ki jim je resnično mar za zasebne podatke strank. To vam lahko da prednost pred konkurenčnimi podjetji.