Usaglašenost sa GDPR i malo preduzeće

Ne, nisu. GDPR se primenjuje kad god preduzeće prikuplja lične podatke od osobe koja se nalazi u EU. To važi bez obzira na to da li ste jednopersonalni poslovni subjekat ili imate kancelarije na šest kontinenata.

Međutim, ne morate da vodite pisanu evidenciju o svojim aktivnostima obrade podataka ako imate manje od 250 zaposlenih, osim ako:

• Vaše aktivnosti obrade podataka mogu da utiču na prava i slobode pojedinaca

• Obrađujete podatke koji su obuhvaćeni članom 9 GDPR-a. To su podaci koji otkrivaju sledeće o pojedincu:
  • Rasu ili etničko poreklo
  • Politička, verska ili filozofska uverenja
  • Članstvo u sindikatu
  • Genetske ili biometrijske podatke, ili podatke o zdravlju ili seksualnosti osobe

• Obrađujete lične podatke obuhvaćene članom 10, odnosno podatke koji se odnose na krivična dela i presude

• Redovno obrađujete lične podatke

Mnoga mala preduzeća i samostalni preduzetnici neće potpasti pod prva tri izuzeća.

A šta je sa četvrtim? Belgijska komisija za zaštitu privatnosti je ukazala na to da nije svaka obrada podataka „redovna”, čak i ako je možda obavljate svakodnevno. Prema ovom tumačenju, ne morate da vodite evidencije o ličnim podacima koje koristite za slanje porudžbina ili komunikaciju sa klijentima, na primer. Međutim, dokument sa stavom Radne grupe iz člana 29 – prethodnice Evropskog odbora za zaštitu podataka – sugeriše da bi pojam „redovno” trebalo tumačiti doslovno. I Evropski odbor za zaštitu podataka se složio. Pošto je stav toliko nejasan, dobra je ideja da vodite evidenciju, čak i ako mislite da ste izuzeti. Bolje sprečiti nego lečiti.

Da. GDPR se primenjuje na preduzeća iz SAD ako one:

• Obavljaju poslovanje u EU

• Ne posluju u EU, ali prikupljaju ili prate lične podatke koji pripadaju ljudima koji se fizički nalaze u EU (ovo uključuje ljude koji putuju po EU, ali tamo ne žive uobičajeno). Možda ovo radite, a da toga niste ni svesni. Na primer, ako se kolačići vaše veb-stranice mogu koristiti za identifikaciju pojedinca, oni se smatraju ličnim podacima prema GDPR-u

Ako želite da nastavite da poslujete u EU, morate da se uskladite sa GDPR-om. U suprotnom, rizikujete da dobijete visoku novčanu kaznu. Ako ne poslujete u EU, imate dve opcije:

• U svakom slučaju, uskladite se sa GDPR-om

• Ograničite pristup svom veb-sajtu, tako da ne može da prikuplja lične podatke od ljudi koji se nalaze u EU

Kada je GDPR prvi put stupio na snagu, mnogi američki veb-sajtovi su blokirali korisnike iz EU da ne bi prekršili GDPR. Na primer, više od 1.1 američkih novinskih sajtova bilo je nedostupno u EU od avgusta 2018. godine. Neki izdavači su odlučili da se trajno povuku iz EU. Portparol preduzeća „Lee Enterprises”, Čarls Arms, izjavio je: „Internet saobraćaj na našim sajtovima sa lokalnim vestima koji dolazi iz EU i EEA zanemarljiv je, a smatramo da je blokiranje tog saobraćaja u najboljem interesu naših klijenata iz sfere lokalnih medija.” Međutim, mnogi američki veb-sajtovi sada su ponovo dostupni u EU bez ikakvih problema. I vaš veb-sajt za malo preduzeće može da bude dostupan u EU bez upadanja u nevolje. Što nas dovodi do sledeće tačke.

Dovođenje vašeg malog preduzeća na put usklađenosti sa GDPR-om nije tako teško kao što možda mislite. Evo kontrolne liste za usaglašenost sa GDPR-om da počnete.

1. Koje lične podatke prikupljate?

Treba da znate koje lične informacije prikupljate i da li su neke od njih osetljive, odnosno da li spadaju u kategorije iz članova 9 i 10 GDPR-a. Trebalo bi da postavite sebi i sledeća pitanja:

• Odakle informacije dolaze?

• Zašto ih prikupljate?

• Šta radite sa njima?

Treba da budete u stanju da odgovorite na ova pitanja ako vas to zatraže.

2. Da li imate saglasnost?

Osim ako nemate zakonski osnov za korišćenje ličnih podataka, pojedinci moraju da daju svoju saglasnost. Ona mora da bude:

• Data dobrovoljno

• Konkretna

• Informisana

• Nedvosmislena

Morate da vodite pisanu evidenciju o saglasnosti. Takođe morate da omogućite brzo i lako povlačenje saglasnosti. Softver za upravljanje odnosima usaglašen sa GDPR-om vam može pomoći ovde. Posebno, trebalo bi da:

• Vodite pisanu evidenciju o imenima ljudi i ličnim podacima koje imate o njima

• Evidentirate njihovu saglasnost, uz navođenje za šta su pristali da koristite njihove podatke (na primer, da primaju vaš mesečni bilten)

• Omogućite ljudima jednostavan način da povuku svoju saglasnost ako promene mišljenje (na primer, putem skripti za odjavu na jedan klik)

3. Da li su podaci bezbedni?

Vaše preduzeće je odgovorno za lične podatke koje prikupljate. A rizikujete da budete kažnjeni ako oni dospeju u pogrešne ruke. Dakle:

• Koristite softver za šifrovanje kada skladištite ili prenosite lične podatke na mreži

• Obezbedite svoju mrežu. Nepažljivi zaposleni su glavni uzrok curenja podataka, zbog čega su čvrste IT smernice neophodne. Takođe treba da investirate u bezbednosni softver, uključujući zaštitni zid

• Kreirajte obaveštenja o kolačićima usaglašenim sa GDPR-om i smernicama za privatnost. Ovi primeri predložaka kolačića i primeri predložaka smernica za privatnost mogu pomoći. Takođe možete da proverite Microsoft centar za pouzdanost da biste saznali više o GDPR najboljim praksama

• Proverite da li su vaši dobavljači usklađeni sa GDPR-om

4. Šta ako dođe do ozbiljnog bezbednosnog incidenta?

Ozbiljna narušavanja morate da prijavite regulatoru u roku od 72 sata, ili rizikujete da budete kažnjeni. Pobrinite se da imate uspostavljene procedure za izveštavanje. I, što je još važnije, obučite svoje zaposlene da:

• Budu svesni

• Razumeju šta je ozbiljan bezbednosni incident

• Prepoznaju znakove upozorenja

Kakav je do sada bio uticaj GDPR-a na mala preduzeća?

Tu nema dve strane. Usklađenost sa GDPR-om oduzima mnogo vremena i skupa je. Uoči 25. maja 2018, mala preduzeća u Velikoj Britaniji su u proseku potrošila oko 600 sati svako na pripreme za GDPR. A da ne govorimo o finansijskim troškovima. Globalno gledano, mala i srednja preduzeća su potrošila 1,3 miliona USD na usklađenost sa GDPR-om. Isto tako, neusaglašenost može imati razoran uticaj na vaš rezultat. U prvom slučaju ikada vezanom za GDPR, jedna nemačka društvena mreža kažnjena je sa 20.000 evra (približno 22.600 dolara) zbog toga što nije zaštitila lične podatke korisnika nakon što je haker ukrao 330.000 adresa e-pošte i lozinki. Iako možda imate iskušenje da to posmatrate kao teret, usaglašenost sa GDPR-om je takođe imala pozitivan uticaj na mala preduzeća. Evo i zašto. Potrošači nikada nisu ozbiljnije shvatali svoju privatnost. I očekuju da preduzeća sa kojima dele svoje informacije osećaju isto. U nedavno sprovedenom istraživanju, čak 69% potrošača u SAD izjavilo je da bi želelo da se u SAD donese zakon sličan GDPR-u. Štaviše, istraživanje organizacije CMO Council pokazalo je da su preduzeća spremna za GDPR zabeležile bolji angažman, veću lojalnost i povećano poverenje potrošača. Jasno je da je GDPR više od gomile pravila koja morate da poštujete da ne biste bili kažnjeni. Niko ne voli kada mu se privatne informacije uzmu bez saglasnosti. Ili kada se čuvaju negde gde kriminalci mogu da dođu do njih. Zato, preduzimajući korake ka usaglašenosti sa GDPR-om, možete da pozicionirate svoje malo preduzeće kao ono koje zaista brine o privatnim podacima svojih klijenata. A to bi vam moglo pružiti prednost u odnosu na konkurenciju.