การปฏิบัติตามข้อบังคับ GDPR และธุรกิจขนาดเล็ก

ไม่ GDPR มีผลบังคับใช้เมื่อธุรกิจมีการเก็บรวบรวมข้อมูลส่วนบุคคลจากบุคคลที่อยู่ในสหภาพยุโรป โดยกฎระเบียบนี้มีผลครอบคลุมไม่ว่าคุณจะดำเนินธุรกิจเพียงลำพัง หรือมีสำนักงานตั้งอยู่ทั่วทั้ง 6 ทวีปก็ตาม

ถึงอย่างนั้น คุณไม่จำเป็นต้องเก็บบันทึกกิจกรรมการประมวลผลข้อมูลเป็นลายลักษณ์อักษร ถ้าคุณมีพนักงานน้อยกว่า 250 คน เว้นแต่:

• กิจกรรมการประมวลผลข้อมูลของคุณอาจส่งผลกระทบต่อสิทธิและเสรีภาพของบุคคล

• คุณกำลังประมวลผลข้อมูลที่อยู่ภายใต้มาตรา 9 ของ GDPR นี่คือข้อมูลที่เปิดเผยเกี่ยวกับบุคคลในเรื่อง:
  • เชื้อชาติหรือชาติพันธุ์
  • ความเชื่อทางการเมือง ศาสนา หรือปรัชญา
  • การเป็นสมาชิกสหภาพแรงงาน
  • ข้อมูลพันธุกรรมหรือข้อมูลไบโอเมตริก หรือข้อมูลเกี่ยวกับสุขภาพหรือรสนิยมทางเพศของบุคคลนั้น

• คุณประมวลผลข้อมูลส่วนบุคคลที่ครอบคลุมโดยมาตรา 10 ซึ่งก็คือข้อมูลที่เกี่ยวข้องกับความผิดทางอาญาและคำพิพากษาลงโทษ

• คุณประมวลผลข้อมูลส่วนบุคคลเป็นประจำ

ธุรกิจขนาดเล็กและผู้ประกอบการรายย่อยจำนวนมากจะไม่เข้าข่ายข้อยกเว้นสามข้อแรก

แล้วข้อที่สี่ล่ะ คณะกรรมาธิการด้านความเป็นส่วนตัวของเบลเยียมระบุว่า ไม่ใช่การประมวลผลข้อมูลทุกรูปแบบที่จะถือเป็นเรื่องที่เกิดขึ้น “ประจำ” แม้ว่าคุณอาจจะดำเนินการดังกล่าวเป็นประจำทุกวันก็ตาม ตามการตีความนี้ คุณไม่จำเป็นต้องเก็บบันทึกข้อมูลส่วนบุคคลที่คุณใช้สำหรับการสั่งซื้อหรือการสื่อสารกับลูกค้า เป็นต้น ทว่าเอกสารจุดยืนของ Article 29 Working Party ซึ่งเป็นหน่วยงานต้นสังกัดก่อนที่จะมาเป็นคณะกรรมการคุ้มครองข้อมูลแห่งยุโรป ดูเหมือนจะชี้แนะว่า คุณควรตีความคำว่า “ประจำ” ตามความหมายตรงตัว และคณะกรรมการคุ้มครองข้อมูลแห่งยุโรปก็เห็นด้วย เพราะจุดยืนนี้ยังไม่ชัดเจน จึงเป็นความคิดที่ดีที่จะเก็บบันทึกไว้ แม้ว่าคุณจะคิดว่าตัวเองได้รับการยกเว้นก็ตาม กันไว้ดีกว่าแก้

มี GDPR มีผลบังคับใช้กับบริษัทในสหรัฐอเมริกาด้วย หาก:

• ทำธุรกิจในสหภาพยุโรป

• ไม่ได้ทำธุรกิจในสหภาพยุโรป แต่เก็บรวบรวมหรือติดตามข้อมูลส่วนบุคคลของผู้ที่อยู่ในสหภาพยุโรปโดยตรง (รวมถึงผู้ที่เดินทางอยู่ในสหภาพยุโรปแต่ไม่ได้อาศัยอยู่ที่นั่นเป็นปกติ) คุณอาจกำลังทำสิ่งนี้อยู่โดยไม่รู้ตัว ตัวอย่างเช่น หากคุกกี้ของเว็บไซต์คุณใช้เพื่อระบุตัวบุคคล คุกกี้เหล่านั้นจะนับเป็นข้อมูลส่วนบุคคลภายใต้ GDPR

ถ้าคุณต้องการดำเนินธุรกิจในสหภาพยุโรปต่อไป คุณต้องปฏิบัติตาม GDPR หรือไม่อย่างนั้น คุณอาจเสี่ยงถูกปรับหนัก หากคุณไม่ได้ทำธุรกิจในสหภาพยุโรป คุณมี 2 ทางเลือก ได้แก่:

• ปฏิบัติตาม GDPR

• จำกัดการเข้าถึงเว็บไซต์ของคุณ เพื่อไม่ให้สามารถเก็บรวบรวมข้อมูลส่วนบุคคลจากผู้ที่อยู่ในสหภาพยุโรปได้

ตอนที่ GDPR มีผลบังคับใช้ครั้งแรก เว็บไซต์ในสหรัฐฯ จำนวนมากได้ปิดกั้นผู้ใช้ในสหภาพยุโรป เพื่อหลีกเลี่ยงการละเมิด GDPR ตัวอย่างเช่น เว็บไซต์ข่าวของสหรัฐอเมริกามากกว่า1,000 แห่งไม่สามารถเข้าถึงได้ในสหภาพยุโรป ตั้งแต่เดือนสิงหาคม 2018 ผู้เผยแพร่บางรายตัดสินใจถอนตัวจากสหภาพยุโรปอย่างถาวรไปเลย Charles Arms โฆษกของ Lee Enterprises ได้แสดงข้อคิดเห็นว่า: “ปริมาณการใช้งานบนอินเทอร์เน็ตของเว็บไซต์ข่าวท้องถิ่นของเราที่มาจากสหภาพยุโรปและ EEA นั้นมีจำนวนน้อยมากจนแทบไม่มีนัยสำคัญ และเราเชื่อว่าการปิดกั้นการเข้าชมจากพื้นที่ดังกล่าวถือเป็นผลดีที่สุดต่อลูกค้าสื่อท้องถิ่นของเรา” อย่างไรก็ตาม ปัจจุบันเว็บไซต์ในสหรัฐฯ จำนวนมากกลับมาใช้งานได้ในสหภาพยุโรปโดยไม่มีปัญหาใดๆ แล้ว และเว็บไซต์ธุรกิจขนาดเล็กของคุณก็สามารถให้บริการในสหภาพยุโรปได้โดยไม่ต้องกังวลว่าจะเกิดปัญหาเช่นกัน ซึ่งนำเราไปสู่ประเด็นถัดไป

การพาธุรกิจขนาดเล็กของคุณไปสู่การปฏิบัติตาม GDPR ไม่ได้ยากอย่างที่คุณคิด นี่คือรายการปฏิบัติตาม GDPR ที่จะช่วยให้คุณเริ่มต้นได้

1. คุณเก็บรวบรวมข้อมูลส่วนบุคคลอะไรบ้าง

คุณควรรู้ว่าคุณเก็บรวบรวมข้อมูลส่วนบุคคลอะไรบ้าง และมีข้อมูลใดที่เป็นข้อมูลที่ละเอียดอ่อนหรือไม่ หรือก็คือข้อมูลที่อยู่ภายใต้หมวดหมู่ในมาตรา 9 และ 10 ของ GDPR คุณควรถามตัวเองด้วยว่า:

• ข้อมูลมาจากที่ไหน

• คุณเก็บข้อมูลไปเพื่ออะไร

• คุณกำลังทำอะไรกับข้อมูลนั้น

คุณต้องสามารถตอบคำถามเหล่านี้ได้

2. คุณได้รับความยินยอมหรือไม่

บุคคลจะต้องให้ความยินยอมก่อน เว้นแต่จะมีเหตุอันชอบด้วยกฎหมายในการใช้ข้อมูลส่วนบุคคล ความยินยอมนี้ต้อง:

• ให้ไว้โดยสมัครใจ

• เฉพาะเจาะจง

• เป็นที่รับทราบ

• ไม่น่าสงสัย

คุณต้องเก็บบันทึกความยินยอมเป็นลายลักษณ์อักษร และยังต้องทำให้การถอนความยินยอมทำได้ง่ายและรวดเร็วด้วย ซอฟต์แวร์ระบบจัดการลูกค้าสัมพันธ์ที่สอดคล้องกับ GDPR สามารถช่วยได้ โดยเฉพาะอย่างยิ่งในด้าน:

• การเก็บบันทึกเป็นลายลักษณ์อักษรเกี่ยวกับชื่อของบุคคลและข้อมูลส่วนบุคคลที่คุณถือครอง

• การบันทึกความยินยอม โดยระบุว่าบุคคลยินยอมให้คุณใช้ข้อมูลของตนเองเพื่ออะไรบ้าง เช่น เพื่อรับจดหมายข่าวรายเดือนของคุณ

• การเปิดทางให้บุคคลถอนความยินยอมได้อย่างง่ายดาย หากเปลี่ยนใจ (เช่น ผ่านสคริปต์ “ยกเลิกการสมัครรับข้อมูล” แบบคลิกครั้งเดียว)

3. ข้อมูลปลอดภัยหรือไม่

ธุรกิจของคุณต้องรับผิดชอบต่อข้อมูลส่วนบุคคลที่คุณเก็บรวบรวม และคุณเสี่ยงที่จะถูกปรับหากข้อมูลนั้นตกไปอยู่ในมือที่ไม่เหมาะสม ดังนั้น:

• ใช้ซอฟต์แวร์เข้ารหัสเมื่อจัดเก็บหรือส่งข้อมูลส่วนบุคคลทางออนไลน์

• รักษาความปลอดภัยให้เครือข่ายของคุณ พนักงานที่ขาดความระมัดระวัง คือสาเหตุหลักของการละเมิดข้อมูล ดังนั้นนโยบายด้านเทคโนโลยีสารสนเทศที่รัดกุมจึงเป็นสิ่งจำเป็น และคุณควรลงทุนในซอฟต์แวร์รักษาความปลอดภัย รวมถึงระบบไฟร์วอลล์ด้วย

• สร้างประกาศเกี่ยวกับคุกกี้และนโยบายความเป็นส่วนตัวที่สอดคล้องกับ GDPR ตัวอย่างเทมเพลตคุกกี้และตัวอย่างเทมเพลตนโยบายความเป็นส่วนตัวเหล่านี้ช่วยได้ และคุณยังสามารถดูที่ศูนย์ความเชื่อถือของ Microsoft เพื่อเรียนรู้เพิ่มเติมเกี่ยวกับแนวทางปฏิบัติสําหรับ GDPR ได้เช่นกัน

• ตรวจสอบกับซัพพลายเออร์ของคุณว่าได้ปฏิบัติตามข้อบังคับ GDPR หรือไม่

4. แล้วถ้าเกิดการละเมิดร้ายแรงล่ะ

คุณต้องรายงานการละเมิดร้ายแรงต่อหน่วยงานกำกับดูแลภายใน 72 ชั่วโมง มิฉะนั้นอาจเสี่ยงถูกปรับ ตรวจสอบให้แน่ใจว่าคุณมีขั้นตอนการรายงานไว้พร้อมแล้ว และที่สำคัญกว่านั้น ฝึกอบรมพนักงานของคุณให้:

• ตระหนักรู้

• เข้าใจว่าอะไรคือการละเมิดร้ายแรง

• สังเกตสัญญาณเตือน

จนถึงตอนนี้ GDPR ส่งผลกระทบต่อธุรกิจขนาดเล็กอย่างไรบ้าง

เรื่องนี้ชัดเจนอยู่แล้ว การปฏิบัติตามข้อกำหนด GDPR นั้นใช้เวลานานและมีค่าใช้จ่ายสูง ในช่วงก่อนวันที่ 25 พฤษภาคม 2018 ธุรกิจขนาดเล็กในสหราชอาณาจักรต่างใช้เวลาเตรียมความพร้อมสำหรับ GDPR เฉลี่ยประมาณ 600 ชั่วโมงต่อราย และนี่ยังไม่รวมต้นทุนทางการเงินอีก ในระดับโลก ธุรกิจขนาดเล็กและขนาดกลางใช้เงิน $1.3 ล้าน ไปกับการปฏิบัติตาม GDPR และในทำนองเดียวกัน การไม่ปฏิบัติตามข้อบังคับนี้อาจส่งผลกระทบอย่างหนักต่อผลกำไรของคุณได้ ในคดี GDPR คดีแรก เครือข่ายสังคมเจ้าหนึ่งในเยอรมนีถูกปรับ €20,000 (ประมาณ $22,600) โทษฐานที่ไม่สามารถรักษาความปลอดภัยให้กับข้อมูลส่วนบุคคลของผู้ใช้ได้ หลังจากแฮ็กเกอร์ขโมยที่อยู่อีเมลและรหัสผ่านไปกว่า 330,000 รายการ ในขณะที่คุณอาจมองว่านี่เป็นภาระ แต่การปฏิบัติตาม GDPR ก็ส่งผลเชิงบวกต่อธุรกิจขนาดเล็กเช่นกัน และนั่นก็คือ: ผู้บริโภคไม่เคยให้ความสำคัญกับความเป็นส่วนตัวมากเท่านี้มาก่อน และหลายๆ คนต่างคาดหวังว่าธุรกิจที่ตนแบ่งปันข้อมูลให้จะรู้สึกเช่นเดียวกัน ในการศึกษาล่าสุด 69% ของผู้บริโภคในสหรัฐฯ กล่าวว่าตนอยากเห็นกฎหมายที่คล้ายกับ GDPR บังคับใช้ในสหรัฐฯ บ้าง ที่สำคัญกว่านั้น การศึกษาของ CMO Council พบว่าบรรดาสมาชิกที่เตรียมพร้อมสำหรับ GDPR มีส่วนร่วมจากลูกค้ามากขึ้น ได้รับความภักดีสูงขึ้น และได้รับความไว้วางใจจากผู้บริโภคเพิ่มขึ้น เห็นได้ชัดว่า GDPR เป็นมากกว่ากฎระเบียบที่คุณต้องทำตามเพื่อไม่ให้ถูกปรับ ไม่มีใครชอบให้ข้อมูลส่วนตัวของตนถูกเอาไปโดยไม่ได้รับความยินยอม หรือถูกเก็บไว้ในที่ที่อาชญากรอาจเอื้อมถึงได้ ดังนั้นเมื่อคุณลงมือทำเพื่อให้ปฏิบัติตาม GDPR ได้ ก็สามารถวางตำแหน่งธุรกิจขนาดเล็กของคุณให้เป็นธุรกิจที่ใส่ใจข้อมูลส่วนตัวของลูกค้าอย่างแท้จริงแล้ว และนี่อาจทําให้คุณได้เปรียบในการแข่งขัน