Відповідність вимогам GDPR і малий бізнес

Ні, не звільняються. GDPR застосовується щоразу, коли бізнес збирає персональні дані особи, яка перебуває в ЄС. Це правило діє незалежно від того, чи працюєте ви самостійно, чи маєте офіси на шести континентах.

Утім, вам не обов’язково вести письмовий облік своєї діяльності з обробки даних, якщо у вас працює менше ніж 250 співробітників, хіба що:

• Ваша діяльність з обробки даних може вплинути на права та свободи людей.

• Ви обробляєте дані, які підпадають під дію Статті 9 GDPR. Це дані, які розкривають:
  • расову або етнічну приналежність;
  • політичні, релігійні або філософські переконання;
  • членство в профспілках;
  • генетичні чи біометричні дані, або ж дані про здоров’я чи сексуальне життя людини.

• Ви обробляєте персональні дані, що підпадають під дію Статті 10, тобто дані, які стосуються кримінальних правопорушень та судимостей.

• Ви обробляєте персональні дані на регулярній основі.

Багато малих бізнесів та ФОП не підпадатимуть під перші три винятки.

Але як щодо четвертого? Бельгійська комісія із захисту конфіденційності припустила, що не вся обробка даних є "регулярною", навіть якщо ви можете здійснювати її щодня. Відповідно до цього тлумачення, вам, наприклад, не потрібно вести облік персональних даних, які ви використовуєте для оформлення замовлень або спілкування з клієнтами. Проте в офіційному документі Робочої групи Статті 29 – попередника Європейської ради із захисту даних – зазначається, що термін "регулярна" слід тлумачити буквально. І Європейська рада із захисту даних погодилась із цим. Оскільки ця позиція є досить неоднозначною, варто все ж таки вести облік даних, навіть якщо ви вважаєте, що звільнені від цього обов'язку. Краще перестрахуватися.

Так. GDPR поширюється на компанії США, якщо вони:

• ведуть бізнес у ЄС;

• не ведуть бізнес у ЄС, але збирають або відстежують персональні дані людей, які фізично перебувають у ЄС (до них належать і ті люди, які подорожують країнами ЄС, але зазвичай там не проживають). Ви можете робити це, навіть не усвідомлюючи цього. Наприклад, якщо файли cookie вашого сайту можна використовувати для ідентифікації особи, вони вважаються персональними даними згідно з GDPR.

Якщо ви хочете продовжувати вести бізнес у ЄС, вам доведеться дотримуватися вимог GDPR. Інакше ви ризикуєте отримати величезний штраф. Якщо ви не ведете бізнес у ЄС, у вас є два варіанти:

• усе одно дотримуватися вимог GDPR;

• обмежити доступ до свого вебсайту, щоб він не міг збирати персональні дані людей, які перебувають у ЄС.

Коли GDPR лише набрав чинності, багато американських вебсайтів заблокували користувачів із ЄС, щоб не порушувати регламент. Наприклад, станом на серпень 2018 року понад 1000 новинних сайтів США були недоступні в ЄС. Деякі видавці вирішили назавжди піти з ринку ЄС. Представник компанії Lee Enterprises Чарльз Армс (Charles Arms) прокоментував це так: "Інтернет-трафік на сайтах наших місцевих новин, що надходить із ЄС та ЄЕЗ, є незначним, і ми вважаємо, що блокування цього трафіку відповідає найкращим інтересам наших клієнтів із місцевих медіа". Утім, багатьом американським вебсайтам зараз удалося повернутися в онлайн-простір ЄС без жодних проблем. І сайт вашого малого бізнесу також може бути доступним у ЄС без зайвого клопоту. Це підводить нас до наступного питання.

Стати на шлях до дотримання вимог GDPR для вашого малого бізнесу не так складно, як ви можете думати. Ось контрольний список відповідності GDPR, з якого можна почати.

1. Які персональні дані ви збираєте?

Ви повинні знати, яку саме персональну інформацію ви збираєте та чи є якісь із цих даних делікатними, тобто чи підпадають вони під категорії, зазначені у Статтях 9 і 10 GDPR. Також варто запитати себе:

• Звідки надходить інформація?

• Для чого ви її збираєте?

• Що ви з нею робите?

Ви повинні бути готові відповісти на ці запитання, якщо вас запитають.

2. Чи маєте ви згоду?

Якщо у вас немає законних підстав для використання персональних даних, люди мають надати на це свою згоду. Вона має бути:

• наданою добровільно;

• конкретною;

• обґрунтованою;

• однозначною.

Ви повинні вести письмовий облік наданої згоди. Ви також маєте забезпечити швидке та просте відкликання згоди. Програмне забезпечення для керування зв’язками із замовниками, що відповідає вимогам GDPR, може допомогти в цьому. Зокрема, воно може:

• вести письмовий облік імен людей та персональних даних, які ви про них зберігаєте;

• фіксувати їхню згоду, чітко зазначаючи, на що саме вони погодилися (наприклад, на отримання вашої щомісячної розсилки);

• надати людям простий спосіб відкликати свою згоду, якщо вони змінять свою думку (наприклад, за допомогою скриптів скасування підписки в один клік).

3. Чи в безпеці дані?

Ваш бізнес несе відповідальність за персональні дані, які ви збираєте. І ви ризикуєте отримати штраф, якщо вони потраплять до чужих рук. Отже:

• Використовуйте програмне забезпечення для шифрування під час зберігання або передавання персональних даних в Інтернеті.

• Захистіть свою мережу. Недбалий персонал – головна причина витоків даних, тож надійна ІТ-політика є обов’язковою. Також варто інвестувати в програмне забезпечення для захисту, зокрема у брандмауер.

• Створіть повідомлення про файли cookie й політику конфіденційності, що відповідають вимогам GDPR. У цьому можуть допомогти ці приклади шаблонів для cookie та приклади шаблонів політики конфіденційності. Ви також можете відвідати Центр безпеки й конфіденційності Microsoft, щоб дізнатися більше про найкращі практики GDPR.

• Перевірте своїх постачальників на відповідність вимогам GDPR.

4. Що робити, якщо стався серйозний витік даних?

Ви повинні повідомити регулятора про серйозні витоки протягом 72 годин, інакше ризикуєте отримати штраф. Переконайтеся, що у вас упроваджено процедури звітування. І, що ще важливіше, навчіть своїх співробітників:

• бути пильними;

• розуміти, що таке серйозний витік даних;

• розпізнавати тривожні сигнали.

Яким був вплив GDPR на малий бізнес до сьогодні?

Тут без варіантів: забезпечення відповідності вимогам GDPR потребує багато часу та значних витрат. Напередодні 25 травня 2018 року малі підприємства у Великій Британії витратили близько 600 годин кожне лише на підготовку до GDPR. І це не враховуючи фінансових витрат. У глобальному масштабі малі та середні підприємства витратили на дотримання відповідності GDPR 1.3 мільйона доларів. З іншого боку, недотримання вимог може мати приголомшливий ефект для вашого чистого прибутку. У найпершій справі щодо порушення GDPR німецька соціальна мережа отримала штраф у розмірі 20 000 євро (приблизно 22 600 доларів) за незабезпечення безпеки персональних даних користувачів після того, як хакер викрав 330 000 адрес електронної пошти та паролів. Проте, хоча у вас може виникнути спокуса сприймати це як тягар, відповідність вимогам GDPR також мала і позитивний вплив на малий бізнес. І ось чому. Споживачі ще ніколи не ставилися до своєї приватності так серйозно. І вони очікують, що компанії, з якими вони діляться своєю інформацією, ставитимуться до цього так само. У нещодавньому дослідженні 69 % американських споживачів навіть зазначили, що хотіли б бачити в США закон, подібний до GDPR. Ба більше, дослідження CMO Council виявило, що компанії, які підготувалися до GDPR, зафіксували вищий рівень залученості, більшу лояльність та зростання довіри з боку споживачів. Очевидно, що GDPR – це набагато більше, ніж просто набір правил, яких потрібно дотримуватися, щоб не отримати штраф. Нікому не подобається, коли їхню особисту інформацію беруть без згоди. Або зберігають там, де до неї можуть дістатися злочинці. Тож, уживаючи заходів для дотримання вимог GDPR, ви можете позиціонувати свій малий бізнес як такий, що дійсно піклується про приватні дані клієнтів. І це може дати вам перевагу над конкурентами.