GDPR pogosto deluje kot predpis, namenjen velikim korporacijam z oddelki za skladnost. V resnici pa velja za vsako podjetje, ki obdeluje osebne podatke — torej tudi za frizerski salon, ki vodi seznam strank, ali za s.p., ki pošilja e-novice. Dobra novica je, da za osnovno skladnost ne potrebujete odvetnika. Potrebujete pa jasno razumevanje, kaj morate imeti urejeno.
Katere obveznosti imate kot malo podjetje
Splošna uredba o varstvu podatkov (GDPR) od vsakega upravljavca osebnih podatkov zahteva tri temeljne stvari. Prvič, zakonito podlago za obdelavo — to pomeni, da morate za vsako vrsto podatkov vedeti, zakaj jih zbirate (pogodbeni odnos, privolitev, zakonska obveznost ali zakoniti interes). Drugič, obveščenost posameznikov — stranke morajo vedeti, katere podatke zbirate, zakaj in kako dolgo jih hranite. Tretjič, ustrezno varovanje podatkov — torej tehnične in organizacijske ukrepe, ki preprečujejo nepooblaščen dostop.
V praksi to za malo podjetje pomeni, da morate imeti politiko zasebnosti (obvestilo o obdelavi osebnih podatkov), ki je dostopna strankam, ter interni pregled nad tem, kje se osebni podatki nahajajo — v računovodskem programu, v e-poštnem predalu, v Excelovi tabeli ali pri zunanjem izvajalcu.
Kaj morate imeti urejeno v praksi
Brez velikih stroškov ali zunanjih svetovalcev lahko uredite naslednje:
- Politika zasebnosti na spletni strani. Če imate spletno stran, objavite jasno in razumljivo obvestilo o obdelavi osebnih podatkov. Navedite, kdo ste, katere podatke zbirate, zakaj, koliko časa jih hranite in kako vas posameznik lahko kontaktira za uveljavljanje pravic.
- Evidenca dejavnosti obdelave. GDPR v 30. členu zahteva vodenje evidence obdelave za podjetja z več kot 250 zaposlenimi, a tudi manjša podjetja morajo voditi evidenco, če obdelava ni občasna. V praksi priporočam vsem: preprosta tabela z vrstami podatkov, nameni, podlagami in roki hrambe zadostuje.
- Pogodbe z obdelovalci. Če vaše podatke obdeluje zunanji izvajalec — na primer računovodski servis, ponudnik e-poštnega marketinga ali ponudnik oblačne hrambe — morate imeti z njim sklenjeno pogodbo o obdelavi osebnih podatkov (t. i. DPA). Večina večjih ponudnikov jo ima pripravljeno, morate pa jo dejansko podpisati ali potrditi.
- Postopek za zahteve posameznikov. Posameznik vas lahko zaprosi za vpogled, popravek ali izbris svojih podatkov. Vedeti morate, kdo v podjetju obravnava takšne zahteve in v kakšnem roku (praviloma 30 dni).
- Privolitve za tržno komuniciranje. Če pošiljate e-novice ali SMS-sporočila, morate imeti dokazljivo privolitev prejemnika. Vnaprej označeno polje na obrazcu ni veljavna privolitev.
Kdaj potrebujete pooblaščenca (DPO)
Pooblaščenca za varstvo podatkov (DPO) morajo imenovati podjetja, ki kot temeljno dejavnost izvajajo redno in sistematično spremljanje posameznikov v velikem obsegu ali obdelujejo posebne vrste podatkov (zdravstveni podatki, podatki o kazenskih obsodbah). Za tipično malo podjetje — trgovino, gostinski lokal, storitveni s.p. — imenovanje DPO ni obvezno.
Kljub temu je smiselno, da nekdo v podjetju prevzame odgovornost za to področje. Ni treba, da je pravnik — dovolj je, da pozna osnove, spremlja novosti in poskrbi, da se pravila upoštevajo v praksi. Informacijski pooblaščenec RS na svoji spletni strani ponuja brezplačne smernice in vzorce dokumentov, ki so dober začetek.