Прилага ли се GDPR и за моя бизнес?
Да, в почти всички случаи. Общият регламент за защита на данните не познава праг за оборот, персонал или сектор. Веднага след като вашето предприятие обработва лични данни, като имена, имейл адреси или лични данни на служителите, разпоредбата се прилага за тази обработка. Това важи за еднолично предприятие с един клиент точно както и за монтажна компания с петдесет служители.
Разликата с регламенти като NIS2, CSRD или стандарта VSME е, че те работят с прагове за размера на предприятието или сектора. GDPR работи по-различно: не размерът на вашето предприятие е определящ, а въпросът дали се обработват лични данни и как. Поради това GDPR в практиката засяга почти всяко предприятие, дори и да не се чувства винаги така.
Какво разбира разпоредбата под лични данни
GDPR определя личните данни като цяла информация за идентифицирано или идентифицируемо физическо лице. Това е по-широко, отколкото много предприемачи мислят. Адресен списък на клиентите, служебно досие, писмо за кандидатстване, което все още е в пощенския сандък, или видеозаписи при входа: всичко това попада в обхвата. Дори фрилансър, който само изпраща фактури с име и адрес, вече обработва лични данни.
Разпоредбата прави разлика между отговорника за обработката, който определя защо и как се обработват данните, и преработвателя, който го прави от името на друг. Например компания за управление на заплати е преработвател на лични данни на служителите на заплати, докато вие сте отговорник за обработката. Коя роля е приложима за вашето предприятие и какви задължения имат, е нещо, което варира в зависимост от ситуацията и по което надзорният орган и адвокат могат да дадат отговор.
Защо тази тема се появява в попълнения на вашия клиент
Клиентите все по-често питат своите доставчици не само за устойчивост или кибербезопасност, но и как се справяни с личните данни. Това се случва например, когато обработвате данни на служители или крайни клиенти на ваш клиент от его име, или когато имате достъп до системи, в които са съхранени такива данни. В този случай клиентът иска да знае дали има договор за преработка, дали се поддържа регистър на обработките и как се докладва нарушението на данни.
Тези въпроси често се припокриват с въпросника за кибербезопасност, защото информационната сигурност и защитата на данните практически са близко свързани. Компания, която доставя софтуер или административни услуги на клиенти, се сблъсква с тези въпроси по-често, отколкото монтажна компания, която главно извършва физически работи. Всеки, който многократно срещне такива въпроси в различни формати от различни клиенти, може да прочете в базата знания по темата каква е фундаментално на такъв въпрос и където официалния текст е намираем.
Какво означава това в практиката
Дали GDPR налага конкретни задължения като функционер за защита на данните, договор за преработка или регистър на обработките, зависи от естеството и обхвата на обработката в рамките на вашето предприятие. Това не е въпрос, който може да бъде отговорен по общ начин; самата разпоредба и насоките на националния надзорен орган предоставят критериите за това. За повечето МСП предприятия начална точка е проста: да се определи какви лични данни се обработват, от кого и с каква цел.
Този преглед е полезен и когато клиент пита за него. Съхранявайте документи, като договор за преработка или декларация за неприкосновеност на личния живот, на固определено място, така че да не трябва да ги търсите всеки път наново. Как се справяти с това в един единствен дossier на веригата и как се защитават данните, които са там, прочетете на страницата за как се защитават данните и поверителността.
Искате ли първо да видите кои въпросници и теми са актуални за вашата компания, включително дали защитата на данните играе роля в това? Направете безплатната проверка в няколко въпроса за първоначална индикация, или прочетете как отговорите на често задавани въпроси други предприемачи подхождат към това. За конкретната ситуация е разумно в случай на съмнение да се консултирате с надлежния надзорен орган или с юрист.