Kas GDPR kehtib ka minu ettevõtte suhtes?
Jah, peaaegu kõikidel juhtudel. Üldine andmekaitse määrus ei sea piiranguid käibe, töötajate arvu ega sektori osas. Niipea kui teie ettevõte töötleb isikuandmeid, näiteks nimesid, e-posti aadresse või palgaandmeid, kehtib määrus sellisele töötlusele. See kehtib nii ühekimususettevõttele ühe kliendiga kui ka paigaldusettevõttele, millel on viiskümmend töötajat.
Erinevus selliste regulatsioonidega nagu NIS2, CSRD või VSME-standard on see, et need kehtivad ettevõtte suuruse või sektori miinimumpiirangute järgi. GDPR töötab teisiti: otsustav pole teie ettevõtte suurus, vaid see, kas isikuandmeid töödeldakse ja millal. Seepärast mõjutab GDPR praktikas peaaegu igat ettevõtet, kuigi see ei tundu alati nii.
Mida määrus isikuandmete all mõistab
GDPR määratleb isikuandmed kui kõik teave tuvastatud või tuvastatava füüsilise isiku kohta. See on laiem kui paljud ettevõtjad arvavad. Kliendinimestik, personalidossee, taotluskiri, mis endiselt postkastis on, või kaamerapildid sisepääsu juures — kõik see kuulub selle alla. Isegi zzp-nik, kes saadab ainult arved nime ja aadressiga, töötleb juba isikuandmeid.
Määrus teeb vahet andmete töötlemise vastutaval isikul, kes määrab, miks ja kuidas andmeid töödeldakse, ja töötlejal, kes seda kellegi teise nimel teeb. Näiteks palgahalduse büroo on teie personali palgaandmete töötleja, samas kui teie ise olete andmete töötlemise vastutav isik. Milline roll teie ettevõttele kehtib ja millised kohustused sellega kaasnevad, on iga situatsiooni puhul erinev ning selles saavad selgust anda järelevalveasutus ja jurist.
Miks see teema ilmub teie kliendi küsimustikus
Ostjad küsivad oma tarnijatelt üha sagedamini mitte ainult jätkusuutlikkuse või küberjulgeoleku kohta, vaid ka isikuandmete käitlemise kohta. See juhtub näiteks siis, kui töötlete oma kliendi nimel tema töötajate või lõppklientide andmeid või kui teil on juurdepääs süsteemidele, kus selliseid andmeid hoitakse. Sel juhul soovib ostja teada, kas on olemas andmetöötlemise leping, kas hoitakse andmetöötluste registrit ja kuidas andmeraiskeid esitatakse.
Need küsimused kattuvad sageli küberjulgeoleku küsimustikuga, sest infosüsteem ja andmekaitsel on praktikas tihedalt seotud. Ettevõte, mis tarnib klientidele tarkvara või haldusteenuseid, kohtab neid küsimusi varem kui paigaldusettevõte, mis teostab peamiselt füüsilist tööd. Kes seda tüüpi küsimusi korduvalt erinevates erinevate klientide vormingutes kohtab, võib teadmusbaasis iga teema kohta näha mis on sellise küsimuse taust ja kus leida ametlikku teksti.
Mida see praktikas tähendab
Kas GDPR kehtestab konkreetselt kohustusi, nagu andmekaitsealane isik, andmetöötlemise leping või andmetöötluste register, sõltub andmetöötluse laadist ja ulatusest teie ettevõttes. See ei ole küsimus, millele saab üldistele vastata; määruse endi ja riikliku järelevalveasutuse juhised annavad selleks kriteeriumid. Enamiku väikeettevõtete jaoks on lähtepunkt lihtne: kaardistada, millist isikuandmete töödelda, kellelt ja millise eesmärgiga.
See ülevaade on kasulik ka siis, kui ostja seda küsib. Säilitage dokumente, nagu andmetöötlemise leping või privaatsusavaldus, kindlal kohal, et te ei peaks neid iga kord uuesti otsima. Kuidas see ühe ketendossiee piires toimib ja kuidas seal olevad andmed on kaitstud, saate lugeda lehelt kuidas andmeid ja privaatsust kaitstakse.
Kas soovite esmalt näha, millised küsimustikud ja teemad on teie ettevõtte jaoks asjakohased, sealhulgas küsimus, kas andmekaitse neis rolli mängib? Tehke tasuta kontroll mõne küsimusega esimese näitamise saamiseks, või lugege seda, kuidas vastuseid korduma kippuvatele küsimustele teised ettevõtjad sellega toimetavad. Oma olukorra puhul on mõtlik kahtluse korral võtta ühendust pädevas järelevalveametiga või juristiga.