Koskeeko GDPR myös yritystäni?
Kyllä, lähes kaikissa tapauksissa. Yleisellä tietosuoja-asetuksella (GDPR) ei ole kynnyistä liikevaihdolle, henkilöstölle tai toimialalle. Heti kun yrityksesi käsittelee henkilötietoja, kuten nimiä, sähköpostiosoitteita tai palkkatietoja, asetus koskee kyseistä käsittelyä. Tämä pätee sekä yhden henkilön yritykseen, jolla on yksi asiakas, että asentajaliikkeeseen, jolla on viisikymmentä työntekijää.
Ero säädöksiin, kuten NIS2, CSRD tai VSME-standardiin, on se, että niissä on kynnyisarvot yrityksen koolle tai toimialalle. GDPR toimii toisin: ratkaisevaa ei ole yrityksesi koko, vaan kysymys siitä, käsitelläänkö henkilötietoja ja millä tavalla. Tämän vuoksi GDPR koskee käytännössä lähes jokaista yritystä, vaikka se ei aina tunnu siltä.
Mitä asetus ymmärtää henkilötiedoilla
GDPR määrittelee henkilötiedot kaikeksi tiedoksi tunnistetusta tai tunnistettavasta luonnollisesta henkilöstä. Se on laajempi käsite kuin monet yrittäjät ajattelevat. Asiakkaiden osoiteluettelo, henkilöstötiedosto, rekrytointisähköpostissa oleva kirje tai kameroiden kuvat sisäänkäynnillä: se kaikki kuuluu siihen. Jopa freelancerit, jotka vain lähettävät laskuja nimellä ja osoitteella, käsittelevät henkilötietoja.
Asetus erottaa rekisterinpitäjän, joka määrittää, miksi ja miten tietoja käsitellään, ja käsittelijän, joka tekee sen jonkun muun puolesta. Esimerkiksi palkanlaskentayritys on käsittelijä henkilöstösi palkkatietojen osalta, kun taas sinä itse olet rekisterinpitäjä. Mitä roolia sovelletaan yrityksessäsi ja mitkä velvoitteet siihen liittyvät, vaihtelee tilanteen mukaan, ja valvontaviranomainen ja lakimies voivat antaa siitä täsmällistä ohjeita.
Miksi tämä aihe esiintyy asiakkaasi kyselylomakkeessa
Ostajat kysyvät toimittajiltaan yhä useammin ei vain kestävyydestä tai kyberturvallisuudesta, vaan myös henkilötietojen käsittelystä. Tämä tapahtuu esimerkiksi silloin, kun käsittelet asiakkaasi työntekijöiden tai loppuasiakkaiden tietoja tämän puolesta tai kun sinulla on pääsy järjestelmiin, joissa tällaisia tietoja on. Tässä tapauksessa ostaja haluaa tietää, onko käsittelijän sopimus olemassa, pidetäänkö käsittelyjen rekisteriä, ja miten tietovuoto ilmoitetaan.
Nämä kysymykset usein päällekkäisyvät kyberturvallisuuskysymysten kanssa, koska tietoturva ja tietosuoja käytännössä liittyvät läheisesti toisiinsa. Yritys, joka toimittaa asiakkaille ohjelmistoja tai hallinnollisia palveluita, kohtaa nämä kysymykset todennäköisemmin kuin asentajaliike, joka tekee pääasiassa fyysistä työtä. Kuka kohtaa tämäntyyppisiä kysymyksiä toistuvasti eri muodoissa eri asiakkailta, voi tietopankissa aiheittain lukea mitä kyseisen kysymyksen tausta on ja mistä virallinen teksti löytyy.
Mitä tämä tarkoittaa käytännössä
Se, asettaako GDPR tiettyjä velvoitteita, kuten tietosuojavaltuutetun, käsittelijän sopimuksen tai käsittelyjen rekisterin, riippuu yrityksessä tapahtuvista käsittelyistä niiden luonteen ja laajuuden osalta. Se ei ole kysymys, johon voidaan vastata yleisesti; asetus itse ja kansallisen valvontaviranomaisen ohjaavat periaatteet antavat siihen kriteerit. Useimmille pk-yrityksille lähtökohta on yksinkertainen: kartoita, mitä henkilötietoja käsitellään, kenen tietoja ja mihin tarkoitukseen.
Tämä yleiskatsaus on hyödyllinen myös silloin, kun ostaja siitä kysyy. Säilytä asiakirjat, kuten käsittelijän sopimus tai tietosuojaselosteet, kiinteässä paikassa, jotta sinun ei tarvitse etsiä niitä uudelleen joka kerta. Kuinka tämä toimii yhden ketendossierin sisällä ja miten siinä olevat tiedot turvataan, voit lukea sivulla kuinka tietoja ja yksityisyyttä suojataan.
Haluaisitko ensin nähdä, mitkä kyselykaavakkeet ja aiheet ovat relevantteja yrityksellesi, mukaan lukien kysymys siitä, onko tietosuojalla roolia? Tee ilmainen tarkistus muutamalla kysymyksellä saadaksesi alustavaa viitettä, tai lue, kuinka vastaukset usein kysyttyihin kysymyksiin muut yrittäjät ratkaisevat tämän asian. Omassa tilanteessasi on järkevää kuulla epävarmuuden tapauksessa asianomaiselta valvontaviranomaista tai lakimiestä.