Odnosi li se GDPR na moje poduzeće?
Da, u gotovo svim slučajevima. Opća uredba o zaštiti podataka nema praga za prihod, broj zaposlenih ili sektor. Čim vaše poduzeće obrađuje osobne podatke, kao što su imena, e-adrese ili podaci o plaćama, uredba se primjenjuje na tu obradu. To vrijedi za samozaposlenu osobu s jednim klijentom jednako kao i za instalacijsko poduzeće s pedeset zaposlenika.
Razlika od propisa kao što su NIS2, CSRD ili VSME-standard je što oni rade s pragovima za veličinu poduzeća ili sektor. GDPR funkcionira drugačije: nije veličina vašeg poduzeća odlučujuća, već pitanje obrađuju li se osobni podaci i na koji način. Zato GDPR u praksi utječe na gotovo svako poduzeće, čak i ako se ne čini uvijek tako.
Što uredba podrazumijeva pod osobnim podacima
GDPR razlikuje osobne podatke kao sve informacije o identificiranoj ili identificiranjoj prirodnoj osobi. To je šire nego što mnogim poduzetnicima čini. Popis adresa klijenata, osobna datoteka, pismo prijave koje je još u sandučiću, ili video snimke kod ulaza: sve to spada pod to. Čak i samozaposlena osoba koja samo šalje fakture s imenom i adresom već obrađuje osobne podatke.
Uredba razlikuje između odgovornog za obradu, koji određuje zašto i kako se podaci obrađuju, i obrađivača, koji to radi u čijem ime drugoga. Na primjer, ured za obračun plaća je obrađivač za podatke o plaćama vašeg osoblja, dok ste vi sami odgovorni za obradu. Koja se uloga primjenjuje na vaše poduzeće i koje obveze s njom dolaze je nešto što se razlikuje od situacije do situacije, a o čemu mogu dati pojašnjenja nadzorni organ i pravnik.
Zašto se ta tema pojavljuje u upitniku vašeg klijenta
Nabavljači sve češće od svojih dobavljača pitaju ne samo o održivosti ili kibernetskoj sigurnosti, već i o rukovanju osobnim podacima. To se događa na primjer kada obrađujete podatke o zaposlenicima ili krajnjim klijentima vašeg nabavljača u njegovo ime, ili kada imate pristup sustavima u kojima se nalaze takvi podaci. U tom slučaju nabavljač želi znati je li sklopljen ugovor o obradi, vodi li se register obrada i kako se javi curenje podataka.
Ta pitanja često se preklapaju s upitnicima o kibernetskoj sigurnosti, jer je sigurnost informacija i zaštita podataka u praksi blisko povezane. Poduzeće koje klijentima nudi softver ili upravne usluge prije će se susresti s tim pitanjima nego instalacijsko poduzeće koje se uglavnom bavi fizičkim radom. Tko se često nađe s takvim pitanjima u različitim formatima različitih klijenata, može u bazi znanja po temama pronaći koja je pozadina takvog pitanja i gdje se može pronaći službeni tekst.
Što to znači u praksi
Nameće li GDPR specifične obveze kao što su funkcionar za zaštitu podataka, ugovor o obradi ili register obrada, ovisi o prirodi i opsegu obrade unutar vašeg poduzeća. To nije pitanje na koje se može odgovoriti u općem obliku; sama uredba i smjernice nacionalnog nadzornog organa za to daju kriterije. Za većinu MKB-poduzeća polazna točka je jednostavna: mapirati koje se osobne podatke obrađuju, čije su to podatke i s kojom svrhom.
Taj pregled je koristan i kada vas nabavljač upita. Čuvajte dokumente kao što su ugovor o obradi ili izjava o privatnosti na jednom mjestu, kako ne biste morali svaki put iznova ih tražiti. Kako se to provodi unutar jedne datoteke lanca i kako se podaci u njoj štite, čitajte na stranici o kako se podaci i privatnost štite.
Želite li prvo vidjeti koje su liste pitanja i teme relevantne za vašu tvrtku, uključujući pitanje ima li zaštita podataka ulogu? Napravite besplatnu provjeru u nekoliko pitanja za prvi pokazatelj, ili pročitajte kako odgovore na često postavljana pitanja drugi poduzetnici rješavaju to. Za vašu osobnu situaciju razumno je da u slučaju sumnje savjetujete nadležnog nadzornog tijela ili pravnika.