Ar GDPR taikoma ir mano įmonei?
Taip, beveik visais atvejais. Bendras duomenų apsaugos reglamentas nežino slenkščio pagal apyvartą, darbuotojų skaičių ar sektorių. Kai tik jūsų įmonė apdoroja asmenines duomenis, pavyzdžiui, vardus, el. pašto adresus arba atlyginimo duomenis, reglamentas taikomas tam apdorojimui. Tai galioja ir vienasmeniui verslui su vienu klientu, ir šildymo įrengimų įmonei su penkiasdešimčia darbuotojų.
Skirtumas su reglamentais, tokiais kaip NIS2, CSRD arba VSME standartas, yra tas, kad jie naudoja verslo dydžio arba sektoriaus slenksčius. BDAR veikia kitaip: tai nėra jūsų verslo apimtis, bet klausimas, ar apdorojami asmeniniai duomenys ir kaip. Dėl to praktikoje BDAR paveikia beveik kiekvieną verslą, net jei tai kartais nejautiesi.
Ką reglamentas supranta pagal asmenius duomenis
BDAR skiria asmenines duomenis kaip bet kurią informaciją apie identifikuotą arba identifikuojamą fizinį asmenį. Tai platesnė nei daugelis verslininkų mano. Kliento sąraše, personalinio bylos, dar pašte esančias prašymo išdavimo laiškai arba vaizdo kameros prie įėjimo: viskas patenka po šia dalimi. Net ir atsiskaitomasis fizinis asmuo, kuris tik siunčia sąskaitas su vardu ir adresu, jau apdoroja asmenines duomenis.
Reglamentas čia skiria apdorojamą atsakingą asmenį, kuris nustato, kodėl ir kaip apdorojami duomenys, ir apdorojamąjį, kuris tai daro kito vardu. Pavyzdžiui, atlyginimo administracinė įstaiga yra apdorojamoji jūsų personalo atlyginimo duomenims, tuo tarpu jūs pats esate apdorojamas atsakingasis asmuo. Kuri iš šių vaidmenų taikoma jūsų verslui ir kokios pareigos su tuo susijusios, priklauso nuo kiekvienos situacijos ir yra toliaus nustatytas nuo priežiūros institucijos bei juristo.
Kodėl šis klausimas grįžta į jūsų kliento klausimyną
Pirkėjai vis dažniau klausia savo tiekėjų ne tik apie tvarumą ar kibernetinį saugumą, bet ir apie asmeninių duomenų tvarką. Tai nutinka, pavyzdžiui, kai apdorojate jūsų kliento darbuotojų arba galutinių klientų duomenis jo vardu, arba kai turite prieigą prie sistemų, kuriose yra tokios informacijos. Tokiu atveju pirkėjas nori žinoti, ar yra apdorojamoji sutartis, ar vedamas apdorojimų registras ir kaip pranešama apie duomenų kebą.
Šie klausimai dažnai sutampa su kibernetinio saugumo klausimyne, nes informacijos saugumas ir duomenų apsauga praktikoje yra glaudžiai susiję. Įmonė, kuri klausams teikia programinę įrangą arba administracinės paslaugas, greičiau susidurs su šiais klausimais nei šildymo įrengimų įmonė, kuri daugiausia atlieka fizinį darbą. Kas šiuos klausimus pakartotinai susiduria su skirtingais skirtingų klientų formatais, gali naudoti žinių banką pagal temą sužino, kokia to klausimo fone yra ir kur galima rasti oficialų tekstą.
Ką tai praktikoje reiškia
Ar BDAR nustato konkrečias pareigas, tokias kaip duomenų apsaugos pareigūnas, apdorojamoji sutartis ar apdorojimų registras, priklauso nuo apdorojimo pobūdžio ir apimties jūsų įmonėje. Tai nėra klausimas, į kurį galima atsakyti bendro pobūdžio; pats reglamentas ir nacionalinės priežiūros institucijos orientacinės nuotraukos tam suteikia kriterijus. Daugumai MKB įmonių pradžia yra paprasta: nustatyti, kokie asmeniniai duomenys apdorojami, nuo ko ir kokiu tikslu.
Šis apžvalga yra taip pat naudinga, kai pirkėjas apie tai klausia. Nuosekliai išsaugokite dokumentus, tokius kaip apdorojamoji sutartis arba privatumo deklaracija, kad jų nereikėtų ieškoti iš naujo. Kaip tai veikia viename grandinės dosje ir kaip jame esantys duomenys yra apsaugoti, skaitykite puslapyje apie kaip duomenys ir privatumas yra apsaugoti.
Ar norėtumėte pirmiausia pamatyti, kurie klausimynai ir temos yra aktualios jūsų įmonei, įskaitant klausimą, ar duomenų apsauga vaidina svarbų vaidmenį? Atlikite nemokamą patikrinimą per kelis klausimus, kad gautumėte pirmąjį rodiklį, arba perskaitykite atsakymus į dažnai užduodamus klausimus kaip kiti verslo subjektai to imasi. Jei suabejojate dėl savo situacijos, rekomenduojama pasitarti su atsakinga priežiūros institucija arba teisininku.