Platí GDPR aj pre moju spoločnosť?
Áno, v takmer všetkých prípadoch áno. Všeobecné nariadenie o ochrane údajov nemá prah pre tržby, počet zamestnancov ani sektor. Akonáhle váš podnik spracovává osobné údaje, ako sú mená, e-mailové adresy alebo údaje o mzdách, táto nariadenie sa vzťahuje na spracovávanie týchto údajov. To platí pre podnikateľa pracujúceho sám so jedným zákazníkom rovnako ako pre inštalačnú firmu s päťdesiatimi zamestnancami.
Rozdiel oproti predpisom, ako sú NIS2, CSRD alebo štandard VSME, je ten, že tie pracujú s prahmi pre veľkosť podniku alebo sektor. GDPR funguje inak: nie veľkosť vášho podniku je rozhodujúca, ale otázka, či sú spracovávané osobné údaje a ako. Vďaka tomu sa GDPR v praxi dotýka prakticky všetkých podnikov, aj keď to nie vždy tak terá.
Čo rozumie nariadenie pod osobnými údajmi
GDPR definuje osobné údaje ako akékoľvek informácie o identifikovanej alebo identifikovateľnej fyzickej osobe. To je širšie, ako si mnohí podnikatelia myslia. Zoznam adries zákazníkov, personálny spis, žiadosť o prácu, ktorá ešte stojí v poštovej schránke, alebo videozáznamy pri vchode: všetko to patrí medzi osobné údaje. Aj samostatne zárobkovo činná osoba, ktorá iba posiela faktúry s menom a adresou, už spracovává osobné údaje.
Nariadenie rozlišuje medzi správcom údajov, ktorý určuje, ako a prečo sa údaje spracovávajú, a spracovateľom, ktorý to robí v mene iného. Napríklad mzdová administratívna kancelária je spracovateľom mzdových údajov vašich zamestnancov, zatiaľ čo vy sám ste správcom údajov. Ktorá úloha sa vzťahuje na vašu firmu a aké povinnosti s tým súvisia, sa líši v každej situácii a môže o tom rozhodovať len dohľadný orgán a právnik.
Prečo sa táto téma objavuje v zozname otázok vášho zákazníka
Odberatelia čoraz viac požadujú od svojich dodávateľov informácie nielen o udržateľnosti alebo kybernetickej bezpečnosti, ale aj o zaobchádzaní s osobnými údajmi. Stáva sa to napríklad v prípade, keď vy v mene svojho zákazníka spracovávate údaje jeho zamestnancov alebo konečných zákazníkov, alebo keď máte prístup k systémom, v ktorých sú tieto údaje uložené. V takom prípade chce odberateľ vedieť, či existuje zmluva so spracovateľom, či sa vedie register spracovávacích činností a ako sa hlási narušenie bezpečnosti údajov.
Tieto otázky sa často prekrývajú s dotazníkom o kybernetickej bezpečnosti, pretože bezpečnosť informácií a ochrana údajov idú v praxi ruka v ruke. Firma, ktorá dodáva zákazníkom softvér alebo administratívne služby, sa s takými otázkami stretáva skôr ako inštalačná firma, ktorá vykonáva najmä fyzickú prácu. Ak sa s takýmito otázkami stretávate opakovaní v rôznych formátoch od rôznych zákazníkov, môžete v znalostnej základni podľa témy zistiť aký je podľa toho špecifické pozadie a kde nájsť oficiálny text.
Čo to znamená v praxi
Či GDPR stanovuje konkrétne povinnosti, ako napríklad funkcionár ochrany údajov, zmluvu so spracovateľom alebo register spracovávacích činností, závisí od charakteru a rozsahu spracovávacích činností vo vašej firme. To nie je otázka, ktorú by bolo možné odpovedať všeobecne; samotné nariadenie a usmernenia národného dohľadného orgánu poskytujú na to kritériá. Pre väčšinu MKB firiem je východiskom jednoduché: zmapovať si, ktoré osobné údaje sa spracovávajú, od koho a na aký účel.
Tento prehľad je užitočný aj vtedy, keď sa na vás zákazník opýta. Uchovávajte si dokumenty, ako napríklad zmluvu so spracovateľom alebo vyhlásenie o ochrane osobných údajov, na jednom mieste, aby ste ich nemuseli zakaždým vyhľadávať. Ako to funguje v rámci jedného reťazového spisu a ako sú údaje v ňom chránené, si môžete prečítať na stránke o ako sa údaje a súkromie chránia.
Chcete si najprv pozrieť, ktoré dotazníky a témy sú pre vašu spoločnosť relevantné, vrátane otázky, či pri tom hrá úlohu ochrana údajov? Vykonajte bezplatný check v niekoľkých otázkach pre prvé naznačenie, alebo si prečítajte odpovede na často kladené otázky ako to riešia ďalší podnikatelia. Pre vlastnú situáciu zostáva rozumné, aby ste v prípade pochybností konzultovali príslušný dozorný orgán alebo právnika.