Ali se GDPR stosuje tudi na moje podjetje?
Ja, v skoraj vseh primerih. Splošna uredba o varstvu podatkov ne pozna praga glede prihodkov, osebja ali sektorja. Takoj ko vaše podjetje obdeluje osebne podatke, kot so imena, e-poštni naslovi ali podatki o plačah, se uredba uporablja za to obdelovanje. To velja za enoosebni obrat z enim odjemalcem prav tako kot za instalacijsko podjetje s petdeset zaposlenimi.
Razlika od uredb, kot sta NIS2, CSRD ali standard VSME, je v tem, da te dejansko delujejo s pragovi za velikost podjetja ali sektor. GDPR deluje drugače: ne velikost vašega podjetja je odločilna, temveč vprašanje, ali se obdelujejo osebni podatki in kako. Zato GDPR v praksi prizadene skoraj vsako podjetje, čeprav se to ne čuti vedno.
Kaj uredba razume pod osebnimi podatki
GDPR razlikuje osebne podatke kot vse informacije o identificirani ali identificirljivi naravni osebi. To je širše, kot mnogi podjetniki mislijo. Naslovnik seznam strank, osebna mapa, prijava, ki je še v nabiralnici, ali posnetke s kamere pri vhodu: vse to spada pod to. Tudi samostojni podjetnik, ki pošilja samo račune z imenom in naslovom, že obdeluje osebne podatke.
Uredba pri tem razlikuje med odgovornim za obdelovanje, ki določa, zakaj in kako se obdelujejo podatki, in obdelovalcem, ki to počne v imenu drugega. Na primer, podjetje za obračun plač je obdelovalec za osebne podatke vašega osebja, medtem ko ste vi sami odgovorni za obdelovanje. Katera vloga velja za vaše podjetje in katere obveznosti so s tem povezane, se razlikuje glede na situacijo in v tem lahko svetujeta nadzorni organ in pravnik.
Zakaj se ta tema pojavi v vprašalniku vašega odjemalca
Odjemalci svojih dobaviteljev vprašajo vedno pogosteje ne samo o trajnosti ali kibernetski varnosti, temveč tudi o obravnavi osebnih podatkov. To se zgodi na primer, kadar obdelujete podatke zaposlenih vašega odjemalca ali njegovih končnih kupcev v njegovem imenu, ali kadar imate dostop do sistemov, v katerih so tovrstni podatki. V tem primeru si odjemalec želi vedeti, ali obstaja pogodba z obdelovalcem, ali se vodi register obdelavanja in kako se prijavi kršitev podatkov.
Ta vprašanja se pogosto prekrivajo z vprašalnikom o kibernetski varnosti, ker sta varnost informacij in varstvo podatkov v praksi tesno povezani. Podjetje, ki naročnikom preskrbi programsko opremo ali upravne storitve, se prej srečuje s temi vprašanji kot instalacijsko podjetje, ki izvaja predvsem fizično delo. Tisti, ki tovrstna vprašanja večkrat srečate v različnih formatih različnih odjemalcev, lahko v bazi znanja po temah preberete kaj je ozadje takšnega vprašanja in kje je mogoče najti uradni besedilo.
Kaj to v praksi pomeni
Ali GDPR postavlja posebne obveznosti, kot sta funkcionar za varstvo podatkov, pogodba z obdelovalcem ali register obdelavanja, je odvisno od vrste in obsega obdelave v vašem podjetju. To ni vprašanje, ki bi se dalo odgovoriti na splošno; sama uredba in smernice nacionalnega nadzornega organa za to podajajo merila. Za večina podjetij MKB je izhodišče preprosto: vzpostaviti pregled, kateri osebni podatki se obdelujejo, od koga in s kakšnim namenom.
Ta pregled je koristen tudi, kadar vas zanj vpraša odjemalec. Hranite dokumente, kot sta pogodba z obdelovalcem ali izjava o varnosti podatkov, na stalno mesto, da vam jih ni treba vsakič znova iskati. Kako se to odvija v enem ketendossierju in kako se podatki v njem varnostno zaščitijo, preberete na strani o kako so podatki in zasebnost zaščiteni.
Ali želite najprej videti, katere vprašalnike in teme so za vaše podjetje relevantne, vključno z vprašanjem, ali ima zaščita podatkov pri tem vlogo? Naredite brezplačni pregled v nekaj vprašanjih za prvo nakazilo, ali preberite v odgovore na pogosto zastavljana vprašanja kako drugi podjetniki to obravnavajo. Za lastno situacijo je pametno, da se v primeru dvoma posvetujete s pristojnim nadzornim organom ali pravnikom.