Platí GDPR i na můj podnik, když nemám zaměstnance?
Obecné nařízení o ochraně osobních údajů nerozlišuje podle velikosti podniku. V zákoně nikde není uvedena dolní hranice počtu zaměstnanců nebo obratu, pod kterou by se pravidla nepoužívala. Rozhodující je jedna otázka: zpracováváte osobní údaje? Jakmile si poznamenáte jméno zákazníka, e-mailovou adresu, adresu pro fakturu nebo údaje o uchazeči, provádíte zpracování ve smyslu GDPR, i když jste jediným zaměstnancem své firmy.
V praxi to znamená, že prakticky každá firma, od individuálního podnikatele až po velký podnik, se nějakým způsobem nachází v souladu s GDPR. Rozdíl nespočívá v tom, zda se zákon vztahuje, ale v rozsahu a povaze toho, co zpracováváte: samostatně činná osoba, která fakturuje tři klienty ročně, má jinou praktickou úlohu než internetový obchod s tisíci profily zákazníků. Povinnosti se zvyšují, jak se zpracování stává rizikovějším nebo rozsáhlejším, ale výchozí bod zůstává pro všechny stejný.
Co skutečně určuje, jak těžké je pro vás GDPR
GDPR má jednu konkrétní výjimku související s velikostí firmy: povinnost vést evidenci činností zpracování obecně neplatí pro organizace s méně než 250 zaměstnanci, pokud zpracování není příležitostné, nepředstavuje riziko pro práva subjektů údajů nebo se netýká zvláštních kategorií osobních údajů, jako jsou zdravotní údaje. V praxi však většina malých a středních podniků spadá pod jednu z těchto výjimek, jednoduše proto, že údaje zákazníků se zpracovávají strukturálně a nejsou tedy příležitostné. Výjimka je tedy užší, než se zdá na první pohled.
Důležitější než tato jediná výjimka je povaha údajů, které zpracováváte. Pokud zpracováváte pouze obchodní kontaktní údaje jiných podnikatelů, riziko je obvykle omezené. Pokud zpracováváte údaje spotřebitelů, zaměstnanců, uchazečů nebo záznamy z kamer, platí stejné povinnosti jako pro velkou firmu: právní základ pro zpracování, jasnost vůči subjektům údajů, dohody se stranami, které zpracovávají údaje vaším jménem, a plán pro případ, že se něco pokazí.
Situace, ve kterých se GDPR jednoznačně na vás vztahuje
Pokud máte internetový obchod, zpracováváte údaje zákazníků, údaje o objednávkách a často údaje prostřednictvím poskytovatele plateb nebo kurýrní služby. Pokud máte zaměstnance, zpracováváte údaje o platech, údaje o nepřítomnosti a někdy identifikační číslo. Pokud pracujete s uchazeči, zpracováváte životopisy a motivační dopisy. Pokud používáte video dohled v objektu, zpracováváte videozáznamy návštěvníků a zaměstnanců. Ve všech těchto případech se GDPR nepochybně vztahuje, bez ohledu na to, zda pracujete sami nebo s deseti lidmi.
Situace, ve kterých je to méně náročné, ale nezmizí to
Samostatně činná osoba, která fakturuje výhradně obchodním zadavatelům a nemá zaměstnance ani spotřebitele, obvykle zpracovává méně citlivé údaje a v menších objemech. To dělá praktickou úlohu srozumitelněji, ale neznamená to, že se vám zákon nepoužívá. I v tom případě musíte být schopni vysvětlit, proč údaje uchováváte, jak dlouho a s kým je případně sdílíte, například prostřednictvím účetního balíčku nebo cloudové služby. Pokyny EDPB a výklady Úřadu pro ochranu osobních údajů stále zdůrazňují, že povinnosti se přizpůsobují riziku, ne tomu, že by zmizely u malých subjektů.
Jak si to ověříte pro vaši vlastní situaci
Nejužitečnější otázka není "jsem dost velký na to, abych se počítal", ale "jaké osobní údaje zpracovávám, od koho a proč". Projděte si své hlavní obchodní procesy: fakturaci, komunikaci se zákazníky, personalitu, marketing, bezpečnost. U každého procesu, kde se vyskytuje jméno, e-mailová adresa nebo jiný identifikovatelný údaj, je GDPR relevantní. Ti, kteří ještě nemají tento přehled jasný, najdou v znalostní báze s vysvětlením pro každou situaci výchozí bod pro určení, které povinnosti se vztahují na který typ zpracování.
Také nejčastěji kladené otázky jiných podnikatelů dávají dobrý obraz o tom, kde se pochybnosti obvykle nacházejí; jsou shromážděny na stránce s odpověďmi na otázky, které si malí a střední podnikatelé často kladou. Chcete-li vědět, jak se informace na gdpria.eu vytvářejí a jaký zdroj patří ke kterému odpovědi, přečtete si to na stránce, která vysvětluje odkud pochází použitá informace.
Konečné posouzení vaší vlastní situace je na vás, případně s právníkem nebo s Úřadem pro ochranu osobních údajů jako poradce pro obecné vysvětlení. Co vám na těchto stránkách nabízíme, je struktura pro vytvoření tohoto posouzení, nikoli samotná doporučení.
Chcete-li rychle a bez závazku vidět, které povinnosti se vztahují na váš typ podniku, můžete si vytvořit obchodní účet a sestavit si přehled pro vaši vlastní situaci. První průzkum, včetně zdroje každé odpovědi, je a zůstane bezplatný.