Ισχύει ο Κανονισμός (ΕΕ) 2016/679 και για την επιχείρησή μου εάν δεν έχω προσωπικό;
Ο Γενικός Κανονισμός για την Προστασία Δεδομένων δεν κάνει διάκριση με βάση το μέγεθος της επιχείρησης. Δεν υπάρχει πουθενά στον νόμο κατώτερο όριο για τον αριθμό των εργαζομένων ή το κύκλο εργασιών κάτω από το οποίο δεν ισχύουν οι κανόνες. Αποφασιστικό είναι ένα ερώτημα: επεξεργάζεστε προσωπικά δεδομένα; Μόλις καταγράψετε ένα όνομα πελάτη, μια διεύθυνση ηλεκτρονικού ταχυδρομείου, μια διεύθυνση για ένα τιμολόγιο ή δεδομένα ενός υποψηφίου, κάνετε μια επεξεργασία κατά την έννοια του GDPR, ακόμα και αν είστε ο μόνος εργαζόμενος της επιχείρησής σας.
Αυτό σημαίνει στην πράξη ότι σχεδόν κάθε επιχείρηση, από μια ατομική επιχείρηση έως μια μεγάλη αγορά, εμπίπτει κάπου στο πεδίο εφαρμογής του GDPR. Η διαφορά δεν βρίσκεται στο αν ο νόμος ισχύει, αλλά στο εύρος και τη φύση αυτού που επεξεργάζεστε: ένας ελεύθερος επαγγελματίας που εκδίδει τιμολόγια σε τρεις πελάτες ανά έτος, έχει διαφορετικό πρακτικό έργο από ένα διαδικτυακό κατάστημα με χιλιάδες προφίλ πελατών. Οι υποχρεώσεις γίνονται βαρύτερες καθώς η επεξεργασία γίνεται πιο επικίνδυνη ή ευρύτερη, αλλά η αρχή παραμένει η ίδια για όλους.
Τι πραγματικά καθορίζει το πόσο βαρύ είναι το GDPR για εσάς
Ο GDPR έχει ένα συγκεκριμένο εξαίρεση που σχετίζεται με το μέγεθος της επιχείρησης: η υποχρέωση διατήρησης ενός μητρώου δραστηριοτήτων επεξεργασίας δεν ισχύει κατ' αρχήν για οργανισμούς με λιγότερους από 250 εργαζομένους, εκτός εάν η επεξεργασία δεν είναι τυχαία, δημιουργεί κίνδυνο για τα δικαιώματα των υποκειμένων δεδομένων, ή αφορά ειδικές κατηγορίες προσωπικών δεδομένων όπως δεδομένα υγείας. Στην πράξη, οι περισσότερες μικρομεσαίες επιχειρήσεις εξακολουθούν να εμπίπτουν σε μία από αυτές τις εξαιρέσεις, απλώς επειδή τα δεδομένα των πελατών επεξεργάζονται διαρκώς και επομένως δεν είναι τυχαία. Η εξαίρεση είναι επομένως πιο στενή από ό,τι φαίνεται με την πρώτη ματιά.
Σημαντικότερη από αυτή την μία εξαίρεση είναι η φύση αυτού που επεξεργάζεστε. Εάν επεξεργάζεστε μόνο επαγγελματικές επαφές άλλων επιχειρήσεων, ο κίνδυνος είναι συνήθως περιορισμένος. Εάν επεξεργάζεστε δεδομένα καταναλωτών, προσωπικού, υποψηφίων ή κάμερες, ισχύουν οι ίδιες υποχρεώσεις όπως για ένα μεγάλο εταιρεία: μια νομική βάση για την επεξεργασία, σαφήνεια προς τα υποκείμενα δεδομένων, συμφωνίες με μέρη που επεξεργάζονται δεδομένα εκ μέρους σας, και ένα σχέδιο για την περίπτωση που κάτι πάει στραβά.
Καταστάσεις στις οποίες το GDPR σαφώς ισχύει σε εσάς
Αν έχετε ένα διαδικτυακό κατάστημα, επεξεργάζεστε δεδομένα πελατών, δεδομένα παραγγελιών και συχνά δεδομένα μέσω ενός παροχέα πληρωμών ή υπηρεσίας παράδοσης. Αν έχετε προσωπικό, επεξεργάζεστε δεδομένα μισθών, δεδομένα απουσίας και μερικές φορές έναν αριθμό φορολογικής ταυτότητας. Αν δουλεύετε με υποψηφίους, επεξεργάζεστε βιογραφικά και επιστολές παρουσίασης. Αν χρησιμοποιείτε παρακολούθηση κάμερας σε ένα κτίριο, επεξεργάζεστε βίντεο επισκεπτών και εργαζομένων. Σε όλες αυτές τις περιπτώσεις, ο GDPR ισχύει αναμφισβήτητα, ανεξάρτητα από το αν εργάζεστε μόνοι ή με δέκα άτομα.
Περιπτώσεις στις οποίες είναι λιγότερο βαρύ, αλλά δεν εξαφανίζεται
Ένας ελεύθερος επαγγελματίας που εκδίδει τιμολόγια αποκλειστικά σε επαγγελματικούς πελάτες και δεν έχει προσωπικό ή καταναλωτές, συνήθως επεξεργάζεται λιγότερο ευαίσθητα δεδομένα και σε μικρότερη κλίμακα. Αυτό κάνει το πρακτικό έργο πιο διαχειρίσιμο, αλλά δεν σημαίνει ότι ο νόμος δεν ισχύει. Ακόμη και τότε, πρέπει να μπορείτε να εξηγήσετε γιατί διατηρείτε δεδομένα, για πόσο καιρό, και με ποιον τα μοιράζεστε ενδεχομένως, για παράδειγμα μέσω ενός πακέτου λογιστικής ή μιας υπηρεσίας cloud. Οι κατευθυντήριες γραμμές της EDPB και η εξήγηση της Αρχής Προστασίας Δεδομένων τονίζουν συνεχώς ότι οι υποχρεώσεις εξελίσσονται με τον κίνδυνο, όχι ότι εξαφανίζονται στα μικρά μέρη.
Πώς να το επαληθεύσετε για τη δική σας κατάσταση
Το πιο χρήσιμο ερώτημα δεν είναι "είμαι αρκετά μεγάλος για να μετρώ", αλλά "ποια προσωπικά δεδομένα επεξεργάζομαι, από ποιους, και γιατί". Περάστε τις κύριες επιχειρηματικές διαδικασίες σας: τιμολόγηση, επαφή με πελάτες, διαχείριση προσωπικού, μάρκετινγκ, ασφάλεια. Σε κάθε διαδικασία όπου εμφανίζεται ένα όνομα, διεύθυνση ηλεκτρονικού ταχυδρομείου ή άλλο αναγνωρίσιμο δεδομένο, ο GDPR είναι σχετικός. Όποιος δεν έχει ακόμα ευκρινώς αυτή την εικόνα, θα βρει σε τράπεζα γνώσης με εξήγηση ανά περίπτωση ένα σημείο εκκίνησης για να προσδιοριστεί ποιες υποχρεώσεις ισχύουν σε κάθε τύπο επεξεργασίας.
Οι πιο συχνές ερωτήσεις άλλων επιχειρηματιών δίνουν επίσης μια καλή εικόνα του πού βρίσκεται συνήθως η αβεβαιότητα· αυτές είναι συγκεντρωμένες στη σελίδα με απαντήσεις σε ερωτήσεις που οι επιχειρηματίες του ΜΜΕ κατά συχνότητα θέτουν. Αν θέλετε να γνωρίζετε πώς δημιουργούνται οι πληροφορίες στο gdpria.eu και ποια πηγή αντιστοιχεί σε κάθε απάντηση, διαβάστε το στη σελίδα που εξηγεί από πού προέρχονται οι πληροφορίες που χρησιμοποιούνται.
Η τελική αξιολόγηση της δικής σας κατάστασης είναι δική σας, ενδεχομένως με ένα δικηγόρο ή με την Αρχή Προστασίας Δεδομένων ως πηγή γενικής διευκρίνισης. Αυτό που προσφέρουμε σε αυτές τις σελίδες είναι η δομή για να κάνετε αυτή την αξιολόγηση, όχι η ίδια η συμβουλή.
Αν θέλετε να δείτε γρήγορα και χωρίς δέσμευση ποιες υποχρεώσεις ισχύουν για τον τύπο της επιχείρησής σας, μπορείτε να δημιουργήσετε έναν επαγγελματικό λογαριασμό και να δημιουργήσετε την επισκόπηση για τη δική σας κατάστασης. Η πρώτη διερεύνηση, συμπεριλαμβανομένης της πηγής κάθε απάντησης, είναι και παραμένει δωρεάν.