Vonatkozik-e a GDPR-rendelet rám, ha nincs alkalmazottam?
Az általános adatvédelmi rendelet nem tesz különbséget a vállalat mérete alapján. A törvényben nincs olyan meghatározása az alkalmazottak számának vagy a bevételnek, amely alatt a szabályok nem érvényesek. Egy kérdés a meghatározó: feldolgozol személyes adatokat? Amint rögzítesz egy ügyfél nevét, e-mail-címét, számlázási címét vagy egy jelölt adatait, személyes adatok feldolgozásában veszel részt a GDPR értelmében, még akkor is, ha te vagy a vállalkozásod egyetlen munkavállalója.
A gyakorlatban ez azt jelenti, hogy szinte minden vállalat, az egyéni vállalkozástól a nagyvállalatig, a GDPR hatálya alá esik valamilyen módon. A különbség nem abban van, hogy a törvény vonatkozik-e, hanem abban, hogy milyen mennyiségű és milyen jellegű adatot dolgozol fel: egy olyan egyéni vállalkozó, aki évente három ügyfelet számláztat, más gyakorlati feladattal áll szemben, mint egy online bolt, amelynek több ezer ügyfélprofiltja van. A kötelezettségek nehezebb súlyúvá válnak, ahogy a feldolgozás kockázatosabb vagy nagyobb mennyiségű, de a kiindulópont minden ember számára ugyanaz marad.
Mit kell tudni ahhoz, hogy mennyire nehéz a GDPR számodra
A GDPR egyetlen konkrét kivételét kapcsolódik a vállalat méretéhez: a feldolgozási tevékenységek nyilvántartásának vezetésére vonatkozó kötelezettség alapvetően nem vonatkozik a 250 alatti alkalmazottal rendelkező szervezetekre, kivéve, ha a feldolgozás nem eseti jellegű, kockázatot jelent az érintettekre vonatkozó jogokra, vagy olyan különleges személyes adatokat tartalmaz, mint az egészségügyi adatok. A gyakorlatban a legtöbb kkv még az egyik másik kivétel alá esik, egyszerűen azért, mert az ügyféladatok szerkezetében feldolgozásra kerülnek, és így nem eseti jellegűek. A kivétel tehát szűkebb annál, mint ahogy az első pillantásra tűnik.
Ennél a kivételnél fontosabb az, amit feldolgozol. Ha csak más vállalkozások üzleti elérhetőségi adatait dolgozod fel, akkor a kockázat általában korlátozott. Ha fogyasztók, alkalmazottak, jelöltek vagy kamerás felvételek adatait dolgozod fel, akkor ugyanazok a kötelezettségek vonatkoznak rádra, mint egy nagyobb vállalatra: a feldolgozás jogalapja, az érintetteknek szóló egyértelműség, az ön nevében adatokat feldolgozó felekkel kötött megállapodások, és egy terv arra az esetre, ha valami elromlik.
Helyzetek, amelyekben a GDPR egyértelműen vonatkozik rádra
Ha van egy webshopod, feldolgozol ügyféladatokat, rendelésadatokat és gyakran egy fizetési szolgáltató vagy szállítási szolgáltatás adatait. Ha alkalmazottaid vannak, feldolgozol bérjelentéseket, hiányzási adatokat és néha egy személyazonosítási számot. Ha jelöltekkel dolgozol, feldolgozol önéletrajzokat és motivációs leveleket. Ha kamerás megfigyelést használsz egy helyszín mellett, akkor feldolgozol képanyagot a látogatókról és az alkalmazottakról. Mindezekben az esetekben a GDPR egyértelműen alkalmazandó, függetlenül attól, hogy egyedül dolgozol-e vagy tíz emberrel.
Helyzetek, amelyekben könnyebben működik, de nem tűnik el
Egy olyan egyéni vállalkozó, aki kizárólag üzleti megbízottaknak számláztat, és nincs alkalmazottja vagy fogyasztója, általában kevésbé érzékeny adatokat és kisebb mennyiségeket dolgoz fel. Ez miatt a gyakorlati feladat áttekinthetőbb, de nem azt jelenti, hogy a törvény nem vonatkozik. Akkor is meg kell tudnod magyarázni, hogy miért tartod meg az adatokat, meddig, és kivel osztod meg őket, például egy könyvelési csomag vagy egy felhőszolgáltatás révén. Az EDPB iránymutatásai és a személyadat-védelmi hatóság magyarázata hangsúlyozzák, hogy a kötelezettségek a kockázattal mozognak, nem pedig kisebb szereplőknél szűnnek meg.
Hogyan vizsgálod meg ezt a saját helyzetedben
A leghasznosabb kérdés nem az, hogy "vagyok-e elég nagy ahhoz, hogy számítsak", hanem az, hogy "milyen személyes adatokat dolgozom fel, kitől és miért". Menj végig a fő üzleti folyamatodon: számlázás, ügyfélkapcsolat, személyzeti nyilvántartás, marketing, biztonság. Minden olyan folyamatnál, ahol egy név, e-mail-cím vagy más azonosító adat szerepel, a GDPR játékba lép. Aki még nem tisztázta ezt az áttekintést, az a következőn találja: tudásbázis helyzetre szóló magyarázattal kiindulópont annak meghatározásához, hogy mely kötelezettségek mely típusú adatkezeléshez tartoznak.
A más vállalkozóktól származó leggyakoribb kérdések is jól mutatják, hogy hol szokott lenni a bizonytalanság; ezek összegyűjtve találhatók a oldalon a gyakran ismételt kérdésekre adott válaszokSzeretné megtudni, hogy a gdpria.eu-n található információ hogyan jött létre, és hogy mely forrás melyik válaszhoz tartozik, akkor ezt a magyarázatot találja meg az oldalon a felhasznált információk eredete.
A saját helyzet végső értékelése Önt illeti, szükség esetén egy jogásszal vagy az Autoriteit Persoonsgegevens-val, mint általános kérdezendő partnerrel konzultálva. Az ezen oldalakon nyújtott szolgáltatás az értékelés elvégzésének struktúrája, nem pedig maga a tanács.
Ha gyorsan és kötelezettségmentesen szeretné megtudni, hogy mely kötelezettségek tartoznak a cégének típusához, akkor üzleti fiók létrehozásával és a saját helyzetre vonatkozó áttekintés felépítésévelkezdheti. Az első felderítés, beleértve az egyes válaszok forráshelyét, ingyenes és marad is.