Igen, a GDPR akkor is vonatkozik, ha kizárólag más vállalkozásokkal dolgozik. A rendelet nem arra néz, hogy ki az ügyfele, hanem arra, hogy mit dolgoz fel: amint rögzít egy személy nevét, e-mail-címét, telefonszámát vagy beosztását, személyes adatot dolgoz fel. Az a tény, hogy az adott személy egy vállalat képviseletében hívja vagy írja meg az üzenetet, a törvény szempontjából nem számít.
A zavar azért keletkezik, mert az emberek a GDPR-t a fogyasztói adatokkal társítják: rendelések, ügyfélfiók, hírlevél. Azonban egy szállítási cím egy beszerzőről, egy CRM-bejegyzés egy kapcsolattartó mobiltelefonszámával, vagy egy levelezés egy szállítóval – mindezek azonos szabályok alá tartoznak. Az adatok egy természetes személyről szólnak, nem pedig arról, hogy milyen típusú kapcsolata van a céggel.
Mit és mit nem változtat meg a B2B-modell
Az a tény, hogy B2B-környezetben működik, nem változtatja meg a GDPR alapját, de igen a gyakorlati értelmezettsége változik. A fogyasztói adatokkal kapcsolatban nehéznek tűnő számos kötelezettség, mint például a marketing céljából történő beleegyezéskérés vagy annak magyarázata, hogy miért gyűjt adatokat, az üzleti elérhetőségek esetében gyakran másabb, könnyebb értelemben teljesül. Például gyakrabban van jogos érdek egy kapcsolattartó megkeresésére egy folyamatban lévő megbízás kapcsán, mint egy véletlenszerű fogyasztó esetében. Ez azonban nem változtat azon, hogy még mindig képesnek kell lennie arra, hogy megmagyarázza, miért tartja meg ezeket az adatokat, és meddig.
Amit azonban nem változtat meg: az adatok biztonságos őrzésének kötelezettsége, valamint maga az a jog, hogy az adatok alanya – a kapcsolattartó – megkérdezze, mi van róla vagy róla rögzítve. Egy ügyfélnél dolgozó beszerzőre például adat-hozzáférési kérelmet nyújthat be, akárcsak egy magánügyfél. A GDPR ebben nem tesz különbséget, hogy ki nyújtja be a kérelmet.
Gyakorlati példák
Egy olyan telepítésben működő vállalat, amely csak más vállalatokkal dolgozik, általában mégis rendelkezik egy CRM-rendszerrel, amely tele van ügyfeleknél és beszállítóknál dolgozó kapcsolattartók nevével, telefonszámával és e-mail-címével. Egy HR-vezető, aki álláskeresők önéletrajzait őrzi meg, személyes adatokat dolgoz fel, még akkor is, ha az állásajánlat egy B2B-vállalaton belüli technikai pozícióra vonatkozik. Egy irodavezető, aki a belépéskor azt kéri a látogatóktól, hogy írjanak alá, szintén rögzíti azon emberek neveit, akik egy másik vállalat nevében látogatnak.
Ezen esetek egyikében sem fogyasztói adatokról van szó a klasszikus értelemben, és mégis ugyanaz a rendelet vonatkozik rájuk. Az a megkülönböztetés, amely a gyakorlatban ténylegesen számít, nem B2B vagy B2C, hanem: egy azonosítható természetes személyről van szó, vagy teljes mértékben anonimizált vagy tisztán üzleti adatokról, mint egy KvK-szám vagy egy általános info@-cím név nélkül.
Mit jelent ez az Ön adatkezelési nyilvántartása számára
Mivel az üzleti kapcsolattartási adatok az GDPR hatálya alá tartoznak, azok az adatkezelési nyilvántartásában is helyet kapnak: honnan származnak, miért őrzi meg azokat, kinek van hozzáférése és meddig tárja meg azokat. Sok KKV-vállalatnál éppen ez az a kategória, amelyet figyelmen kívül hagynak, mivel a figyelem a személyzeti fájlok vagy a végfelhasználó fogyasztók adataira összpontosul. A az oktatási anyagban, helyzetek szerinti magyarázattal részben további háttérinformáció található arról, hogy mikor számítanak az adatok személyes adatoknak és mikor nem.
Ha SaaS-eszközöket használ CRM-hez, levélforgalomhoz vagy számlázáshoz, ezek az eszközök gyakran ezeket az üzleti kapcsolattartási adatokat is feldolgozzák. Ez releváns a beszállítóikkal kötött vagy kötendő adatkezelési szerződésekhez, valamint ahhoz a kérdéshez, hogy melyik eszköz pontosan mely adatokat dolgozza fel. A az AVG gyakorlatban felmerülő leggyakrabban ismételt kérdéseiről olvashatja el, hogyan függ ez össze a szélesebb körű kötelezettségekkel.
Hogy konkrét helyzetére bizonyos kivételek vonatkoznak-e, vagy pontosan mely jogalap alkalmazható az Ön munkamódszerére, az vállalatonként eltér, és kétség esetén legjobb egy ügyvéddel vagy a Személyes Adatok Védelméért Felelős Hatósággal konzultálnia. Az azonban szinte minden vállalatra igaz: ha kapcsolattartási személyek személyes adatait rögzíti anélkül, hogy pontosan tudná, mely adatokat és miért, az jó kiindulópont ahhoz, hogy rendet teremtsen.
Önálló felülvizsgálat
Szeretné gyorsan látni, mely adatfolyamok számítanak be vállalatában, beleértve az ügyfelek és beszállítók üzleti kapcsolattartási adatait? Végezze el az ingyenes gyorsértékelést, vagy olvassa el először hogyan strukturálja a gdpria.eu az AVG-ből és a felügyelet alá tartozó szervektől származó információkatés üzleti fiók létrehozása ha szeretné, hogy regisztrációját az Ön által már használt eszközökből építsék fel.