Czy Rozporządzenie o ochronie danych ma zastosowanie do mojej firmy, jeśli nie mam pracowników?
Ogólne Rozporządzenie o ochronie danych nie robi rozróżnienia na podstawie wielkości przedsiębiorstwa. W prawie nie ma dolnej granicy liczby pracowników lub przychodu, poniżej której przepisy nie mają zastosowania. Decydujące jest jedno pytanie: czy przetwarzasz dane osobowe? Gdy tylko zanotuj nazwę klienta, adres e-mail, adres do faktury lub dane kandydata, zajmujesz się przetwarzaniem w rozumieniu Rozporządzenia o ochronie danych, nawet jeśli jesteś jedynym pracownikiem swojej firmy.
W praktyce oznacza to, że prawie każde przedsiębiorstwo, od jednoosobowej działalności do dużej korporacji, w pewnym zakresie podlega Rozporządzeniu o ochronie danych. Różnica nie polega na tym, czy prawo ma zastosowanie, ale na zakresie i charakterze tego, co przetwarzasz: pracownik na własny rachunek, który wystawia faktury trzem klientom rocznie, stoi przed innym wyzwaniem praktycznym niż sklep internetowy z tysiącami profili klientów. Obowiązki stają się bardziej uciążliwe w miarę jak przetwarzanie jest bardziej ryzykowne lub obszerniejsze, ale punkt wyjścia pozostaje taki sam dla wszystkich.
Co faktycznie określa, jak ciężko Rozporządzenie o ochronie danych na Ciebie wpływa
Rozporządzenie o ochronie danych ma jeden konkretny wyjątek związany z wielkością przedsiębiorstwa: obowiązek prowadzenia ewidencji działań przetwarzania w zasadzie nie dotyczy organizacji zatrudniających mniej niż 250 pracowników, chyba że przetwarzanie nie jest przypadkowe, stanowi ryzyko dla praw osób, których dane dotyczą, lub dotyczy danych wrażliwych takich jak dane zdrowotne. W praktyce większość małych i średnich przedsiębiorstw nadal podlega jednemu z tych wyjątków, po prostu dlatego, że dane klientów są przetwarzane systematycznie, a nie przypadkowo. Wyjątek jest więc węższy niż wydaje się na pierwszy rzut oka.
Ważniejsze niż ten jeden wyjątek jest charakter tego, co przetwarzasz. Jeśli przetwarzasz tylko biznesowe dane kontaktowe innych przedsiębiorstw, ryzyko jest zwykle ograniczone. Jeśli przetwarzasz dane konsumentów, pracowników, kandydatów lub materiały wideo, obowiązki są takie same jak dla dużej firmy: podstawa prawna przetwarzania, jasność wobec osób, których dane dotyczą, ustalenia z podmiotami przetwarzającymi dane w Twoim imieniu, oraz plan na wypadek, gdyby coś poszło nie tak.
Sytuacje, w których Rozporządzenie o ochronie danych wyraźnie do Ciebie ma zastosowanie
Jeśli prowadzisz sklep internetowy, przetwarzasz dane klientów, dane zamówień i często dane za pośrednictwem dostawcy płatności lub usługi dostawy. Jeśli masz pracowników, przetwarzasz dane wynagrodzenia, dane o nieobecności i czasami numer PESEL. Jeśli pracujesz z kandydatami, przetwarzasz CV-y i listy motywacyjne. Jeśli używasz nadzoru kamerami w obiekcie, przetwarzasz materiały wideo odwiedzających i pracowników. We wszystkich tych przypadkach Rozporządzenie o ochronie danych wyraźnie ma zastosowanie, niezależnie od tego, czy pracujesz sam, czy z dziesięcioma ludźmi.
Sytuacje, w których ma mniejsze znaczenie, ale nie znika
Pracownik na własny rachunek, który wystawia faktury wyłącznie kontrahentom biznesowym i nie ma pracowników ani konsumentów, zwykle przetwarza mniej wrażliwe dane i w mniejszych wolumenach. To czyni praktyczne zadanie przejrzystszym, ale nie oznacza, że prawo nie ma zastosowania. Również wtedy musisz móc wyjaśnić, dlaczego przechowujesz dane, jak długo i z kim je ewentualnie dzielisz, na przykład za pośrednictwem oprogramowania księgowego lub usługi chmury. Wytyczne EDPB i wyjaśnienia Urzędu do spraw Ochrony Danych podkreślają, że obowiązki zmieniają się wraz z ryzykiem, a nie że znikają u małych podmiotów.
Jak to sprawdzisz dla swojej sytuacji
Najwartościowsze pytanie to nie "czy jestem wystarczająco duży, aby się liczyć", ale "jakie dane osobowe przetwarzam, od kogo i dlaczego". Przejdź przez swoje główne procesy biznesowe: fakturowanie, kontakt z klientami, administracja pracowników, marketing, bezpieczeństwo. W każdym procesie, w którym pojawia się nazwa, adres e-mail lub inne dane identyfikujące, Rozporządzenie o ochronie danych wchodzi w grę. Ci, którzy nie mają jeszcze jasnego przeglądu, znajdą w baza wiedzy z wyjaśnieniami dla każdej sytuacji punkt wyjścia do określenia, jakie obowiązki dotyczą jakiego typu przetwarzania.
Również najczęściej zadawane pytania od innych przedsiębiorców dają dobry obraz tego, gdzie zwykle pojawia się wątpliwość; są one zebrane na stronie z odpowiedziami na pytania, które przedsiębiorcy sektora MKB często zadają. Jeśli chcą Państwo wiedzieć, jak powstają informacje na gdpria.eu i jaki jest źródło każdej odpowiedzi, przeczytają Państwo o tym na stronie, która wyjaśnia skąd pochodzą używane informacje.
Ostateczna ocena Waszej własnej sytuacji zależy od Was, ewentualnie z pomocą prawnika lub Urzędu Ochrony Danych Osobowych jako źródła konsultacji w kwestiach ogólnych. To, co oferujemy na tych stronach, to struktura umożliwiająca dokonanie tej oceny, a nie sama porada.
Jeśli chcą Państwo szybko i bez zobowiązania sprawdzić, jakie obowiązki dotyczą Waszego typu działalności, mogą Państwo utworzyć konto biznesowe i opracować przegląd dla Waszej własnej sytuacji. Pierwsza eksploracja, wraz z lokalizacją każdej odpowiedzi, jest i pozostaje bezpłatna.