Vzťahuje sa GDPR na moju firmu, ak nemám zamestnancov?
Všeobecné nariadenie o ochrane údajov (GDPR) nerozlišuje podľa veľkosti firmy. V zákone sa nikde nenachádza dolná hranica počtu zamestnancov alebo tržieb, pod ktorou by pravidlá neplatili. Rozhodujúca je jedna otázka: spracúvate osobné údaje? Akonáhle si zapíšete meno zákazníka, e-mailovú adresu, adresu na faktúru alebo údaje o uchádzačovi, vykonávate spracovanie v zmysle GDPR, aj keď ste jediným zamestnanci vašej firmy.
V praxi to znamená, že prakticky každá firma, od samostatne zárobkujúcej osoby po veľký podnik, sa do určitej miery podľa GDPR uplatnení dostane. Rozdiel nie je v tom, či sa zákon uplatňuje, ale v rozsahu a povahe toho, čo spracúvate: samostatne zárobkujúca osoba, ktorá za rok vystávi tri faktúry, má inú praktickú úlohu ako internetový obchod s tisíckami profilov zákazníkov. Záväzky sa stávajú ťažšími v závislosti od toho, ako je spracovanie rizikovejšie alebo rozsahlejšie, ale základný princíp zostáva pre všetkých rovnaký.
Čo naozaj určuje, aký ťažký je pre vás GDPR
GDPR má jednu konkrétnu výnimku, ktorá súvisí s veľkosťou firmy: povinnosť viesť register spracovateľských činností sa v zásade nevzťahuje na organizácie s menej ako 250 zamestnancami, pokiaľ spracovanie nie je príležitostné, nepredstavuje riziko pre práva dotknutých osôb alebo sa netýka špeciálnych kategórií osobných údajov, ako sú zdravotné údaje. V praxi sa väčšina malých a stredných podnikov stále dostane pod niektorú z týchto výnimiek, jednoducho preto, že údaje zákazníkov sa spracúvajú systematicky a nie príležitostne. Výnimka je teda užšia, ako sa na prvý pohľad javí.
Dôležitejšie ako táto jedna výnimka je povaha údajov, ktoré spracúvajú. Ak spracúvate len obchodné kontaktné údaje iných podnikateľov, riziko je zvyčajne obmedzené. Ak spracúvate údaje spotrebiteľov, zamestnancov, uchádzačov alebo videozáznamy, platia rovnaké povinnosti ako pre veľkú firmu: právny základ na spracovanie, transparentnosť voči dotknutým osobám, dohody so stranami, ktoré spracúvajú údaje vo vašom mene, a plán na prípad, že sa niečo pokazí.
Situácie, v ktorých sa GDPR na vás jasne vzťahuje
Ak máte internetový obchod, spracúvate údaje zákazníkov, údaje o objednávkach a často aj údaje cez poskytovaťa platieb alebo doručovateľa. Ak máte zamestnancov, spracúvate údaje o mzdách, údaje o neprítomnosti a niekedy aj identifikačné číslo. Ak pracujete so žiadateľmi o zamestnanie, spracúvate životopisy a motivačné listy. Ak používate kameraový dohľad v priestore, spracúvate videozáznamy návštevníkov a zamestnancov. V každom z týchto prípadov sa GDPR bez pochybnosti uplatňuje, bez ohľadu na to, či pracujete sám alebo s desiatimi ľuďmi.
Situácie, v ktorých sa to týka menej, ale nezmizne to úplne
Samostatne zárobkujúca osoba, ktorá vystavuje faktúry výlučne podnikateľským objednávateľom a nemá žiadnych zamestnancov ani spotrebiteľov, spracúva zvyčajne menej citlivé údaje a v menšom rozsahu. To robí praktickú úlohu prehľadnejšou, ale neznamená to, že sa zákon uplatňuje. Aj v tomto prípade musíte vedieť vysvetliť, prečo si údaje uchovávate, ako dlho ich uchováte a s kým ich možno zdieľate, napríklad prostredníctvom účtovného softvéru alebo cloudovej služby. Pokyny EDPB a vysvetlenia Úradu na ochranu osobných údajov neustále zdôrazňujú, že záväzky sa prispôsobujú riziku, nie že zmiznu u malých subjektov.
Ako si to skontrolovať vo vašej konkrétnej situácii
Najužitočnejšia otázka nie je "som dosť veľký, aby som mal počítať", ale "aké osobné údaje spracúvam, od koho a prečo". Prejdite si svoje hlavné obchodné procesy: fakturácia, kontakt so zákazníkmi, agenda zamestnancov, marketing, bezpečnosť. V každom procese, kde sa vyskytuje meno, e-mailová adresa alebo iný identifikovateľný údaj, je GDPR relevantný. Tí, ktorí nemajú toto prehľad jasný, knowledge base with explanations for each situation a starting point to determine which obligations apply to which type of processing.
The most frequently asked questions from other entrepreneurs also give a good picture of where doubts usually lie; these are collected on the page with answers to questions that SME entrepreneurs often ask. If you want to know how the information on gdpria.eu is compiled and which source belongs to which answer, you can read that on the page that explains where the information used comes from.
The final assessment of your own situation is up to you, possibly with a lawyer or with the Autoriteit Persoonsgegevens as a source for general guidance. What we offer on these pages is the structure to make that assessment, not the advice itself.
If you want to quickly and without obligation see which obligations apply to your type of business, you can create a business account and build up the overview for your own situation. The initial exploration, including the source of each answer, is and remains free.