Ali se GDPR tudi velja za moje podjetje, če nimam zaposlenih?
Splošna uredba o varstvu podatkov ne loči glede na velikost podjetja. V zakonu nikjer ni spodnje meje za število zaposlenih ali prihodke, pod katerimi pravila ne bi veljala. Odločilno je eno vprašanje: ali obdelujete osebne podatke? Takoj ko si zapišete ime stranke, e-poštni naslov, naslov za račun ali podatke kandidata, izvajate obdelavo v smislu GDPR, tudi če ste edini zaposleni vašega podjetja.
To v praksi pomeni, da skoraj vsako podjetje, od enega človeka do velike korporacije, spada v obseg GDPR. Razlika ni v tem, ali zakon velja, temveč v obsegu in naravi tega, kar obdelujete: samozaposleni, ki letno izda račune trem strankam, ima drugačno praktično nalogo kot spletna trgovina s tisoči profili strank. Obveznosti postanejo težje, ko je obdelava bolj tvegana ali bolj obsežna, vendar je izhodišče za vse enako.
Kaj dejansko določa, kako težko je GDPR zate
GDPR ima eno konkretnNo izjemo, ki je povezana z velikostjo podjetja: obveznost vzdrževanja registra dejavnosti obdelave načeloma ne velja za organizacije z manj kot 250 zaposlenimi, razen če obdelava ni naključna, predstavlja tveganje za pravice subjektov ali se nanaša na posebne kategorije osebnih podatkov, kot so zdravstveni podatki. V praksi pa večina MKB-podjetij spada pod eno od teh izjem, preprosto zato, ker se podatki strank obdelujejo strukturirano in zato niso naključni. Izjema je torej bolj ozka, kot se zdi na prvi pogled.
Bolj kot ta ena izjema je odločilna narava tega, kar obdelujete. Če obdelujete samo poslovna kontaktna podatke drugih podjetij, je tveganje običajno omejeno. Če obdelujete podatke potrošnikov, zaposlenih, kandidatov ali video posnetke, veljajo iste obveznosti kot za veliko podjetje: pravna podlaga za obdelavo, jasnost do subjektov, dogovori s strankami, ki obdelujejo podatke v vaše ime, in načrt za primer, da se kaj ne godi.
Situacije, v katerih GDPR nedvomno velja za vas
Če imate spletno trgovino, obdelujete podatke strank, podatke naročil in pogosto podatke prek ponudnika plačil ali dostavne službe. Če imate zaposlene, obdelujete podatke o plačah, podatke o bolezni in včasih EMŠO. Če delate s kandidati, obdelujete življenjepise in motivacijska pisma. Če uporabljate video nadzor na lokaciji, obdelujete video material obiskovalcev in zaposlenih. V vseh teh primerih je GDPR nedvomno veljaven, ne glede na to, ali delate sami ali z desetimi ljudmi.
Situacije, v katerih je lažje, vendar ne izgine
Samozaposleni, ki je izvajajo samo računovodske storitve za poslovne naročnike in nima zaposlenih ali potrošnikov, običajno obdeluje manj občutljive podatke in v manjših količinah. To naredi praktično nalogo bolj preglednejšo, vendar to ne pomeni, da zakon ne velja. Tudi takrat morate biti sposobni pojasniti, zakaj podatke hranite, kako dolgo in s kom jih morda delite, na primer prek računovodskega paketa ali oblačne storitve. Smernice EDPB in razlaga Urada za varstvo podatkov nenehno poudarjajo, da se obveznosti gibljejo glede na tveganje, ne pa da pri manjših subjektih izginejo.
Kako preverite to za vašo situacijo
Najbolj koristen vprašanj je ne "sem dovolj velik, da šteti", temveč "katere osebne podatke obdelam, od koga in zakaj". Preglejte svoje glavne poslovne procese: obračunasvanje, stik s strankami, kadrovsko upravljanje, trženje, varnost. Pri vsakem procesu, v katerem se pojavi ime, e-poštni naslov ali drug podatek, ki osebo identificira, je GDPR v igri. Kdor tega pregleda še nima jasnega, ga najde v banka znanja s pojasnjeni po situaciji izhodišče za določitev, katere obveznosti veljajo za katero vrsto obdelave.
Tudi pogosto zastavljena vprašanja drugih podjetnikov dajejo dobro sliko tega, kje se dvom običajno pojavlja; ta so zbrana na strani z odgovori na vprašanja, ki si jih pogosto zastavljajo podjetniki v sektorju MSP. Če želite vedeti, kako nastanejo informacije na gdpria.eu in kateri vir pripada kateremu odgovoru, to preberite na strani, ki pojasnjuje od koder izvirajo uporabljene informacije.
Končna presoja vaše lastne situacije je prepuščena vam, po potrebi s pravnikom ali s Pooblaščencem za varstvo podatkov kot naročnikom za splošno pojasnjenje. Kar vam ponujamo na teh straneh, je struktura za to presojo, ne pa sam nasvet.
Če želite hitro in brez obveze videti, katere obveznosti veljajo za vašo vrsto podjetja, lahko odprete poslovni račun in zgradite pregled za vašo lastno situacijo. Prvo raziskovanje, vključno z mestom, kjer je najti vsak odgovor, je in ostaja brezplačno.