Какво означава Общият регламент за защита на данните (GDPR) за вашата компания

Септември 03, 2023

Актуализирано на 4 септември 2023 г

Поверителността е много голяма работа в днешно време, особено след масовата дигитализация в световен мащаб. Начинът, по който се обработват нашите данни, трябва да бъде контролиран и регулиран, за да се предотврати злоупотреба или дори кражба на определени лица. Знаете ли, че поверителността дори е човешко право? Личните данни са изключително чувствителни и склонни към злоупотреба; следователно повечето страни са приели законодателство, което строго регулира използването и обработката на (лични) данни. Освен националните закони има и всеобхватни разпоредби, които оказват влияние върху националното законодателство. Европейският съюз (ЕС) например приложи Общия регламент за защита на данните (GDPR). Този регламент влезе в сила през май 2018 г. и се прилага за всяка организация, която предлага стоки или услуги на пазара на ЕС. GDPR се прилага дори ако вашата компания не е базирана в ЕС, но в същото време има клиенти от ЕС. Преди да навлезем в детайлите на регламента GDPR и неговите изисквания, нека първо да изясним какво цели да постигне GDPR и защо е важен за вас като предприемач. В тази статия ще обясним какво представлява GDPR, защо трябва да предприемете подходящи действия, за да се съобразите с него и как да направите това по възможно най-ефективния начин.

Какво точно представлява GDPR?

GDPR е регламент на ЕС, който обхваща защитата на личните данни на физическите граждани. Следователно е насочена единствено към защитата на личните данни, а не към професионалните данни или данните на компаниите. На официалния уебсайт на ЕС това е описано по следния начин:

„Регламент (ЕС) 2016/679 относно защитата на физическите лица по отношение на обработването на лични данни и относно свободното движение на такива данни. Коригираният текст на този регламент беше публикуван в Официалния вестник на Европейския съюз на 23 май 2018 г. GDPR укрепва основните права на гражданите в цифровата ера и насърчава търговията, като изяснява правилата за бизнеса в цифровия единен пазар. Този общ набор от правила елиминира фрагментацията, причинена от различни национални системи, и избягва бюрокрацията. Наредбата е влязла в сила на 24 май 2016 г. и е в сила от 25 май 2018 г. Повече информация за фирми и физически лица.[1]"

Това е основно средство за гарантиране, че личните данни се обработват безопасно от компании, които трябва да обработват данни поради естеството на стоките или услугите, които предлагат. Например, ако поръчате продукт на уебсайт като гражданин на ЕС, вашите данни са защитени от този регламент, тъй като сте базирани в ЕС. Както обяснихме накратко преди, самата компания не е необходимо да е установена в страна от ЕС, за да попадне в обхвата на този регламент. Всяка компания, която работи с клиенти от ЕС, трябва да се придържа към GDPR, като гарантира, че личните данни на всички граждани на ЕС са защитени и безопасни. По този начин можете да бъдете спокойни, че никоя компания няма да използва вашите данни за други цели, освен тези, които са конкретно посочени и очертани.

Каква е конкретната цел на GDPR?

Основната цел на GDPR е защита на личните данни. Регламентът GDPR изисква всички организации, големи и малки, включително вашата, да мислят за личните данни, които използват, и да бъдат много внимателни и внимателни относно това защо и как ги използват. По същество GDPR иска предприемачите да бъдат по-наясно, когато става въпрос за личните данни на техните клиенти, служители, доставчици и други страни, с които правят бизнес. С други думи, регламентът GDPR иска да сложи край на организациите, които събират данни за физически лица само защото могат, без достатъчно основание. Или защото вярват, че по някакъв начин могат да се възползват от него сега или в бъдеще, без да обръщат много внимание и без да ви информират. Както ще видите в информацията по-долу, GDPR всъщност не забранява много. Все още можете да участвате в имейл маркетинг, все още можете да рекламирате и все още можете да продавате и използвате личните данни на клиентите, стига да предоставяте прозрачност за това как зачитате поверителността на хората. Регламентът е по-скоро за предоставяне на достатъчно информация за начина, по който използвате данните, за да могат вашите клиенти и други трети страни да бъдат информирани за вашите конкретни цели и действия. По този начин всяко лице може да ви предостави своите данни най-малкото въз основа на информирано съгласие. Достатъчно е да кажем, че трябва да правите това, което казвате, и да не използвате данните за цели, различни от посочените от вас, тъй като това може да доведе до много големи глоби и други последствия.

Предприемачи, за които се прилага GDPR

Може да се запитате: „GDPR важи ли и за моята компания?“ Отговорът на това е доста прост: ако имате клиентска база или персонална администрация с лица от ЕС, тогава обработвате лични данни. И ако обработвате лични данни, трябва да спазвате Общия регламент за защита на данните (GDPR). Законът определя какво можете да правите с личните данни и как трябва да ги защитите. Следователно винаги е важно за вашата организация, тъй като е задължително за всички компании, работещи с физически лица от ЕС, да спазват регламента GDPR. Всички наши професионални и лични взаимодействия са все по-дигитални, така че съобразяването с поверителността на хората е просто правилното нещо. Клиентите очакват любимите им магазини да обработват внимателно личните данни, които предоставят, така че да имате в ред личните си разпоредби относно GDPR е нещо, с което можете да се гордеете. И като допълнителен бонус клиентите ви ще го харесат.

Когато работите с лични данни, съгласно GDPR, вие почти винаги обработвате и тези данни. Помислете за събиране, съхраняване, модифициране, допълване или препращане на данни. Дори ако създавате или изтривате данни анонимно, вие също ги обработвате. Данните са лични данни, ако се отнасят за хора, които можете да различите от всички останали хора. Това е определението за идентифицирано лице, което ще обсъдим подробно по-късно в тази статия. Например, вие сте идентифицирали лице, ако знаете неговото собствено и фамилно име и тези данни съвпадат и с данните на официално издадения му документ за самоличност. Като физическо лице, участващо в този процес, вие имате контрол върху личните данни, които предоставяте на организациите. На първо място, GDPR ви дава правото да бъдете информирани за конкретните лични данни, които организациите използват и защо. В същото време имате право да бъдете информирани за това как тези организации гарантират вашата поверителност. Освен това можете да възразите срещу използването на вашите данни, да поискате организацията да изтрие вашите данни или дори да поискате данните ви да бъдат прехвърлени към конкурентна услуга.[2] Така че по същество лицето, на което принадлежат данните, избира какво да правите с данните. Ето защо трябва да бъдете щателни като организация с информацията, която предоставяте по отношение на точното използване на личните данни, които придобивате, тъй като лицето, на което принадлежат данните, трябва да бъде информирано за причините, поради които техните данни изобщо се обработват. Само тогава човек може да реши дали използвате данните правилно.

Кои точно данни са включени?

Личните данни играят най-важната роля в GDPR. Защитата на поверителността на хората е отправната точка. Ако прочетем внимателно насоките на GDPR, можем да разделим данните в три категории. Първата категория е конкретно за лични данни. Това може да се категоризира като цялата информация за идентифицирано или идентифицируемо физическо лице. Например неговото или нейното име и подробности за адреса, имейл адрес, IP адрес, дата на раждане, текущо местоположение, но също и идентификатори на устройства. Тези лични данни са цялата информация, чрез която физическо лице може да бъде идентифицирано. Имайте предвид, че това понятие се тълкува много широко. Със сигурност не се ограничава до фамилия, собствено име, дата на раждане или адрес. Някои данни – които на пръв поглед нямат нищо общо с личните данни – все пак могат да попаднат в обхвата на GDPR чрез добавяне на определена информация. Поради това е общоприето, че дори (динамичните) IP адреси, уникалните комбинации от числа, с които компютрите комуникират помежду си в интернет, могат да се считат за лични данни. Това, разбира се, трябва да се разглежда конкретно за всеки конкретен случай, но имайте предвид данните, които обработвате.

Втората категория е за така наречените псевдоанонимни данни: лични данни, обработвани по такъв начин, че данните вече не могат да бъдат проследени без използването на допълнителна информация, но въпреки това правят човек уникален. Например криптиран имейл адрес, потребителско име или клиентски номер, който е свързан само с други данни чрез добре защитена вътрешна база данни. Това също попада в обхвата на GDPR. Третата категория се състои от изцяло анонимни данни: данни, при които всички лични данни, които позволяват обратно проследяване, са изтрити. На практика това често е трудно да се докаже, освен ако личните данни не могат да бъдат проследени. Следователно това е извън обхвата на GDPR.

Кой се квалифицира като лице, което може да бъде идентифицирано?

Понякога може да е малко трудно да се определи кой попада в обхвата на „идентифицируемо лице“. Особено след като в интернет има много фалшиви профили, като например хора с фалшиви акаунти в социалните мрежи. Като цяло можете да предположите, че едно лице може да бъде идентифицирано, когато можете да проследите личните му данни без много усилия. Помислете например за клиентски номера, които можете да свържете с данните на акаунта. Или телефонен номер, който можете лесно да проследите и по този начин да разберете на кого принадлежи. Това са всички лични данни. Ако изглежда, че имате проблеми с идентифицирането на някого, е необходимо да направите малко повече проучване. Можете да поискате от лицето валидна форма на идентификация, само за да сте сигурни, че знаете с кого си имате работа. Можете също да търсите в проверени бази данни, за да получите информация относно самоличността на някого, като например цифров телефонен указател (който всъщност все още съществува). Ако не сте сигурни дали даден клиент или друга трета страна може да бъде идентифицирана, опитайте се да се свържете с този клиент и поискайте лични данни. Ако лицето не отговори на вашето запитване, обикновено е най-добре да изтриете всички данни, които имате, и да изхвърлите информацията, която ви е предоставена. Вероятно някой използва фалшива самоличност. GDPR има за цел да защити физическите лица, но вие като компания също трябва да предприемете подходящи стъпки, за да се защитите от измами. За съжаление, хората могат да използват фалшиви самоличности, така че е важно да бъдете бдителни относно информацията, която хората предоставят. Когато някой използва самоличността на някой друг, това може да има сериозни последици за вас като компания. Дю дилиджънс се препоръчва по всяко време.

Легитимни причини за използване на данни на трети страни

Основен компонент на GDPR е правилото, че трябва да използвате данни на трети страни само за определени и легитимни цели. Въз основа на изискването за минимизиране на данните, GDPR предписва, че можете да използвате лични данни само за заявени и документирани бизнес цели, подкрепени от едно от шестте налични правни основания на GDPR. С други думи, вашето използване на лични данни е ограничено до посочена цел и правно основание. Всяко обработване на лични данни, което предприемате, трябва да бъде документирано в регистър на GDPR, заедно с неговата цел и правно основание. Тази документация ви принуждава да мислите за всяка дейност по обработка и внимателно да обмислите целта и правното основание за нея. GDPR позволява шест правни основания, които ще очертаем по-долу.

Договорни задължения: При сключване на договор трябва да се обработват лични данни. Лични данни могат да се използват и при изпълнение на договор.
Съгласие: Потребителят дава изрично разрешение за използване на личните му данни или поставяне на бисквитки.
Легитимен интерес: Обработването на лични данни е необходимо за целите на легитимните интереси на администратора или трета страна. Балансът е важен в този случай, той не трябва да нарушава личните свободи на субекта на данните.
Жизненоважни интереси: Данните могат да бъдат обработвани, когато възникнат ситуации на живот или смърт.
Законови задължения: Личните данни трябва да се обработват съгласно закона.
Обществени интереси: Това е свързано главно с правителствата и местните власти, като рискове по отношение на обществения ред и безопасност и защитата на обществото като цяло.

Това са правните основания, които ви позволяват да съхранявате и обработвате лични данни. Често някои от тези причини може да се припокриват. Това по принцип не е проблем, стига да можете да обясните и докажете, че действително има правно основание. Когато нямате правно основание за съхранение и обработка на лични данни, може да имате проблеми. Имайте предвид, че GDPR има предвид защитата на поверителността на лицата, поради което има само ограничени правни основания. Познавайте и прилагайте тези и трябва да сте в безопасност като организация или компания.

Данните, за които се прилага GDPR

В основата си GDPR се прилага за обработка на данни, която е напълно или поне частично автоматична. Това включва обработка на данни чрез база данни или компютър, например. Но се отнася и за лични данни, които са включени във физически файл, като например файлове, съхранявани в архив. Но тези файлове трябва да са съществени в смисъл, че включените данни са свързани с някаква поръчка, файл или бизнес сделка. Ако притежавате ръкописна бележка само с име върху нея, тя не се квалифицира като данни съгласно GDPR. Тази ръкописна бележка може да е от някой, който се интересува от вас, или в крайна сметка да е от личен характер. Някои често срещани начини, по които компаниите обработват данни, включват управление на поръчки, база данни на клиенти, база данни на доставчици, администрация на персонала и, разбира се, директен маркетинг, като например бюлетини и директна поща. Лицето, чиито лични данни обработвате, се нарича „субект на данни“. Това може да бъде клиент, абонат за бюлетин, служител или лице за контакт. Данните за фирми не се разглеждат като лични данни, докато данните за еднолични търговци или самостоятелно заети лица са.[3]

Правила за онлайн маркетинг

GDPR има значително влияние, когато става дума за онлайн маркетинг. Има някои основни правила, които ще трябва да спазвате, като например винаги предлагане на опция за отказ в случай на имейл маркетинг. Освен това оферентът трябва също да може да посочи и коригира своите предпочитания. Това означава, че трябва да коригирате имейлите, ако в момента не предлагате тези опции. Много организации също използват механизми за пренасочване. Това може да се постигне например чрез Facebook или Google Ads, но имайте предвид, че ще трябва да поискате изрично разрешение за това. Вероятно вече имате политика за поверителност и бисквитки на уебсайта си. Така че с тези правила тези правни части също трябва да бъдат преразгледани. Изискванията на GDPR гласят, че тези документи трябва да бъдат по-изчерпателни и прозрачни. Често можете да използвате типови текстове за тези корекции, които са свободно достъпни в интернет. В допълнение към правните корекции на вашите политики за поверителност и бисквитки, трябва да бъде назначено длъжностно лице за обработка на данни. Това лице отговаря за обработката на данните и гарантира, че организацията е и остава съвместима с GDPR.

Съвети и начини за спазване на GDPR

Най-важното, разбира се, е вие като предприемач да спазвате законовите разпоредби и правила, като например GDPR. За щастие има начини да се съобразите с GDPR с възможно най-малко усилия. Както вече обсъдихме, GDPR сам по себе си всъщност не забранява нищо, но определя строги насоки за начина, по който личните данни могат да бъдат обработвани. Ако не се придържате към конкретните указания и използвате данните по причини, които не са споменати в GDPR или попадат извън неговия обхват, рискувате глоби и още по-лоши последствия. Освен това имайте предвид, че всички страни, с които работите, ще ви уважават като собственик на бизнес, когато вие също уважавате техните данни и поверителност. Това ще ви осигури положителен и надежден имидж, което е наистина добро за бизнеса. Сега ще обсъдим някои съвети, които ще направят спазването на GDPR лесен и ефективен процес.

1. Начертайте кои лични данни обработвате на първо място

Първото нещо, което трябва да направите, е да проучите кои точно данни имате нужда и за каква цел. Каква информация ще събирате? Колко данни са ви необходими, за да постигнете целите си? Само име и имейл адрес или имате нужда и от допълнителни данни като физически адрес и телефонен номер? Трябва също така да създадете регистър за обработка, в който да посочите кои данни съхранявате, откъде идват и с кои страни споделяте тази информация. Вземете под внимание и периодите на съхранение, тъй като GDPR гласи, че трябва да сте прозрачни за това.

2. Направете поверителността приоритет за вашия бизнес като цяло

Поверителността е много важна тема и това ще остане така в (не)обозримо бъдеще, тъй като технологиите и цифровизацията само напредват и нарастват. Ето защо е много важно вие, като предприемач, да се информирате за всички необходими разпоредби за поверителност и да дадете това на първо място, докато правите бизнес. Това не само ще гарантира, че спазвате всички приложими закони, но и ще изгради имидж на доверие за вашата компания. Така че, като предприемач, потопете се в правилата на GDPR или по друг начин потърсете съвет от правни експерти, за да сте сигурни, че правите бизнес законно, що се отнася до поверителността. Трябва да разберете кои точно правила трябва да спазва вашата компания. Холандските власти също могат да ви помогнат по пътя ви с тонове информация, съвети и инструменти, които да използвате ежедневно.

3. Идентифицирайте правилното правно основание за обработка на лични данни

Както вече обсъдихме, има само шест официални правни основания, които ви позволяват да обработвате и съхранявате лични данни, съгласно GDPR. Ако възнамерявате да използвате данни, от жизненоважно значение е да знаете кое правно основание е в основата на използването ви. В идеалния случай трябва да документирате различните видове обработка на данни, които извършвате във вашата компания, например във вашата политика за поверителност, така че клиентите и третите страни да могат да прочетат и потвърдят тази информация. След това идентифицирайте правилното правно основание за всяко действие поотделно. Ако трябва да обработвате лични данни по нови мотиви или причини, не забравяйте да добавите и тази дейност, преди да започнете.

4. Опитайте се да сведете до минимум използването на данни, доколкото е възможно

Вие, като организация, трябва да гарантирате, че събирате само минималните елементи от данни, за да постигнете определена цел. Например, ако продавате стоки или услуги онлайн, вашите потребители обикновено трябва само да ви предоставят имейл и парола, за да може процесът на регистрация да протече гладко. Няма нужда да питате клиентите за техния пол, място на раждане или дори адрес като част от процеса на регистрация. Само когато потребителите продължат да купуват артикул и искат той да бъде доставен до определен адрес, става необходимо да поискат повече информация. След това имате право да поискате адреса на потребителя на този етап, тъй като това е важна информация за всеки процес на доставка. Минимизирането на количеството събрани данни свежда до минимум въздействието на потенциални инциденти, свързани с поверителността или сигурността. Минимизирането на данните е основно изискване на GDPR и изключително ефективно за защита на поверителността на вашите потребители, тъй като обработвате само информацията, от която се нуждаете, и нищо повече.

5. Познавайте правата на хората, чиито данни обработвате

Важна част от запознаването с GDPR е да се информирате за правата на вашите клиенти и други трети страни, чиито данни съхранявате и обработвате. Само като познавате техните права, можете да се защитите и да избегнете глоби. Вярно е, че GDPR въведе редица важни права за физическите лица. Като например правото на проверка на техните лични данни, правото на коригиране или изтриване на данните и правото на възражение срещу обработването на техните данни. Ще обсъдим накратко тези права по-долу.

Правото на достъп

Първото право на достъп означава, че лицата имат право да преглеждат и да се консултират с обработваните за тях лични данни. Ако клиент поиска това, вие сте длъжни да му го предоставите.

Правото на коригиране

Коригирането е същото като корекцията. Следователно правото на коригиране дава на лицата правото да правят промени и допълнения към личните данни, които организацията обработва за тях, за да гарантира, че тези данни се обработват правилно.

Правото да бъдеш забравен

Правото да бъдеш забравен означава точно това, което се казва: правото да бъдеш „забравен“, когато клиент изрично поиска това. След това организацията е длъжна да изтрие личните си данни. Имайте предвид, че ако има включени законови задължения, дадено лице не може да се позове на това право.

Право на ограничаване на обработката

Това право дава възможност на физическо лице като субект на данни да ограничи обработването на своите лични данни, което означава, че може да поиска обработването на по-малко данни. Например, ако една компания поиска повече данни, отколкото е абсолютно необходимо за съответния процес.

Право на преносимост на данни

Това право означава, че физическо лице има право да прехвърли своите лични данни на друга организация. Например, ако някой отиде при конкурент или член на персонала отиде да работи за друга компания и вие прехвърлите данни на тази компания,

Правото на възражение

Правото на възражение означава, че физическо лице има право да възрази срещу обработването на личните му данни, например когато данните се използват за маркетингови цели. Те могат да упражняват това право по конкретни лични причини.

Правото да не бъдете обект на автоматизирано вземане на решения

Физическите лица имат право да не бъдат обект на напълно автоматизирано вземане на решения, което може да има значителни последици за тях или да причини правни последици от човешка намеса. Пример за автоматизирана обработка е система за кредитен рейтинг, която напълно автоматично ще определи дали отговаряте на условията за заем.

Правото на информация

Това означава, че организацията трябва да предостави на лицата ясна информация относно събирането и обработването на техните лични данни, когато дадено лице поиска това. Една организация трябва да може да посочи кои данни обработва и защо, съгласно принципите на GDPR.

Като се запознаете с тези права, можете по-добре да предвидите кога клиентите и третите страни могат да поискат информация относно данните, които обработвате. Тогава ще ви бъде много по-лесно да се задължите и да им изпратите информацията, която искат, защото сте били подготвени. Може да ви спести много време да сте винаги подготвени за запитвания и да имате данните под ръка и готови, например, като инвестирате в добра система за управление на клиенти, която ви позволява да извличате необходимите данни бързо и ефективно.

Какво се случва, когато не се съобразите?

Вече засегнахме тази тема накратко преди: има последствия, когато не спазвате GDPR. Отново, имайте предвид, че не е необходимо да имате компания, базирана в ЕС, за да се изисква да спазвате изискванията. Ако имате дори един клиент, който е базиран в ЕС, чиито данни обработвате, попадате в обхвата на GDPR. Има две нива на глоби, които могат да бъдат наложени. Компетентният орган за защита на данните във всяка държава може да наложи ефективни глоби на две нива. Това ниво се определя въз основа на конкретното нарушение. Глобите от първо ниво включват нарушения като обработване на лични данни на непълнолетни без родителско съгласие, липса на докладване за нарушение на сигурността на данните и сътрудничество с процесор, който не предоставя достатъчни гаранции по отношение на необходимата сигурност на данните. Тези глоби могат да възлизат на до 10 милиона евро или, в случай на компания, до 2% от общия ви световен годишен оборот от предходната финансова година.

Ниво две се прилага, ако извършите основни нарушения. Например, неспазване на принципите за обработка на данни или ако дадена организация не може да докаже, че субектът на данните действително е дал съгласие за обработката на данни. Ако попаднете в обхвата на глобите от второ ниво, рискувате максимална глоба от 20 милиона евро или до 4% от глобалния оборот на вашата компания. Имайте предвид, че тези суми са максимизирани и зависят от вашата лична ситуация и годишните приходи на вашия бизнес, наред с други фактори. Освен глоби, националният орган за защита на данните може да наложи и други санкции. Това може да варира от предупреждения и порицания до временно (а понякога дори окончателно) прекратяване на обработката на данни. В този случай можете временно или постоянно да престанете да обработвате лични данни чрез вашата организация. Например, защото многократно сте извършвали криминални престъпления. Това по същество ще направи невъзможно да правите бизнес. Друга възможна санкция от GDPR е изплащането на обезщетение за потребители, които подадат основателна жалба. Накратко, бъдете бдителни относно поверителността и личните данни на хората, за да избегнете такива тежки последствия.

Искате ли да знаете дали сте съвместими с GDPR?

Ако планирате да започнете бизнес в Холандия, ще трябва да спазвате GDPR. Ако правите бизнес с холандски клиенти или клиенти, базирани в която и да е друга държава от ЕС, вие също ще трябва да се придържате към този регламент на ЕС. Ако не знаете със сигурност дали попадате в обхвата на GDPR, винаги можете да се свържете с Intercompany Solutions за съвет по темата. Можем да ви помогнем да разберете дали имате приложими вътрешни разпоредби и процеси и дали информацията, която предоставяте на трети страни, е достатъчна. Понякога може да бъде много лесно да пренебрегнете важна информация, която въпреки това може да ви създаде проблеми със закона. Запомнете: поверителността е изключително важна тема, така че е важно винаги да сте в крак с най-новите разпоредби и новини. Ако имате някакви въпроси по тази тема или искате повече информация за бизнес предприятия в Холандия, не се колебайте да се свържете Intercompany Solutions по всяко време. С удоволствие ще ви помогнем с всяко запитване, което може да имате, или ще ви предложим ясна оферта.

Източници:

https://gdpr-info.eu/

https://www.afm.nl/en/over-de-afm/organisatie/privacy

https://finance.ec.europa.eu/

[1] https://commission.europa.eu/law/law-topic/data-protection/data-protection-eu_nl#:~:text=The%20general%20regulation%20dataprotection%20(GDPR)&text=The%20AVG%20(also%20known%20under,digital%20unified%20market%20te%20.

[2] https://www.rijksoverheid.nl/onderwerpen/privacy-en-persoonsgegevens/documenten/brochures/2018/05/01/de-algemene-verordening-gegevensbescherming

[3] https://www.rijksoverheid.nl/onderwerpen/privacy-en-persoonsgegevens/documenten/brochures/2018/05/01/de-algemene-verordening-gegevensbescherming