Ali GDPR velja tudi za mala podjetja
Da. GDPR za mala podjetja velja v enakem obsegu kot za velika, kakor hitro obdelujete podatke o ljudeh: imena in e-naslove strank, podatke o zaposlenih, posnetke videonadzora ali kopije osebnih dokumentov gostov. Velikost podjetja vpliva le na nekaj podrobnosti, na primer na to, ali morate imenovati pooblaščeno osebo za varstvo podatkov, ne pa na temeljne obveznosti.
Dobra novica je, da malo podjetje večino dela opravi v nekaj tednih. Ne potrebujete debelih priročnikov, potrebujete pa dokumente, ki opisujejo resnično stanje, in nekaj tehničnih ukrepov, ki dejansko delujejo. Spodnjih deset korakov si sledi v vrstnem redu, v katerem jih je smiselno izvesti.
Kontrolni seznam za GDPR v desetih korakih
Za ponazoritev vzemimo družinsko podjetje z apartmaji in majhno turistično agencijo na Bledu: sedem zaposlenih, rezervacijski sistem, spletna stran z obrazcem za povpraševanje, računovodstvo pri zunanjem servisu in kopije osebnih dokumentov za prijavo gostov.
1. Popišite, katere osebne podatke imate
Pojdite skozi vse vire: poštne predale, rezervacijski sistem, preglednice v Excelu, mape na skupnem disku, telefone receptorjev in papirnate registratorje. Za vsak vir zapišite, kateri podatki so tam, o kom in kdo ima dostop. Pri večini podjetij se izkaže, da so isti podatki shranjeni na štirih mestih.
Ne pozabite na manj očitna mesta: fotografije osebnih izkaznic v aplikaciji za sporočanje na službenem telefonu, priloge v mapi poslanih sporočil, izvoze iz rezervacijskega sistema v mapi »Prenosi« in posnetke kamer pred vhodom. Prav tam podatki ostanejo najdlje, ker nanje nihče ne pomisli.
2. Za vsako obdelavo določite pravno podlago
Prijava gostov temelji na zakonski obveznosti, izdaja računa na pogodbi, pošiljanje novic s ponudbami partnerjev pa praviloma na privolitvi. Če podlage ne najdete, je obdelava verjetno odveč.
3. Pripravite evidenco dejavnosti obdelave
Evidenca je tabela: namen, kategorije posameznikov in podatkov, prejemniki, rok hrambe in ukrepi zaščite. Izjema za podjetja z manj kot 250 zaposlenimi je ozka, ker večina podjetij podatke obdeluje redno, zato evidenco pripravite v vsakem primeru. Hkrati preverite, ali potrebujete pooblaščeno osebo; večina malih podjetij je ne potrebuje, odločitev pa vseeno zapišite.
4. Posodobite obvestilo posameznikom
Politika zasebnosti na spletni strani mora opisovati, kaj res počnete, ne tistega, kar je pisalo v predlogi. Gostje morajo obvestilo videti tudi ob prijavi na recepciji, zaposleni pa ob sklenitvi pogodbe.
5. Uredite pogodbe z obdelovalci
Rezervacijski sistem, računovodski servis, ponudnik gostovanja spletne strani in IT podjetje obdelujejo podatke v vašem imenu. Z vsakim potrebujete pogodbo o obdelavi osebnih podatkov. Pri velikih ponudnikih je ta že del splošnih pogojev, poiskati jo morate le v nastavitvah računa. Pri manjših preverite vsaj tri stvari: kje se podatki hranijo, ali ponudnik uporablja podizvajalce in kaj se s podatki zgodi po koncu sodelovanja.
6. Določite roke hrambe in jih upoštevajte
Kopije osebnih dokumentov, stara povpraševanja in življenjepisi kandidatov se radi kopičijo leta. Za vsako vrsto podatkov zapišite rok, nato pa enkrat na leto izbrišite, kar je poteklo. Za računovodske listine roke preverite s svojim računovodjem.
7. Izvedite tehnične ukrepe
Brez tega koraka so dokumenti le papir. Najpomembnejši ukrepi za malo podjetje so:
- večfaktorska prijava za e-pošto in rezervacijski sistem,
- šifriran disk na vseh prenosnikih (BitLocker ali FileVault),
- varnostne kopije, ki jih vsaj enkrat na četrtletje poskusno obnovite,
- osebni uporabniški računi namesto skupnega gesla za recepcijo,
- redne posodobitve operacijskega sistema in programov.
8. Omejite dostope in poučite zaposlene
Študent, ki poleti dela na recepciji, ne potrebuje dostopa do plač. Pravice dodelite po vlogah in jih ob odhodu zaposlenega takoj odvzemite. Enkrat na leto vsem pokažite, kako prepoznajo lažno sporočilo in kam prijavijo sum.
9. Pripravite postopek za zahteve posameznikov
Gost lahko zahteva kopijo svojih podatkov ali izbris. Na zahtevo morate odgovoriti v enem mesecu. Določite, kdo zahtevke sprejema, kako preveri identiteto in kje poišče podatke; popis iz prvega koraka tu prihrani ure.
10. Pripravite se na kršitev
Izgubljen prenosnik, poslana napačna priloga ali vdor v poštni predal so kršitve varstva podatkov. Če je verjetno tveganje za posameznike, morate Informacijskega pooblaščenca obvestiti v 72 urah. Zapišite, kdo odloča, koga obvesti in kje vodite evidenco vseh kršitev, tudi tistih, ki jih ne prijavite.
Najpogostejša napaka pri malih podjetjih ni manjkajoč dokument, ampak dokument, ki ne ustreza resničnosti. Politika zasebnosti, ki obljublja šifriranje, ko prenosniki niso šifrirani, je ob nadzoru ali pritožbi slabša od nobene.
Kaj lahko počaka in česa ne
Ni treba vsega narediti v enem tednu. Smiselno je razlikovati med koraki, ki zmanjšajo resnično tveganje, in tistimi, ki so predvsem dokumentacija.
| Takoj | V treh mesecih | Enkrat na leto |
|---|---|---|
| večfaktorska prijava, šifriranje prenosnikov, odvzem dostopov bivšim zaposlenim | evidenca dejavnosti obdelave, pogodbe z obdelovalci, posodobljeno obvestilo | pregled rokov hrambe, usposabljanje zaposlenih, preizkus postopka ob kršitvi |
Ocena učinka (DPIA) je potrebna le pri obdelavah z visokim tveganjem, na primer pri obsežni obdelavi podatkov o zdravju ali sistematičnem nadzoru zaposlenih. Večina malih podjetij je ne potrebuje, a če ste v dvomih, to preverite s pravnim svetovalcem.
Pogoste zmote
Prva zmota je, da GDPR uredi spletna pasica za piškotke. Pasica je le en majhen del, ki ga poleg tega ureja še ZEKom-2. Druga je, da je dovolj podpisati predlogo, ki jo je pripravil nekdo drug. Tretja je, da je za varnost odgovoren ponudnik v oblaku. Microsoft ali Google poskrbita za svoje podatkovne centre, nastavitve dostopov, gesla in deljenje datotek pa ostanejo vaša odgovornost. Četrta zadeva videonadzor: kamera na parkirišču apartmajev je obdelava osebnih podatkov, ki potrebuje obvestilo na vidnem mestu, določen rok hrambe posnetkov in omejen dostop do njih. Za podrobnosti ZVOP-2 in posebnosti vaše dejavnosti se posvetujte s pravnim svetovalcem; IT ponudnik vam pomaga pri tehničnem delu, pravnega mnenja pa ne nadomesti.
Kako začeti
Rezervirajte dva popoldneva za prva dva koraka in popis naredite skupaj z ljudmi, ki podatke dejansko uporabljajo. Ko imate popis, je preostanek predvsem urejanje. Pri tehničnih ukrepih, evidenci in pogodbah vam lahko pomagamo v okviru storitve GDPR in varstvo osebnih podatkov. Če želite celoten pregled skladnosti in načrt po korakih, si oglejte rešitev skladnost z GDPR.
Uredništvo Apply
Kibernetska varnost in GDPR