Mulți antreprenori mici cred că GDPR este o problemă a băncilor, a rețelelor de magazine sau a companiilor de telecomunicații. Ideea are o logică aparentă: dacă nu ai milioane de clienți și nu administrezi servere uriașe, ce ai de ascuns sau de protejat? Răspunsul scurt este că da, ai nevoie de GDPR, chiar dacă firma ta are doar câțiva angajați și câteva zeci de clienți. Obligațiile tale sunt însă proporționale cu riscul, deci mult mai ușoare decât ale unei corporații.
Ce este, de fapt, GDPR
Regulamentul General privind Protecția Datelor (Regulamentul UE 2016/679) se aplică din mai 2018 în toate statele membre, inclusiv în România. Nu are un prag minim de mărime. Se aplică oricărei persoane, firme sau PFA care prelucrează date personale în cadrul unei activități profesionale sau comerciale.
Criteriul nu este numărul de înregistrări, ci natura activității: dacă prelucrezi date despre persoane fizice, intri sub incidența regulamentului. O firmă cu trei angajați și o sută de clienți are obligații, doar că mai puține decât una cu trei mii de angajați.
Ce sunt datele personale
Datele personale sunt orice informație care permite identificarea unei persoane, direct sau indirect. Lista este mai lungă decât cred cei mai mulți:
- nume, prenume, CNP, serie și număr de act de identitate;
- adresă de domiciliu, număr de telefon, adresă de e-mail;
- date bancare, număr de înmatriculare al unui autovehicul;
- imagini video de la camerele de supraveghere;
- adresa IP și identificatorii din cookie-uri;
- date despre angajați: contracte, fluturași de salariu, concedii medicale.
Dacă ai un angajat, ai deja date personale: contractul de muncă, datele de salarizare, dosarul de personal. Dacă ai clienți persoane fizice și emiți facturi pe numele lor, prelucrezi date personale. Dacă ai un site cu formular de contact, un newsletter sau cookie-uri de analiză, la fel. Nu ai nevoie de o bază de date sofisticată: un registru de hârtie, un fișier Excel sau agenda telefonului de serviciu sunt suficiente ca regulamentul să se aplice.
„Eu nu am baze de date mari” nu te scutește
Expresia „baze de date mari” nu apare ca excepție în text. Regulamentul conține o singură derogare pentru firmele mici, la articolul 30 alineatul (5): organizațiile cu mai puțin de 250 de angajați nu sunt obligate să țină registrul activităților de prelucrare. Acea derogare nu se aplică însă dacă prelucrarea:
- prezintă un risc pentru drepturile și libertățile persoanelor,
- nu este ocazională, ci se face în mod regulat, sau
- include categorii speciale de date (sănătate, opinii politice, apartenență sindicală, date biometrice) ori date privind condamnări penale.
Cum aproape orice firmă prelucrează regulat datele angajaților, în practică derogarea se aplică rar. De aceea, mulți specialiști recomandă ca și firmele mici să țină un registru simplu, chiar dacă obligația formală poate fi discutabilă. Este util și ca dovadă că ai încercat să te conformezi.
Ce trebuie să faci concret
Pentru o firmă mică, conformarea nu înseamnă un proiect de luni de zile. Înseamnă câțiva pași practici.
- Află ce date ai. Fă o listă simplă: ce date colectezi, de la cine, în ce scop, unde le păstrezi, cât timp și cine are acces la ele. Cinci-zece rânduri într-un tabel pot fi suficiente. Această listă este și baza registrului de prelucrări.
- Stabilește temeiul legal. Nu poți prelucra date oricum. Regulamentul cere un temei: consimțământul, executarea unui contract (de exemplu, datele clientului pentru a-i livra comanda), o obligație legală (datele angajaților pentru declarațiile fiscale), interesul legitim sau altele. Consimțământul nu este mereu soluția. Dacă ai nevoie de datele cuiva ca să-i emiți o factură, temeiul este obligația legală și contractul, nu bifa „sunt de acord”.
- Informează oamenii. Persoanele ale căror date le prelucrezi au dreptul să știe cine le folosește datele, în ce scop, cât timp și ce drepturi au. Se face printr-o notă de informare: o pagină „Politica de confidențialitate” pe site, o clauză în contract sau un afiș lângă camerele video. Textul trebuie să fie clar, nu un document juridic de zece pagini.
- Respectă minimizarea. Colectează doar ce ai cu adevărat nevoie. Dacă formularul de contact cere data nașterii și CNP-ul fără niciun motiv, ai o problemă. Nu păstra datele mai mult decât este necesar: stabilește termene (de pildă, cele din legislația contabilă și fiscală pentru documente justificative) și șterge ce nu mai e util.
- Asigură securitatea de bază. Nu trebuie să investești în echipamente scumpe, dar ai nevoie de măsuri rezonabile: parole puternice, autentificare în doi pași, actualizări la zi, copii de siguranță, acces limitat pe bază de nevoie, dulapuri încuiate pentru documentele pe hârtie. Un laptop furat fără criptare, cu fișiere cu datele clienților, este un incident real.
- Încheie acorduri cu furnizorii. Dacă folosești un contabil extern, o firmă de salarizare, un serviciu de e-mail marketing sau un cloud, aceștia prelucrează date în numele tău și sunt „persoane împuternicite”. Ai nevoie cu fiecare de un contract sau o clauză de prelucrare a datelor (art. 28 GDPR). Majoritatea furnizorilor mari oferă un asemenea acord standard, pe care îl accepți online.
- Pregătește-te pentru drepturile persoanelor. Oamenii pot cere acces la datele lor, rectificarea, ștergerea, restricționarea prelucrării sau portabilitatea. Trebuie să răspunzi în maximum o lună. Nu trebuie să ai o procedură complicată, ci să știi cine primește cererea și cum o rezolvi.
- Știi ce faci în caz de incident. Dacă se întâmplă o încălcare a securității care pune în pericol datele (un atac informatic, un e-mail trimis greșit cu date sensibile), trebuie să notifici Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) în cel mult 72 de ore, în afară de cazul în care riscul este improbabil. Dacă riscul pentru persoane este ridicat, le informezi și pe acestea.
Am nevoie de responsabil cu protecția datelor (DPO)?
Cel mai probabil, nu. Numirea unui DPO este obligatorie doar în trei situații: autorități publice, firme a căror activitate de bază presupune monitorizarea sistematică la scară largă a persoanelor, și firme care prelucrează la scară largă categorii speciale de date. O firmă mică, fără astfel de activități, nu are obligația. Poți numi totuși o persoană de contact sau poți colabora cu un consultant extern, ceea ce este adesea o soluție practică.
Domenii în care chiar și firmele mici au mai multe obligații
Unele activități ridică riscul și înseamnă mai multă atenție, indiferent de dimensiune:
- Supravegherea video. Camerele din birou, magazin sau depozit trebuie declarate prin informare vizibilă, cu un scop clar și perioadă limitată de stocare. Camerele nu pot filma spații precum vestiarele sau toaletele.
- Cabinete medicale, farmacii, psihologi. Datele de sănătate sunt categorii speciale, cu protecție sporită.
- Marketing direct. E-mailurile și SMS-urile comerciale cer, de regulă, consimțământ prealabil și o opțiune simplă de dezabonare.
- Site-uri cu cookie-uri. Cookie-urile non-esențiale (analiză, reclame) cer acordul vizitatorului prin bannerul de cookie-uri.
- Recrutare. CV-urile primite au termen limitat de păstrare, iar candidații trebuie informați.
Ce riscuri ai dacă ignori subiectul
Amenzile din titlurile din presă (până la 20 de milioane de euro sau 4% din cifra de afaceri globală) sunt pentru cazurile grave și firmele mari. Autoritatea ia în calcul însă dimensiunea, natura încălcării și buna-credință, iar amenzile aplicate firmelor mici sunt mult mai mici. Faptul că maximul teoretic nu te vizează nu înseamnă că ești la adăpost. ANSPDCP a aplicat sancțiuni, inclusiv pentru firme mici, pentru lucruri banale: camere video fără informare, e-mailuri trimise fără temei sau date personale divulgate prin neglijență. Plângerea unui client sau a unui fost angajat este de multe ori ce declanșează un control.
Pe lângă amenzi, mai există costuri mai greu de măsurat: pierderea încrederii clientului, dificultăți în contractele cu parteneri mari care cer dovada conformării și reputația afectată după un incident.
Concluzie: proporțional, nu opțional
Răspunsul la întrebarea din titlu este clar: da, GDPR se aplică și firmei tale mici, pentru că nu mărimea bazei de date contează, ci simplul fapt că prelucrezi date personale. Vestea bună este că regulamentul este construit pe principiul proporționalității: cu cât riscul este mai mic, cu atât măsurile necesare sunt mai simple.
Un plan realist pentru o firmă mică arată așa: o listă a datelor pe care le deții, o politică de confidențialitate pe site, contracte clare cu contabilul și cu furnizorii de servicii, securitate de bază, termene de păstrare și o persoană care știe ce se face dacă un client îți cere datele sau dacă apare un incident. Cu aceste lucruri făcute, ești mult mai bine pregătit decât majoritatea firmelor mici.
Dacă prelucrezi date sensibile, folosești supraveghere video sau faci marketing la scară, merită o consultație unică cu un specialist în protecția datelor. Costul este de obicei mic în comparație cu liniștea pe care o primești.
