Защита данных для начинающих предпринимателей: что действует с первого клиента

При открытии бизнеса большинство думает о бизнес-идее, финансировании и регистрации. О защите данных вспоминают часто только тогда, когда в почтовом ящике оказывается предупреждение о нарушении (Abmahnung) или письмо надзорного органа. Между тем основные обязанности можно выполнить в самом начале без больших усилий – и избежать многих проблем в будущем.

Действует ли DSGVO и для малого бизнеса?

Да. Общий регламент по защите данных (DSGVO, в англоязычных странах – GDPR) действует для любой компании, которая обрабатывает персональные данные, – независимо от её размера. Персональные данные – это любые сведения о конкретном человеке: имя, номер телефона, адрес электронной почты, почтовый адрес, банковские реквизиты, а также фотографии или заметки о клиентах. У кого есть клиенты, сотрудники или потенциальные клиенты, тот обрабатывает такие данные. Значит, DSGVO действует практически с первого клиента.

Для любой обработки нужно правовое основание (Art. 6 DSGVO). Для данных клиентов это обычно исполнение договора. А вот для рекламной рассылки, как правило, нужно согласие.

Ваш сайт: политика конфиденциальности и cookies

Политика конфиденциальности (Datenschutzerklärung): как только ваш сайт обрабатывает данные – а это делает практически любой сайт, уже из-за хостинга, – вы обязаны сообщить посетителям, кто несёт ответственность, какие данные и для чего обрабатываются, кому они передаются, как долго хранятся и какие права есть у пользователей (Art. 13 DSGVO). Эта информация должна быть в легко доступной политике конфиденциальности.

Cookies и отслеживание: для cookies и подобных технологий, которые не являются строго необходимыми для работы сайта, – например, инструментов аналитики, маркетинга или социальных сетей – нужно предварительное согласие посетителя (§ 25 TDDDG, ранее TTDSG). Баннера, который только информирует о cookies, для этого недостаточно.

Внешние сервисы: встроенные шрифты, карты, видео или виджеты с отзывами часто передают данные третьим лицам уже при открытии страницы. Проверьте, какие сервисы загружает ваш сайт, и укажите их в политике конфиденциальности.

Договоры с подрядчиками

Если данные по вашему поручению обрабатывают другие компании – например, ваш хостинг-провайдер, сервис рассылки, облачное хранилище или бухгалтерская программа, – с ними нужен договор об обработке данных по поручению (Auftragsverarbeitungsvertrag, Art. 28 DSGVO). Крупные поставщики обычно предлагают заключить его в личном кабинете. Особое внимание уделите поставщикам за пределами ЕС.

С вашим налоговым консультантом (Steuerberater) такой договор не нужен – в том числе для бухгалтерии и расчёта зарплаты: по закону о налоговых консультантах он сам несёт ответственность за защиту данных.

Внутренние обязанности: реестр, безопасность, утечки данных

• Реестр операций по обработке данных (Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DSGVO): обзор того, какие данные и для чего вы обрабатываете. Исключение для компаний с числом сотрудников менее 250 сейчас на практике применяется редко, потому что оно не распространяется на регулярную обработку – а данные клиентов вы обрабатываете регулярно. ЕС планирует здесь облегчения для небольших компаний; будут ли они введены и с какого момента, пока неизвестно.
• Безопасность (Art. 32 DSGVO): пароли, права доступа, обновления, резервные копии и шифрование устройств защищают вас и ваших клиентов.
• Утечки данных (Art. 33 DSGVO): если потерян ноутбук, взломан аккаунт или письмо ушло не тем адресатам, как правило, нужно в течение 72 часов сообщить об этом в надзорный орган по защите данных. В отдельных случаях нужно также уведомить пострадавших.
• Запросы на получение информации и удаление (Art. 15 и 17 DSGVO): клиенты могут узнать, какие данные о них вы храните, и при определённых условиях потребовать их удаления. Как правило, отвечать нужно в течение одного месяца.

Нужен ли мне уполномоченный по защите данных?

По немецкому законодательству нужно назначить уполномоченного по защите данных (Datenschutzbeauftragter), если в вашей компании, как правило, не менее 20 человек постоянно заняты автоматизированной обработкой персональных данных (§ 38 Abs. 1 BDSG). Сюда относятся не только сотрудники на полную ставку, но и работающие неполный день, ученики (Auszubildende) и внештатные сотрудники, которые регулярно работают с такими данными.

Независимо от числа сотрудников уполномоченный нужен, в частности,

• если для вашей обработки данных требуется оценка воздействия на защиту данных (Datenschutz-Folgenabschätzung), например при обширной обработке медицинских данных,
• если вы обрабатываете данные профессионально с целью передачи третьим лицам или для исследований рынка и общественного мнения (§ 38 Abs. 1 BDSG),
• если основная деятельность компании – масштабное регулярное наблюдение за людьми или масштабная обработка особо чувствительных данных (Art. 37 Abs. 1 DSGVO).

Даже без обязанности внешний уполномоченный по защите данных может быть полезен: он помогает с самого начала правильно выполнить требования. Но ответственность за защиту данных всегда остаётся на компании.

Что грозит за нарушения?

Надзорные органы могут назначать штрафы, размер которых зависит от тяжести нарушения и размера компании (Art. 83 DSGVO). Кроме того, пострадавшие могут требовать возмещения ущерба (Art. 82 DSGVO), а конкуренты – присылать предупреждения о нарушении (Abmahnung), например из-за отсутствия политики конфиденциальности или недопустимых cookies.

Чек-лист для старта

1. Политика конфиденциальности на сайте, соответствующая сервисам, которые вы действительно используете.
2. Согласие на cookies, если вы используете инструменты аналитики или маркетинга, – а лучше поначалу обойтись без них.
3. Договоры об обработке данных с хостингом, сервисом рассылки, облаком и поставщиками программ.
4. Реестр операций по обработке данных.
5. Базовая техническая защита: надёжные пароли, двухфакторная аутентификация, обновления, резервные копии.
6. Порядок действий при утечках данных и запросах клиентов, чтобы соблюдать сроки.
7. Проверка, нужен ли вам уполномоченный по защите данных – не позднее, чем начнёт расти команда.

Статья содержит общую информацию о правовом положении и не заменяет индивидуальную юридическую консультацию. Чтобы получить оценку вашей ситуации, свяжитесь с нами.