Адвокат Анна КушнірКоротко про головне
- DSGVO діє для будь-якої компанії, яка обробляє персональні дані, – тобто практично з першого клієнта, незалежно від розміру бізнесу.
- На вашому сайті потрібна політика конфіденційності (Datenschutzerklärung). Для cookies і відстеження, які не є суворо необхідними, потрібна згода відвідувача (§ 25 TDDDG).
- З підрядниками, які обробляють дані за вашим дорученням, – хостинг, розсилка, хмара, бухгалтерська програма – потрібен договір про обробку даних (Auftragsverarbeitungsvertrag, Art. 28 DSGVO).
- Уповноважений із захисту даних, як правило, потрібен, якщо щонайменше 20 осіб постійно зайняті автоматизованою обробкою персональних даних (§ 38 BDSG), а в окремих випадках і раніше.
- Про витік даних, як правило, потрібно повідомити наглядовий орган протягом 72 годин (Art. 33 DSGVO).
Відкриваючи бізнес, більшість думає про бізнес-ідею, фінансування та реєстрацію. Про захист даних часто згадують лише тоді, коли в поштовій скриньці опиняється попередження про порушення (Abmahnung) або лист наглядового органу. Тим часом основні обов’язки можна виконати на самому початку без великих зусиль – і уникнути багатьох проблем у майбутньому.
Чи діє DSGVO і для малого бізнесу?
Так. Загальний регламент про захист даних (DSGVO, в англомовних країнах – GDPR) діє для будь-якої компанії, яка обробляє персональні дані, – незалежно від її розміру. Персональні дані – це будь-які відомості про конкретну людину: ім’я, номер телефону, адреса електронної пошти, поштова адреса, банківські реквізити, а також фотографії чи нотатки про клієнтів. Хто має клієнтів, працівників або потенційних клієнтів, той обробляє такі дані. Отже, DSGVO діє практично з першого клієнта.
Для будь-якої обробки потрібна правова підстава (Art. 6 DSGVO). Для даних клієнтів це зазвичай виконання договору. А от для рекламної розсилки, як правило, потрібна згода.
Ваш сайт: політика конфіденційності та cookies
Політика конфіденційності (Datenschutzerklärung): щойно ваш сайт обробляє дані – а це робить практично будь-який сайт, уже через хостинг, – ви зобов’язані повідомити відвідувачам, хто несе відповідальність, які дані й для чого обробляються, кому вони передаються, як довго зберігаються та які права мають користувачі (Art. 13 DSGVO). Ця інформація має бути в легкодоступній політиці конфіденційності.
Cookies і відстеження: для cookies і подібних технологій, які не є суворо необхідними для роботи сайту, – наприклад, інструментів аналітики, маркетингу чи соціальних мереж – потрібна попередня згода відвідувача (§ 25 TDDDG, раніше TTDSG). Банера, який лише інформує про cookies, для цього недостатньо.
Зовнішні сервіси: вбудовані шрифти, карти, відео чи віджети з відгуками часто передають дані третім особам уже під час відкриття сторінки. Перевірте, які сервіси завантажує ваш сайт, і зазначте їх у політиці конфіденційності.
Договори з підрядниками
Якщо дані за вашим дорученням обробляють інші компанії – наприклад, ваш хостинг-провайдер, сервіс розсилки, хмарне сховище чи бухгалтерська програма, – з ними потрібен договір про обробку даних за дорученням (Auftragsverarbeitungsvertrag, Art. 28 DSGVO). Великі постачальники зазвичай пропонують укласти його в особистому кабінеті. Особливу увагу приділіть постачальникам за межами ЄС.
З вашим податковим консультантом (Steuerberater) такий договір не потрібен – зокрема для бухгалтерії та розрахунку зарплати: за законом про податкових консультантів він сам несе відповідальність за захист даних.
Внутрішні обов’язки: реєстр, безпека, витоки даних
- Реєстр операцій з обробки даних (Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DSGVO): огляд того, які дані й для чого ви обробляєте. Виняток для компаній із кількістю працівників менше 250 зараз на практиці застосовується рідко, бо він не поширюється на регулярну обробку – а дані клієнтів ви обробляєте регулярно. ЄС планує тут полегшення для невеликих компаній; чи буде їх запроваджено і з якого моменту, поки невідомо.
- Безпека (Art. 32 DSGVO): паролі, права доступу, оновлення, резервні копії та шифрування пристроїв захищають вас і ваших клієнтів.
- Витоки даних (Art. 33 DSGVO): якщо загублено ноутбук, зламано акаунт або лист пішов не тим адресатам, як правило, потрібно протягом 72 годин повідомити про це наглядовий орган із захисту даних. В окремих випадках потрібно також повідомити постраждалих.
- Запити на отримання інформації та видалення (Art. 15 і 17 DSGVO): клієнти можуть дізнатися, які дані про них ви зберігаєте, і за певних умов вимагати їх видалення. Як правило, відповідати потрібно протягом одного місяця.
Чи потрібен мені уповноважений із захисту даних?
За німецьким законодавством потрібно призначити уповноваженого із захисту даних (Datenschutzbeauftragter), якщо у вашій компанії, як правило, щонайменше 20 осіб постійно зайняті автоматизованою обробкою персональних даних (§ 38 Abs. 1 BDSG). Сюди належать не лише працівники на повну ставку, а й ті, хто працює неповний день, учні (Auszubildende) і позаштатні співробітники, які регулярно працюють із такими даними.
Незалежно від кількості працівників уповноважений потрібен, зокрема,
- якщо для вашої обробки даних потрібна оцінка впливу на захист даних (Datenschutz-Folgenabschätzung), наприклад у разі масштабної обробки медичних даних,
- якщо ви обробляєте дані професійно з метою передачі третім особам або для досліджень ринку та громадської думки (§ 38 Abs. 1 BDSG),
- якщо основна діяльність компанії – масштабне регулярне спостереження за людьми або масштабна обробка особливо чутливих даних (Art. 37 Abs. 1 DSGVO).
Навіть без обов’язку зовнішній уповноважений із захисту даних може бути корисним: він допомагає від самого початку правильно виконати вимоги. Але відповідальність за захист даних завжди залишається на компанії.
Що загрожує за порушення?
Наглядові органи можуть накладати штрафи, розмір яких залежить від тяжкості порушення та розміру компанії (Art. 83 DSGVO). Крім того, постраждалі можуть вимагати відшкодування шкоди (Art. 82 DSGVO), а конкуренти – надсилати попередження про порушення (Abmahnung), наприклад через відсутність політики конфіденційності або неприпустимі cookies.
Чек-лист для старту
- Політика конфіденційності на сайті, що відповідає сервісам, якими ви справді користуєтеся.
- Згода на cookies, якщо ви використовуєте інструменти аналітики чи маркетингу, – а краще спочатку обійтися без них.
- Договори про обробку даних із хостингом, сервісом розсилки, хмарою та постачальниками програм.
- Реєстр операцій з обробки даних.
- Базовий технічний захист: надійні паролі, двофакторна автентифікація, оновлення, резервні копії.
- Порядок дій у разі витоків даних і запитів клієнтів, щоб дотримуватися строків.
- Перевірка, чи потрібен вам уповноважений із захисту даних – не пізніше, ніж почне зростати команда.
Правові підстави та джерела
Стаття містить загальну інформацію про правове становище і не замінює індивідуальної юридичної консультації. Щоб отримати оцінку вашої ситуації, зв’яжіться з нами.