Daugelis smulkaus verslo savininkų duomenų apsaugos reglamentą laiko didelių korporacijų problema. Deja, taip nėra – reikalavimai galioja ir kirpyklai, kuri registruoja klientus, ir internetinei parduotuvei, ir vieno žmogaus mažajai bendrijai, kuri siunčia sąskaitas. Geroji žinia: mažai įmonei atitiktis nėra tokia sudėtinga, kaip atrodo iš teisinių tekstų. Šiame vadove viską išdėstysime paprastai ir praktiškai.

Ar reglamentas tikrai taikomas mano verslui?

BDAR taikomas visiems, kurie tvarko fizinių asmenų duomenis. Jei atsakysite „taip“ bent į vieną iš šių klausimų – reglamentas galioja ir jums:

  • ar turite klientų kontaktus – vardus, telefonus, el. pašto adresus?

  • ar įdarbinate bent vieną darbuotoją?

  • ar jūsų svetainėje yra užklausos forma arba naudojami analitikos įrankiai?

  • ar patalpose veikia vaizdo stebėjimo kameros?

  • ar siunčiate naujienlaiškius?

Skirtumas tarp mažos ir didelės įmonės – ne tai, ar reglamentas taikomas, o reikalavimų apimtis. Mažam verslui pakanka kur kas paprastesnių priemonių.

Penki žingsniai iki tvarkingos atitikties

1 žingsnis: susirašykite, kokius duomenis turite

Paimkite paprastą lentelę ir surašykite: kokius duomenis renkate (klientų kontaktai, darbuotojų bylos, vaizdo įrašai), kur jie saugomi (el. paštas, buhalterinė programa, segtuvai spintoje), kas prie jų prieina ir kiek laiko juos laikote.

Šis sąrašas – jūsų atitikties pagrindas. Be jo neįmanoma įvertinti, ar viskas tvarkoma teisėtai, o patikrinimo atveju jis bus pirmas dokumentas, kurio paprašys.

2 žingsnis: išsiaiškinkite, kokiu pagrindu tvarkote duomenis

Kiekvienam duomenų rinkiniui turi būti teisinis pagrindas. Mažam verslui dažniausiai aktualūs trys:

  • sutartis – kliento duomenys, reikalingi paslaugai suteikti ar prekei pristatyti,

  • teisinė prievolė – buhalteriniai dokumentai, darbo sutartys,

  • sutikimas – naujienlaiškiai ir tiesioginė rinkodara.

Svarbi taisyklė: sutikimo prašykite tik tada, kai kito pagrindo nėra. Paslaugai suteikti reikalingiems duomenims sutikimo nereikia – juos tvarkote sutarties pagrindu.

3 žingsnis: sutvarkykite privatumo pranešimą

Jūsų klientai turi teisę žinoti, kas ir kodėl tvarko jų duomenis. Tam pakanka aiškaus privatumo pranešimo svetainėje arba, jei svetainės neturite, atspausdinto dokumento paslaugų teikimo vietoje.

Geras pranešimas atsako į paprastus klausimus: kas jūs esate, kokius duomenis renkate, kam juos naudojate, kiek laiko saugote, kam perduodate ir kaip klientas gali su jumis susisiekti dėl savo teisių. Venkite kopijuoti svetimų dokumentų – pranešimas turi atitikti būtent jūsų veiklą.

4 žingsnis: peržiūrėkite partnerius

Buhalterė, svetainės prižiūrėtojas, debesijos paslauga, siuntų tarnyba – visi jie tam tikra apimtimi tvarko jūsų klientų ar darbuotojų duomenis. Su tokiais partneriais reikalinga duomenų tvarkymo sutartis arba atitinkamos sąlygos bendroje sutartyje.

Didieji paslaugų teikėjai tokias sąlygas paprastai turi standartiškai – tereikia pasitikrinti. Su smulkesniais partneriais sutartį gali tekti sudaryti patiems.

5 žingsnis: pasiruoškite incidentams

Pamestas telefonas su klientų kontaktais, ne tam gavėjui išsiųstas laiškas, įsilaužimas į el. paštą – visa tai duomenų saugumo pažeidimai. Apie pavojingus pažeidimus privaloma pranešti Valstybinei duomenų apsaugos inspekcijai per 72 valandas.

Mažam verslui pakanka paprasto plano: kas fiksuoja įvykį, kas vertina pavojingumą, kas ir kaip praneša institucijai. Vieno puslapio dokumentas, parengtas ramiu metu, incidentui įvykus sutaupys daug streso.

Ko mažam verslui daryti nereikia?

Verta žinoti ir tai, ko reglamentas iš mažų įmonių nereikalauja:

  • duomenų apsaugos pareigūnas privalomas tik tam tikrais atvejais – kai veikla susijusi su sistemingu stebėjimu ar jautriais duomenimis dideliu mastu,

  • poveikio duomenų apsaugai vertinimas reikalingas tik didelės rizikos tvarkymui,

  • šimtų puslapių dokumentacija nebūtina – svarbu, kad dokumentai atspindėtų realybę, o ne jų storis.

Jei abejojate, ar jūsų veikla nepatenka į išimtis – vienkartinė specialisto konsultacija kainuos nepalyginamai mažiau nei klaidos padariniai.

Apibendrinimas

Mažam verslui duomenų apsauga – tai ne teisiniai traktatai, o tvarka: žinoti, kokius duomenis turite, kodėl juos tvarkote, sąžiningai apie tai informuoti klientus ir būti pasiruošus netikėtumams. Penki aprašyti žingsniai daugumai smulkių įmonių leidžia pasiekti tvarkingą atitiktį be didelių išlaidų – o kartu ir ramybę, kad netikėtas patikrinimas ar kliento skundas neužklups nepasiruošusių.