GDPR: значение и основни задължения за малкия бизнес

Какво е значението на GDPR и за кого важи?

Регламентът се прилага от 25 май 2018 г. (чл. 99, пар. 2 GDPR). Той е задължителен в своята цялост и се прилага пряко във всички държави членки, включително в България. Националният Закон за защита на личните данни (ЗЗЛД) го допълва, но не го заменя.

Лични данни са всяка информация, свързана с физическо лице, което е идентифицирано или може да се идентифицира (чл. 4, т. 1 GDPR). Например името, телефонът и имейлът на клиента.

Администратор е този, който сам или заедно с други определя целите и средствата за обработването (чл. 4, т. 7 GDPR). Дефиницията обхваща и физическо лице, затова общ праг по брой служители няма: ЕТ, салонът, магазинът и онлайн търговецът са администратори, щом обработват данни на хора. Обработващ е този, който обработва данни от Ваше име, например счетоводната къща или куриерът (чл. 4, т. 8 GDPR).

GDPR важи за всяка фирма и ЕТ, които обработват лични данни на физически лица – регламентът не поставя общ праг по брой служители.

Какви данни обработва фирмата и на какво основание?

Обработването е законосъобразно само ако има поне едно от шестте основания по чл. 6, пар. 1 GDPR. Тоест за всяка група данни трябва да можете да посочите защо я обработвате. Типичната малка фирма има следните групи:

Източник	Данни	Основание
Служители	трудово досие, заплати	договор, законово задължение
Клиенти	имена, адрес, поръчки	договор
Камера в обекта	запис на хора	легитимен интерес
Счетоводство	фактури, ведомости	законово задължение
Кандидати за работа	автобиографии	по ЗЗЛД, до 6 месеца

Шестте основания са: съгласие; договор; законово задължение; жизненоважни интереси; обществен интерес; легитимен интерес. Последното не е безусловно – то отпада, когато интересите или основните права на човека имат преимущество (чл. 6, пар. 1, б. „е“ GDPR).

Често ме питат дали за всичко трябва съгласие. Според указанията на КЗЛД, когато данните се обработват за изпълнение на договор, договорът е основанието и отделно съгласие не е нужно. Така е и при всяко друго основание извън съгласието.

По-строг режим важи за специалните категории данни, например здравните. Тяхното обработване по начало е забранено, освен при изключенията по чл. 9, пар. 2 GDPR. Затова медицинските бележки на служителите се пазят отделно и достъпът до тях се ограничава.

Какви са основните задължения на малката фирма?

Основните действия за фирма с клиенти или служители са следните:

1. Водете регистър на дейностите по обработване: цели, категории хора и данни, получатели, срокове за изтриване и мерки за сигурност (чл. 30, пар. 1 GDPR).
2. Информирайте хората при събиране на данните кой сте, за какво ги ползвате, на какво основание, за колко време и какви права имат (чл. 13 GDPR). Това е политиката за поверителност.
3. Сключете договор с всеки обработващ – счетоводител, хостинг, куриер (чл. 28, пар. 3 GDPR).
4. Приложете технически и организационни мерки за сигурност според риска (чл. 32, пар. 1 GDPR), например достъп по роли и заключени шкафове.
5. Определете срок за съхранение на всяка група данни и изтривайте данните след него.
6. Подгответе процедура при пробив: уведомление до КЗЛД и при нужда до засегнатите хора (чл. 33 и 34 GDPR).
7. Отговаряйте на исканията на хората в срок (чл. 12, пар. 3 GDPR).
8. Преценете дали е нужна оценка на въздействието (чл. 35, пар. 1 GDPR).

Регистърът не е публичен, но се предоставя на КЗЛД при поискване. Договорът със счетоводителя или хостинга урежда предмета, срока, вида данни и правата и задълженията на страните. Според указанията на КЗЛД обработващият действа по Ваши инструкции, не ползва данните за свои цели и не ги споделя с трети лица без изричното Ви разрешение.

Бисквитките на сайта и маркетинговите имейли имат и свои отделни правила, които тук не се разглеждат.

Трябва ли регистър, ако фирмата има под 250 служители?

Чл. 30, пар. 5 GDPR освобождава фирма с по-малко от 250 служители от регистъра, но само ако са изпълнени едновременно три условия, а именно:

• обработването няма вероятност да породи риск за хората;
• обработването е спорадично, тоест от случай на случай;
• не се обработват специални категории данни или данни за присъди.

Заплатите, клиентите и поръчките обаче се обработват редовно. Затова фирма, която има служители или постоянни клиенти, по правило не може да се ползва от изключението. Съветвам Ви да не разчитате на него, без да сте го проверили за Вашия случай.

Трябва ли длъжностно лице по защита на данните?

Длъжностно лице по защита на данните (ДЛЗД) е задължително само в три случая по чл. 37, пар. 1 GDPR: публичен орган; редовно и систематично мащабно наблюдение на хората; мащабно обработване на специални категории данни. Малкият магазин, салонът или офисът обикновено не попадат в нито един от тях.

Какво да направите при пробив в сигурността?

При пробив администраторът уведомява КЗЛД без ненужно забавяне и когато това е осъществимо – не по-късно от 72 часа, след като е разбрал за него. Изключение има, когато няма вероятност пробивът да породи риск за хората (чл. 33, пар. 1 GDPR). Ако уведомлението закъснее, в него се посочват причините.

Пример: във вторник в 10:00 ч. разбирате, че служител е изпратил по грешка таблица с данни на клиенти на външен адрес. Когато е осъществимо, КЗЛД трябва да е уведомена най-късно до 10:00 ч. в петък.

Срокът за уведомяване на КЗЛД при пробив е до 72 часа от момента, в който сте разбрали за него.

Когато има вероятност пробивът да породи висок риск за правата и свободите на хората, без ненужно забавяне се съобщава и на тях (чл. 34, пар. 1 GDPR). Оценката на въздействието по чл. 35, пар. 1 GDPR пък се прави преди обработване, което вероятно поражда висок риск.

Как се прилага при видеонаблюдение, служители и онлайн магазин?

Тези три случая са чести при малките фирми и всеки има своя капан.

КЗЛД дава видеонаблюдението в търговски обект срещу кражби като пример за легитимен интерес, при направен тест за баланс на интересите. Правила са задължителни при систематично мащабно наблюдение на публично достъпни зони, включително чрез видеонаблюдение (чл. 25д, ал. 1 ЗЗЛД).

При служителите работодателят приема правила, когато въвежда системи за контрол на достъпа, работното време и трудовата дисциплина (чл. 25и, ал. 1, т. 3 ЗЗЛД). Срокът за пазене на данните на кандидати за работа се определя от работодателя и не може да е по-дълъг от 6 месеца без тяхното съгласие (чл. 25к, ал. 1 ЗЗЛД). Общите правила за договора са в статията за трудовия договор.

В онлайн магазина данните за поръчката се обработват на основание договора с клиента. Обръщам внимание на още едно ограничение: фирмата може да копира лична карта, шофьорска книжка или документ за пребиваване само ако това е предвидено със закон (чл. 25г ЗЗЛД).

Как се отговаря на искане на клиент или служител?

Хората имат права по чл. 15–22 GDPR: да получат достъп до данните си, да поискат поправка или изтриване и да възразят срещу обработването. На искането се отговаря без ненужно забавяне и във всички случаи в срок от 1 месец от получаването му. При необходимост срокът може да се удължи с още 2 месеца (чл. 12, пар. 3 GDPR).

Правото на изтриване не е абсолютно. Според КЗЛД има изключения, например при законово задължение за съхранение. Ако клиент поиска да изтриете данните му, а по закон трябва да пазите фактурата, пазите документа и му обяснявате защо. Какво може да направи човекът, ако не е удовлетворен от отговора, е описано в статията за жалбата до КЗЛД.

Какви са санкциите и кой проверява?

Надзорът е на Комисията за защита на личните данни (КЗЛД), която осигурява спазването на GDPR в България (чл. 10, ал. 2, т. 1 ЗЗЛД). Горните граници на глобите зависят от вида на нарушението:

Нарушение	Горна граница	Основание
Регистър, сигурност, пробив	10 млн. € или 2 % от оборота	чл. 83, пар. 4 GDPR
Принципи, основания, права на хората	20 млн. € или 4 % от оборота	чл. 83, пар. 5 GDPR
Други нарушения на ЗЗЛД	5 000 лв. (2 556,46 €)	чл. 86 ЗЗЛД

При предприятията по GDPR се прилага по-високата от двете суми, а оборотът е световният годишен оборот за предходната година. За другите нарушения на ЗЗЛД глобата при повторност е в двоен размер (чл. 86, ал. 1 и 2 ЗЗЛД).

Пример: оборотът на фирмата е 400 000 €, а 2 % от него са 8 000 €. По-високата сума е 10 000 000 €, но това е само горната граница, а не размерът на глобата.

Глобите трябва да са ефективни, пропорционални и възпиращи (чл. 83, пар. 1 GDPR). При определянето им се отчитат тежестта на нарушението, умисълът, предприетите мерки и сътрудничеството с КЗЛД (чл. 83, пар. 2 GDPR). Затова документираните мерки и навременният отговор на исканията имат значение и при проверка.

Кога е нужен адвокат

Ако фирмата има няколко служители, прост сайт и ясни договори, основните документи могат да се подготвят и без адвокат. Помощта има смисъл при изготвяне на политика за поверителност и регистър, при договор с обработващ, при пробив в сигурността и при проверка от КЗЛД. Адвокатът проверява какви данни обработвате, на какво основание и какво липсва. Повече за услугата има в раздела адвокат по GDPR, а онлайн консултацията е за 100–410 € и се приспада от хонорара, ако възложите работата на кантората.

Често задавани въпроси

Източници

• Регламент (ЕС) 2016/679 (GDPR) – https://eur-lex.europa.eu/legal-content/BG/TXT/?uri=CELEX:32016R0679
• Закон за защита на личните данни – https://lex.bg/laws/ldoc/2135426048
• КЗЛД, „Ключови задължения за бизнеса“ – https://cpdp.bg/%D0%BA%D0%BB%D1%8E%D1%87%D0%BE%D0%B2%D0%B8-%D0%B7%D0%B0%D0%B4%D1%8A%D0%BB%D0%B6%D0%B5%D0%BD%D0%B8%D1%8F-%D0%B7%D0%B0-%D0%B1%D0%B8%D0%B7%D0%BD%D0%B5%D1%81%D0%B0/
• Your Europe, „Защита на данните съгласно ОРЗД“ – https://europa.eu/youreurope/business/governance-and-sustainability/digital-and-data-compliance/data-protection-gdpr/index_bg.htm