GDPR-i järgimise juhend idufirmadele

Isikuandmete kaitse üldmäärus (GDPR) on reeglistik ettevõtetele, kes töötlevad Euroopa Majanduspiirkonna (EMP) elanike isikuandmeid. EMP hõlmab kõiki ELi riike ning Islandit, Liechtensteini ja Norrat. GDPR jõustus 25. mail 2018.

GDPRi peetakse maailma rangeimaks andmekaitseseaduseks. See annab inimestele suurema kontrolli oma isikuandmete üle ning kehtestab ettevõtetele rangemad reeglid nende andmete kogumiseks, kasutamiseks ja kaitsmiseks.

Kui ettevõte neid reegleid ei järgi, võidakse talle määrata trahv või muu karistus. Maksimaalne trahv on kas 20 miljonit eurot või 4% ettevõtte eelmise majandusaasta ülemaailmsest aastakäibest – olenevalt sellest, kumb summa on suurem.

GDPRi kohased kohustused

EMP kodanike isikuandmete kogumisel ja töötlemisel peab ettevõte järgima mitmeid kohustusi ja vastutusalasid:

1. Enne uue toote või teenuse turuletoomist mõelge, kuidas see EMP kodanike isikuandmeid kogub, säilitab ja kasutab. Vajaduse korral tehke andmekaitsealane mõjuhinnang, et tuvastada ja vähendada võimalikke riske isikuandmete kaitsele.
2. Rakendage isikuandmete kaitsmiseks asjakohaseid tehnilisi ja korralduslikke meetmeid, näiteks krüpteerimist ja turvalist säilitamist. Veenduge, et teie süsteeme ja teenuseid hoitakse ajakohasena ning neile on paigaldatud uusimad turvapaigad ja uuendused.
3. Isikuandmete kogumisel küsige ainult teavet, mis on konkreetsel eesmärgil kasutamiseks rangelt vajalik. See aitab vähendada kogutavate andmete hulka ja andmelekkete riski.
4. Olge klientidega läbipaistev selle osas, milliseid isikuandmeid kogute, miks neid kogute ja kuidas neid kasutatakse. Esitage selge teave andmekaitse kohta ning hankige enne isikuandmete kogumist selgesõnaline nõusolek, välja arvatud juhul, kui kogumiseks on muu õiguslik alus.
5. Austage klientide õigust esitada vastuväiteid oma isikuandmete töötlemisele ja veenduge, et nad oleksid sellest õigusest teadlikud.
6. Määrake andmekaitsespetsialist, kui isikuandmeid töötleb regulaarselt vähemalt 20 inimest, kui ettevõte teostab andmetöötlustoiminguid, mis nõuavad andmekaitsealast mõjuhinnangut, või kui töötleb isikuandmeid edastamiseks, anonüümseks edastamiseks või turu- ja arvamusuuringuteks.
7. Kui jagate isikuandmeid väljaspool EMPd asuvate kolmandate isikutega, rakendage asjakohaseid kaitsemeetmeid, näiteks EMP standardseid lepingutingimusi või Privacy Shieldi.
8. Kasutage e-kirjade saatmisel topeltkinnituse protsessi, et veenduda adressaatide nõusolekus nende saamiseks.
9. Hoidke kõik isikuandmed täpsed ja ajakohased ning rakendage andmete muutumisel nende uuendamise protsesse.
10. Andmekao või turvarikkumise korral tegutsege kohe, et juhtum ohjeldada ja edasist kahju vältida. Koostage plaan selliste juhtumite käsitlemiseks ning klientide ja asjaomaste asutuste teavitamiseks.
11. Andmelekke korral teavitage järelevalveasutust ja oma kliente esimesel võimalusel.
12. Pidage arvestust kõigi andmetöötlustoimingute üle, et saaksite järelevalveasutuse auditi korral nõuetele vastavust tõendada.

Loetelu sisaldab kõige olulisemaid kohustusi ja vastutusalasid, mida ettevõte peab EMP kodanike isikuandmete kogumisel ja töötlemisel GDPRi alusel järgima.

Siiski võib mõnel juhul olla vaja arvestada täiendavate nõuetega. Näiteks võivad teatavates tööstusharudes tegutsevatele ettevõtetele või kindlat liiki isikuandmeid töötlevatele ettevõtetele kehtida erinõuded.

Seetõttu on alati soovitatav küsida nõu andmekaitseeksperdilt või võtta ühendust järelevalveasutusega, et tagada kõigi kohaldatavate eeskirjade järgimine.

GDPR EMP-välistele ettevõtetele

Kuigi on üldteada, et EMPs asuvad ettevõtted peavad GDPRi järgima, ei tea kõik, et mõnel juhul peavad GDPRi järgima ka EMP-väliste riikide ettevõtted. Allpool kirjeldame erinevaid viise, kuidas EMP-välised ettevõtted peavad nõuetele vastama.

Isikuandmete kogumine Euroopa Majanduspiirkonnas

Kui väljaspool EMPd asuv ettevõte pakub EMP elanikele kaupu või teenuseid või jälgib nende käitumist, peab ta EMP elanike isikuandmete kogumisel, kasutamisel ja kaitsmisel järgima GDPRi nõudeid.

Kui väljaspool EMPd asuv ettevõte leitakse GDPRi rikkuvat, on ELi ametiasutustel GDPRi järgimise tagamiseks kasutada mitmeid vahendeid.

Näiteks kui USA ettevõte leitakse GDPRi rikkuvat, võivad ELi ametiasutused taotleda selle ettevõtte suhtes tehtud kohtuotsuse täitmist USA kohtus, olenevalt rikkumise olemusest ja selle osariigi seadustest, kus ettevõte asub.

Lisaks võivad ELi ametiasutused kasutada ka muid vahendeid, et survestada väljaspool Euroopa Majanduspiirkonda asuvat ettevõtet GDPRi järgima, näiteks blokeerides ettevõtte juurdepääsu ELi turule või häbistades ettevõtet avalikult.

Siiski on ebatõenäoline, et EL kehtestab GDPRi rikkumise korral kohe sanktsioonid mõnele väikesele ettevõttele. Sellest hoolimata võib GDPRi järgimine olla kasulik ka väikestele EMP-välistele ettevõtetele. Seda seetõttu, et GDPRi järgimine võib pakkuda idufirmadele paremaid ärivõimalusi, kuna nad saavad teha koostööd teiste GDPRi järgivate ettevõtetega.

Lisaks trahvide ja muude karistuste riskile võivad idufirmad GDPRi rikkumise korral kannatada ka mainekahju. See võib raskendada nende äritegevust EMPs ja mõjutada nende äri ka rahvusvaheliselt.

GDPRi järgivad ettevõtted võivad olla klientidele ja partneritele atraktiivsemad, sest nad näitavad üles pühendumust isikuandmete kaitsmisele ja inimeste privaatsuse austamisele.

Kokkuvõttes on GDPR oluline areng isikuandmeid töötlevate EMP elanikega tegelevate idufirmade jaoks ning see mõjutab oluliselt nende idufirmade viise andmeid koguda, kasutada ja kaitsta.

EMP-välised idufirmad peavad olema eriti tähelepanelikud GDPRi alaste kohustuste suhtes ning astuma samme nõuetele vastavuse tagamiseks, et vältida trahvide ja muude karistuste riski ning mainekahju.

Mis siis, kui te ei kogu EMPs andmeid?

Tasub märkida, et isegi kui EMP-väline idufirma ei paku praegu EMP elanikele kaupu või teenuseid ega jälgi nende käitumist, võib GDPRi rakendamine siiski olla soovitatav.

Seda seetõttu, et GDPR on üleilmne andmekaitsestandard ning GDPRi rakendamine võib aidata idufirmal kujundada end maineka ja usaldusväärse ettevõttena, kes väärtustab oma klientide ja partnerite privaatsust.

GDPR Ühendkuningriigis (UK)

Pärast Ühendkuningriigi lahkumist EList 1. jaanuaril 2021 ei olnud GDPR riigis enam vahetult kohaldatav. GDPRi reeglid võeti aga otse Ühendkuningriigi õigusesse üle UK-GDPRina, seega kehtib kõik eespool GDPRi kohta öeldu ka Ühendkuningriigi suhtes.

Kuidas luua Maildroppa rakenduses GDPRiga ühilduv registreerumisvorm

Maildroppa on e-posti turunduse rakendus, mis võimaldab teil luua kohandatud registreerumisvorme, mille kaudu saavad potentsiaalsed kliendid registreeruda, et saada teilt regulaarselt teavet või uudiskirju.

Saate vabalt määrata, millist teavet registreerumiseks nõutakse. Näiteks võib küsida potentsiaalse kliendi ees- ja perekonnanime, sünnipäeva ning kodakondsust. Need on loomulikult isikuandmed.

Kui te ei välista tehniliselt eurooplaste juurdepääsu oma veebisaidile ja registreerumisvormi täitmist, kohaldub teie suhtes GDPR isegi siis, kui teie ettevõte asub väljaspool Euroopa Majanduspiirkonda.

Maildroppa teeb GDPRi järgimise teie jaoks aga uskumatult lihtsaks. Saate määrata, kas teie loendiga liituda soovivad kliendid peavad andmetöötluslepingut alati või mitte kunagi vaatama ja allkirjastama, või seadistada nii, et GDPRi nõusolekuvormile peavad nõusoleku andma ainult ELi, Ühendkuningriigi ja Šveitsi kliendid.

Ettevõttena peate teavitama kliente kogutavate andmete liikidest, andmete kogumise põhjusest ning nende säilitamise ja töötlemise viisist. Kuna iga ettevõte on erinev, võivad kogutavad andmed ja nende kasutusviis erineda. Ettevõtte omanikuna on oluline olla oma andmetöötlustavade suhtes klientidega läbipaistev ja järgida GDPRi eeskirju.

Maildroppa kui teenusepakkuja mõistab seda vastutust – seepärast pakume võimalust kohandada GDPRi nõusolekuvormi vastavalt teie individuaalsetele vajadustele. Meie rakendus salvestab ka GDPRi nõusolekuvormi sõnastuse, millega tellija nõustus, pakkudes teile kokkuleppe tõendit ka aastaid hiljem.

Veel üks GDPRi nõue on, et kliendid peavad teie uudiskirjaga liitumise kahekordselt kinnitama. See tagab, et teavet saavad ainult need kliendid, kes on teie GDPRi avalduse kohaselt andnud selle saamiseks selgesõnalise nõusoleku. Kuna topeltkinnitus on Maildroppa vaikekäitumine, ei ole vaja võtta täiendavaid meetmeid.

Kokkuvõte

Kokkuvõttes on GDPR eeskirjade kogum, mida kohaldatakse ettevõtetele, kes töötlevad EMP elanike isikuandmeid. GDPR annab inimestele suurema kontrolli oma isikuandmete üle ning kehtestab rangemad reeglid selle kohta, kuidas ettevõtted neid andmeid koguda, kasutada ja kaitsta võivad.

EMPs tegutsevad idufirmad peavad GDPRi järgimiseks astuma vajalikke samme, et vältida trahvide ja muude karistuste riski ning mainekahju.

Väljaspool ELi asuvad idufirmad peavad samuti tagama GDPRi järgimise, kui nad pakuvad ELi elanikele kaupu või teenuseid või jälgivad nende käitumist. Kuigi on ebatõenäoline, et EL rakendab kohe sanktsioone iga GDPRi rikkuva väikese ettevõtte suhtes, on ELi ametiasutustel kasutada mitmeid vahendeid, et tagada nõuete järgimine.

Kui idufirma soovib kujundada end maineka ja usaldusväärse ettevõttena, kes väärtustab oma klientide ja partnerite privaatsust, võib GDPRi rakendamine olla kasulik isegi siis, kui ettevõte ei asu ELis ega suhtle ELi elanikega. Lõpetuseks on oluline meeles pidada, et kuigi Ühendkuningriik on EList lahkunud, kehtib GDPR seal jätkuvalt UK-GDPRi kujul.