BDAR laikymosi vadovas startuoliams

Bendrasis duomenų apsaugos reglamentas (BDAR) – tai taisyklių rinkinys įmonėms, tvarkančioms Europos ekonominės erdvės (EEE) gyventojų asmens duomenis. EEE apima visas ES šalis, taip pat Islandiją, Lichtenšteiną ir Norvegiją. BDAR įsigaliojo 2018 m. gegužės 25 d.

BDAR laikomas griežčiausiu duomenų apsaugos įstatymu pasaulyje. Jis suteikia asmenims daugiau galimybių kontroliuoti savo asmens duomenis ir nustato griežtesnes taisykles, kurių įmonės turi laikytis rinkdamos, naudodamos ir saugodamos šiuos duomenis.

Jei įmonė šių taisyklių nesilaiko, jai gali būti skirta bauda arba taikomos kitos sankcijos. Didžiausia bauda siekia 20 milijonų eurų arba 4 % įmonės pasaulinių metinių pajamų už praėjusius metus – priklausomai nuo to, kuri suma didesnė.

Įsipareigojimai pagal BDAR

Rinkdama ir tvarkydama EEE piliečių asmens duomenis, įmonė turi laikytis įvairių įsipareigojimų ir prisiimti tam tikras atsakomybes:

1. Prieš paleisdami naują produktą ar paslaugą, skirkite laiko apgalvoti, kaip ji rinks, saugos ir naudos EEE piliečių asmens duomenis. Jei reikia, atlikite poveikio duomenų apsaugai vertinimą, kad nustatytumėte ir sumažintumėte galimą riziką asmens duomenų apsaugai.
2. Įgyvendinkite tinkamas technines ir organizacines priemones asmens duomenims apsaugoti, pavyzdžiui, šifravimą ir saugų saugojimą. Užtikrinkite, kad jūsų sistemos ir paslaugos būtų nuolat atnaujinamos naujausiais saugumo pataisymais ir atnaujinimais.
3. Rinkdami asmens duomenis, prašykite tik tos informacijos, kuri yra griežtai būtina konkrečiam tikslui, kuriam ji bus naudojama. Tai padės sumažinti renkamų duomenų kiekį ir duomenų pažeidimų riziką.
4. Skaidriai informuokite klientus, kokius asmens duomenis renkate, kodėl juos renkate ir kaip jie bus naudojami. Pateikite aiškią informaciją apie duomenų apsaugą ir prieš rinkdami asmens duomenis gaukite aiškų sutikimą, nebent duomenų rinkimui taikomas kitas teisinis pagrindas.
5. Gerbkite klientų teisę nesutikti, kad jų asmens duomenys būtų tvarkomi, ir įsitikinkite, kad jie apie šią teisę žino.
6. Paskirkite duomenų apsaugos pareigūną, jei asmens duomenis reguliariai tvarko 20 ar daugiau žmonių, jei įmonė vykdo duomenų tvarkymo operacijas, kurioms reikia atlikti poveikio duomenų apsaugai vertinimą, arba tvarko asmens duomenis perdavimo, anoniminio perdavimo ar rinkos ir visuomenės nuomonės tyrimų tikslais.
7. Jei dalijatės asmens duomenimis su trečiosiomis šalimis už EEE ribų, įgyvendinkite tinkamas apsaugos priemones, pavyzdžiui, standartines EEE sutarčių sąlygas arba „Privacy Shield“.
8. Naudokite dvigubo patvirtinimo procesą siųsdami el. laiškus, kad įsitikintumėte, jog gavėjai sutiko juos gauti.
9. Užtikrinkite, kad visi asmens duomenys būtų tikslūs ir atnaujinti, ir turėkite procesus, leidžiančius atnaujinti duomenis jiems pasikeitus.
10. Įvykus duomenų praradimui ar saugumo pažeidimui, nedelsdami imkitės veiksmų incidentui suvaldyti ir užkirsti kelią tolesnei žalai. Turėkite planą, kaip elgtis tokių incidentų atveju ir kaip informuoti klientus bei atitinkamas institucijas.
11. Duomenų pažeidimo atveju kuo greičiau informuokite priežiūros instituciją ir savo klientus.
12. Tvarkykite visų duomenų tvarkymo veiksmų įrašus, kad priežiūros institucijai atlikus auditą galėtumėte įrodyti, jog laikotės reikalavimų.

Sąraše pateikiami svarbiausi įsipareigojimai ir atsakomybės, kurių įmonė turi laikytis pagal BDAR rinkdama ir tvarkydama EEE piliečių asmens duomenis.

Tačiau kai kuriais atvejais gali būti taikomi ir papildomi reikalavimai. Pavyzdžiui, konkrečiose pramonės šakose veikiančioms įmonėms arba tvarkančioms tam tikrų rūšių asmens duomenis gali būti taikomi specialūs reikalavimai.

Todėl visada patartina kreiptis į duomenų apsaugos ekspertą arba susisiekti su priežiūros institucija, kad įsitikintumėte, jog laikomasi visų taikomų teisės aktų.

BDAR įmonėms už EEE ribų

Nors gerai žinoma, kad EEE įsikūrusios įmonės turi laikytis BDAR, ne visi žino, kad tam tikromis aplinkybėmis BDAR turi laikytis ir už EEE ribų esančios šalys. Toliau apžvelgiame skirtingus būdus, kaip BDAR turi laikytis įmonės už EEE ribų.

Asmens duomenų rinkimas Europos ekonominėje erdvėje

Jei už EEE ribų įsikūrusi įmonė siūlo prekes ar paslaugas EEE esantiems asmenims arba stebi jų elgesį, ji, rinkdama, naudodama ir saugodama EEE asmenų asmens duomenis, turi laikytis BDAR reikalavimų.

Jei nustatoma, kad už EEE ribų įsikūrusi įmonė pažeidė BDAR, ES institucijos turi įvairių priemonių užtikrinti, kad būtų laikomasi BDAR.

Pavyzdžiui, jei nustatoma, kad JAV įmonė pažeidė BDAR, ES institucijos, atsižvelgdamos į pažeidimo pobūdį ir valstijos, kurioje įsikūrusi įmonė, įstatymus, galėtų siekti, kad sprendimas būtų įvykdytas šios įmonės atžvilgiu JAV teisme.

Be to, ES institucijos gali pasitelkti ir kitas priemones, siekdamos priversti už Europos ekonominės erdvės ribų esančią įmonę laikytis BDAR, pavyzdžiui, apriboti įmonės prieigą prie ES rinkos arba viešai ją pasmerkti.

Tačiau mažai tikėtina, kad ES iš karto taikys sankcijas mažai įmonei, pažeidusiai BDAR. Nepaisant to, net ir už EEE ribų veikiančioms mažoms įmonėms gali būti naudinga laikytis BDAR. Taip yra todėl, kad BDAR laikymasis gali suteikti startuoliams geresnių verslo galimybių, nes jie gali dirbti su kitomis BDAR taip pat besilaikančiomis įmonėmis.

Be baudų ir kitų sankcijų rizikos, startuoliai taip pat gali patirti žalą reputacijai, jei paaiškėtų, kad jie pažeidė BDAR. Dėl to jiems gali būti sunkiau vykdyti verslą EEE, taip pat tai gali paveikti jų tarptautinę veiklą.

BDAR besilaikančios įmonės gali būti patrauklesnės klientams ir partneriams, nes taip jos parodo įsipareigojimą saugoti asmens duomenis ir gerbti asmenų privatumą.

Apskritai BDAR yra reikšmingas pokytis startuoliams, tvarkantiems EEE asmenų asmens duomenis, ir jis turės didelę įtaką tam, kaip šie startuoliai renka, naudoja ir saugo šiuos duomenis.

Už EEE ribų veikiantys startuoliai turės ypač atidžiai įvertinti savo įsipareigojimus pagal BDAR ir imtis veiksmų, kad užtikrintų atitiktį bei išvengtų baudų ir kitų sankcijų rizikos, taip pat žalos reputacijai.

O jei nerenkate duomenų EEE?

Verta pažymėti, kad net jei už EEE ribų veikiantis startuolis šiuo metu nesiūlo prekių ar paslaugų EEE esantiems asmenims ir nestebi jų elgesio, vis tiek gali būti patartina įgyvendinti BDAR.

Taip yra todėl, kad BDAR yra pasaulinis duomenų apsaugos standartas, o BDAR įgyvendinimas gali padėti startuoliui įsitvirtinti kaip patikimai ir gerą reputaciją turinčiai įmonei, vertinančiai savo klientų ir partnerių privatumą.

BDAR Jungtinėje Karalystėje (JK)

JK išstojus iš ES 2021 m. sausio 1 d., BDAR šioje šalyje nebetaikomas. Tačiau BDAR taisyklės buvo tiesiogiai perkeltos į JK teisę kaip JK BDAR, todėl viskas, kas pirmiau aptarta apie BDAR, taikoma ir JK.

Kaip „Maildroppa“ programėlėje sukurti su BDAR suderinamą registracijos formą

„Maildroppa“ yra el. pašto rinkodaros programėlė, leidžianti kurti pritaikytas registracijos formas, per kurias potencialūs klientai gali užsiregistruoti ir gauti iš jūsų reguliarią informaciją ar naujienlaiškius.

Galite laisvai nustatyti, kokia informacija būtina registracijai. Pavyzdžiui, galima prašyti potencialaus kliento vardo ir pavardės, gimimo datos bei pilietybės. Žinoma, tai yra asmens duomenys.

Jei techniškai neužkertate kelio europiečiams lankytis jūsų svetainėje ir pildyti registracijos formą, jums taikomas BDAR, net jei jūsų įmonė įsikūrusi už Europos ekonominės erdvės ribų.

Tačiau „Maildroppa“ leidžia nepaprastai lengvai laikytis BDAR. Galite nustatyti, ar klientai, norintys užsiregistruoti į jūsų sąrašą, visada arba niekada turi peržiūrėti ir pasirašyti duomenų tvarkymo sutartį, arba nustatyti, kad sutikimą su jūsų BDAR sutikimo forma turi pateikti tik klientai iš ES, JK ir Šveicarijos.

Kaip verslas, turite informuoti klientus apie renkamų duomenų rūšis, jų rinkimo priežastis ir saugojimo bei tvarkymo būdus. Kadangi kiekviena įmonė yra skirtinga, jos renkami duomenys ir jų naudojimo būdai gali skirtis. Jums, kaip verslo savininkui, svarbu skaidriai informuoti klientus apie savo duomenų tvarkymo praktiką ir laikytis BDAR reikalavimų.

„Maildroppa“, kaip paslaugų teikėja, supranta šią atsakomybę – todėl siūlome funkciją pritaikyti BDAR sutikimo formą pagal individualius jūsų reikalavimus. Mūsų programėlė taip pat išsaugo BDAR sutikimo formos tekstą, su kuriuo sutiko prenumeratorius, todėl net ir po kelerių metų galite turėti susitarimo įrodymą.

Kitas BDAR reikalavimas – klientai turi du kartus patvirtinti, kad nori gauti jūsų naujienlaiškį. Taip užtikrinama, kad informaciją iš jūsų pagal jūsų BDAR pareiškimą gautų tik tie klientai, kurie davė aiškų sutikimą. Kadangi dvigubas patvirtinimas yra numatytasis „Maildroppa“ elgesys, papildomų veiksmų imtis nereikia.

Santrauka

Apibendrinant, BDAR – tai taisyklių rinkinys, taikomas įmonėms, tvarkančioms EEE asmenų asmens duomenis. BDAR suteikia asmenims daugiau kontrolės savo asmens duomenų atžvilgiu ir nustato griežtesnes taisykles, kaip įmonės gali rinkti, naudoti ir saugoti šiuos duomenis.

EEE veikiantys startuoliai turės imtis veiksmų, kad užtikrintų atitiktį BDAR ir išvengtų baudų bei kitų sankcijų rizikos, taip pat žalos reputacijai.

Už ES ribų veikiantys startuoliai taip pat turės užtikrinti atitiktį BDAR, jei siūlo prekes ar paslaugas ES esantiems asmenims arba stebi jų elgesį. Nors mažai tikėtina, kad ES iš karto taikys sankcijas kiekvienai BDAR pažeidusiai mažai įmonei, ES institucijos turi įvairių priemonių, padedančių užtikrinti atitiktį.

Jei startuolis nori įsitvirtinti kaip patikima ir gerą reputaciją turinti įmonė, vertinanti savo klientų ir partnerių privatumą, BDAR įgyvendinimas gali būti naudingas net tada, kai jis nėra įsikūręs ES ir nebendrauja su ES esančiais asmenimis. Galiausiai svarbu prisiminti, kad nors JK išstojo iš ES, BDAR joje ir toliau taikomas JK BDAR forma.