Ceļvedis jaunuzņēmumu atbilstībai VDAR

Vispārīgā datu aizsardzības regula (VDAR) ir noteikumu kopums uzņēmumiem, kas apstrādā Eiropas Ekonomikas zonas (EEZ) iedzīvotāju personas datus. EEZ ietver visas ES valstis, kā arī Islandi, Lihtenšteinu un Norvēģiju. VDAR stājās spēkā 2018. gada 25. maijā.

VDAR tiek uzskatīta par stingrāko datu aizsardzības likumu pasaulē. Tā sniedz cilvēkiem lielāku kontroli pār saviem personas datiem un nosaka uzņēmumiem stingrākus noteikumus, kas jāievēro, vācot, izmantojot un aizsargājot šos datus.

Ja uzņēmums neievēro šos noteikumus, tam var tikt piemērots naudas sods vai citas sankcijas. Maksimālais naudas sods ir 20 miljoni eiro vai 4 % no uzņēmuma iepriekšējā gada globālajiem gada ieņēmumiem — atkarībā no tā, kura summa ir lielāka.

Pienākumi saskaņā ar VDAR

Uzņēmumam, vācot un apstrādājot EEZ pilsoņu personas datus, jāievēro vairāki pienākumi un atbildība:

1. Pirms jauna produkta vai pakalpojuma ieviešanas veltiet laiku, lai pārdomātu, kā tas vāks, glabās un izmantos EEZ pilsoņu personas datus. Ja nepieciešams, veiciet datu aizsardzības ietekmes novērtējumu, lai identificētu un mazinātu iespējamos riskus personas datu aizsardzībai.
2. Ieviesiet atbilstošus tehniskos un organizatoriskos pasākumus personas datu aizsardzībai, piemēram, šifrēšanu un drošu glabāšanu. Nodrošiniet, lai jūsu sistēmas un pakalpojumi būtu atjaunināti ar jaunākajiem drošības ielāpiem un atjauninājumiem.
3. Vācot personas datus, pieprasiet tikai to informāciju, kas ir absolūti nepieciešama konkrētajam mērķim, kuram tā tiks izmantota. Tas palīdzēs samazināt savākto datu apjomu un datu aizsardzības pārkāpumu risku.
4. Esiet pārredzami pret klientiem par to, kādus personas datus vācat, kāpēc tos vācat un kā tie tiks izmantoti. Sniedziet skaidru informāciju par datu aizsardzību un pirms personas datu vākšanas saņemiet nepārprotamu piekrišanu, ja vien vākšanai nav cita tiesiska pamata.
5. Respektējiet klientu tiesības iebilst pret savu personas datu apstrādi un pārliecinieties, ka viņi par šīm tiesībām ir informēti.
6. Ieceliet datu aizsardzības speciālistu, ja personas datus regulāri apstrādā 20 vai vairāk cilvēku, ja uzņēmums veic datu apstrādes darbības, kurām nepieciešams datu aizsardzības ietekmes novērtējums, vai apstrādā personas datus pārsūtīšanai, anonimizētai pārsūtīšanai vai tirgus un sabiedriskās domas izpētei.
7. Ja kopīgojat personas datus ar trešajām personām ārpus EEZ, ieviesiet atbilstošus aizsardzības pasākumus, piemēram, EEZ standarta līguma klauzulas vai Privacy Shield.
8. Izmantojiet dubultās piekrišanas procesu, sūtot e-pastus, lai pārliecinātos, ka adresāti ir devuši piekrišanu tos saņemt.
9. Uzturiet visus personas datus precīzus un aktuālus, kā arī izveidojiet procesus datu atjaunināšanai, kad tie mainās.
10. Ja notiek datu zudums vai drošības pārkāpums, nekavējoties rīkojieties, lai ierobežotu incidentu un novērstu turpmāku kaitējumu. Izstrādājiet plānu, kā rīkoties šādos incidentos un kā paziņot klientiem un attiecīgajām iestādēm.
11. Datu aizsardzības pārkāpuma gadījumā pēc iespējas drīzāk paziņojiet uzraudzības iestādei un saviem klientiem.
12. Saglabājiet uzskaiti par visām datu apstrādes darbībām, lai uzraudzības iestādes audita gadījumā varētu pierādīt atbilstību.

Sarakstā ietverti svarīgākie pienākumi un atbildība, kas uzņēmumam jāievēro saskaņā ar VDAR, vācot un apstrādājot EEZ pilsoņu personas datus.

Tomēr dažos gadījumos var būt jāņem vērā arī papildu prasības. Piemēram, īpašas prasības var attiekties uz uzņēmumiem, kas darbojas noteiktās nozarēs vai apstrādā konkrētus personas datu veidus.

Tāpēc vienmēr ieteicams lūgt padomu datu aizsardzības ekspertam vai sazināties ar uzraudzības iestādi, lai pārliecinātos, ka tiek ievēroti visi piemērojamie noteikumi.

VDAR uzņēmumiem ārpus EEZ

Lai gan ir labi zināms, ka uzņēmumiem, kas atrodas EEZ, būs jāievēro VDAR, ne visi zina, ka arī valstīm ārpus EEZ noteiktos apstākļos jāievēro VDAR. Tālāk esam izklāstījuši dažādus veidus, kā uzņēmumiem ārpus EEZ jānodrošina atbilstība.

Personas datu vākšana Eiropas Ekonomikas zonā

Ja uzņēmums, kas atrodas ārpus EEZ, piedāvā preces vai pakalpojumus EEZ iedzīvotājiem vai uzrauga viņu uzvedību, tam, vācot, izmantojot un aizsargājot EEZ iedzīvotāju personas datus, jāievēro VDAR prasības.

Ja tiek konstatēts, ka uzņēmums ārpus EEZ pārkāpj VDAR, ES iestāžu rīcībā ir vairāki instrumenti, lai nodrošinātu atbilstību VDAR.

Piemēram, ja tiek konstatēts, ka ASV uzņēmums pārkāpj VDAR, ES iestādes atkarībā no pārkāpuma būtības un tās štata tiesību aktiem, kurā uzņēmums atrodas, varētu lūgt ASV tiesai izpildīt spriedumu pret minēto uzņēmumu.

Turklāt ES iestādes var izmantot arī citus līdzekļus, lai izdarītu spiedienu uz uzņēmumu ārpus Eiropas Ekonomikas zonas un panāktu atbilstību VDAR, piemēram, bloķējot uzņēmuma piekļuvi ES tirgum vai publiski to nosodot.

Tomēr maz ticams, ka ES nekavējoties piemēros sankcijas jebkuram mazam uzņēmumam, ja tas pārkāps VDAR. Neraugoties uz to, arī maziem uzņēmumiem ārpus EEZ var būt izdevīgi ievērot VDAR. Tas ir tāpēc, ka atbilstība VDAR var sniegt jaunuzņēmumiem labākas uzņēmējdarbības iespējas, jo tie var sadarboties ar citiem uzņēmumiem, kas arī ievēro VDAR.

Papildus naudas sodu un citu sankciju riskam jaunuzņēmumi var saskarties arī ar reputācijas kaitējumu, ja tiek konstatēts, ka tie pārkāpj VDAR. Tas var apgrūtināt uzņēmējdarbību EEZ un ietekmēt uzņēmējdarbību arī starptautiskā mērogā.

Uzņēmumi, kas ievēro VDAR, klientiem un partneriem var šķist pievilcīgāki, jo tie apliecina apņemšanos aizsargāt personas datus un respektēt cilvēku privātumu.

Kopumā VDAR ir nozīmīga pārmaiņa jaunuzņēmumiem, kas apstrādā EEZ iedzīvotāju personas datus, un tā būtiski ietekmēs to, kā šie jaunuzņēmumi vāc, izmanto un aizsargā šos datus.

Jaunuzņēmumiem ārpus EEZ būs īpaši rūpīgi jāizvērtē savi pienākumi saskaņā ar VDAR un jāveic pasākumi, lai nodrošinātu atbilstību un izvairītos no naudas sodu un citu sankciju, kā arī reputācijas kaitējuma riska.

Ko darīt, ja jūs nevācat datus EEZ?

Jāņem vērā, ka pat tad, ja jaunuzņēmums ārpus EEZ pašlaik nepiedāvā preces vai pakalpojumus EEZ iedzīvotājiem un neuzrauga viņu uzvedību, VDAR ieviešana joprojām var būt ieteicama.

Tas ir tāpēc, ka VDAR ir globāls datu aizsardzības standarts, un VDAR ieviešana var palīdzēt jaunuzņēmumam nostiprināties kā cienījamam un uzticamam uzņēmumam, kas augstu vērtē savu klientu un partneru privātumu.

VDAR Apvienotajā Karalistē (AK)

Pēc AK izstāšanās no ES 2021. gada 1. janvārī VDAR šajā valstī vairs nebija tieši piemērojama. Tomēr VDAR noteikumi tika tieši iekļauti AK tiesību aktos kā UK-GDPR, tāpēc viss iepriekš minētais par VDAR attiecas arī uz AK.

Kā Maildroppa lietotnē izveidot VDAR prasībām atbilstošu reģistrēšanās veidlapu

Maildroppa ir e-pasta mārketinga lietotne, kas ļauj izveidot pielāgotas reģistrēšanās veidlapas, ar kuru palīdzību potenciālie klienti var reģistrēties, lai saņemtu no jums regulāru informāciju vai jaunumus.

Jūs varat brīvi noteikt, kāda informācija nepieciešama reģistrācijai. Piemēram, potenciālā klienta vārds un uzvārds, dzimšanas diena un valstspiederība. Tā, protams, ir personas informācija.

Ja jūs tehniski neizslēdzat eiropiešus no savas tīmekļa vietnes apmeklēšanas un reģistrēšanās veidlapas aizpildīšanas, uz jums attiecas VDAR, pat ja jūsu uzņēmums atrodas ārpus Eiropas Ekonomikas zonas.

Tomēr Maildroppa ļauj jums ļoti vienkārši nodrošināt atbilstību VDAR. Varat iestatīt, vai klientiem, kuri vēlas reģistrēties jūsu sarakstam, vienmēr vai nekad jāapskata un jāparaksta datu apstrādes līgums, vai arī iestatīt, ka piekrišana jūsu VDAR piekrišanas veidlapai jāsniedz tikai klientiem no ES, AK un Šveices.

Kā uzņēmumam jums jāinformē klienti par to, kādus datus vācat, kāpēc tos vācat un kā tie tiek glabāti un apstrādāti. Tā kā katrs uzņēmums ir atšķirīgs, arī vāktie dati un to izmantošanas veids var atšķirties. Jums kā uzņēmuma īpašniekam ir svarīgi būt pārredzamam pret klientiem par savu datu apstrādes praksi un ievērot VDAR noteikumus.

Maildroppa kā pakalpojumu sniedzējs izprot šo atbildību — tāpēc piedāvājam iespēju pielāgot VDAR piekrišanas veidlapu jūsu individuālajām prasībām. Mūsu lietotne saglabā arī VDAR piekrišanas veidlapas tekstu, kuram abonents ir piekritis, nodrošinot jums pierādījumu par vienošanos arī pēc vairākiem gadiem.

Vēl viena VDAR prasība ir tāda, ka klientiem jāpiesakās jūsu jaunumus saņemt, izmantojot dubulto piekrišanu. Tas nodrošina, ka informāciju no jums saņem tikai tie klienti, kuri ir nepārprotami piekrituši to saņemt saskaņā ar jūsu VDAR paziņojumu. Tā kā dubultā piekrišana ir Maildroppa noklusējuma darbība, papildu pasākumi nav nepieciešami.

Kopsavilkums

Kopsavilkumā — VDAR ir noteikumu kopums, kas attiecas uz uzņēmumiem, kuri apstrādā EEZ iedzīvotāju personas datus. VDAR sniedz cilvēkiem lielāku kontroli pār saviem personas datiem un nosaka uzņēmumiem stingrākus noteikumus attiecībā uz šo datu vākšanu, izmantošanu un aizsardzību.

Jaunuzņēmumiem EEZ būs jāveic pasākumi, lai nodrošinātu atbilstību VDAR un izvairītos no naudas sodu un citu sankciju, kā arī reputācijas kaitējuma riska.

Jaunuzņēmumiem ārpus ES būs jānodrošina atbilstība VDAR arī tad, ja tie piedāvā preces vai pakalpojumus ES iedzīvotājiem vai uzrauga viņu uzvedību. Lai gan maz ticams, ka ES nekavējoties piemēros sankcijas ikvienam mazam uzņēmumam, kas pārkāpj VDAR, ES iestāžu rīcībā ir vairāki instrumenti, lai nodrošinātu atbilstību.

Ja jaunuzņēmums vēlas nostiprināties kā cienījams un uzticams uzņēmums, kas augstu vērtē savu klientu un partneru privātumu, VDAR ieviešana var būt izdevīga pat tad, ja tas neatrodas ES vai nesadarbojas ar cilvēkiem ES. Visbeidzot, ir svarīgi atcerēties, ka, lai gan AK ir izstājusies no ES, VDAR turpina uz to attiekties UK-GDPR formā.