Ghid de conformitate cu GDPR pentru startupuri

Regulamentul general privind protecția datelor (GDPR) stabilește un set de reguli pentru companiile care gestionează datele cu caracter personal ale persoanelor din Spațiul Economic European (SEE). SEE include toate țările UE, precum și Islanda, Liechtenstein și Norvegia. GDPR a intrat în vigoare la 25 mai 2018.

GDPR este considerat cea mai strictă lege privind protecția datelor din lume. Acesta oferă persoanelor mai mult control asupra datelor lor cu caracter personal și stabilește reguli mai stricte pentru companii în ceea ce privește colectarea, utilizarea și protejarea acestor date.

O companie care nu respectă aceste reguli riscă amenzi sau alte sancțiuni. Amenda maximă este de 20 de milioane de euro sau de 4% din veniturile anuale globale ale companiei din anul precedent, în funcție de valoarea mai mare.

Obligații în temeiul GDPR

O companie are o serie de obligații și responsabilități atunci când colectează și prelucrează date cu caracter personal ale cetățenilor din SEE:

1. Înainte de a lansa un produs sau serviciu nou, analizează cum va colecta, stoca și utiliza datele cu caracter personal ale cetățenilor din SEE. Dacă este necesar, efectuează o evaluare a impactului asupra protecției datelor pentru a identifica și a reduce eventualele riscuri pentru protecția datelor cu caracter personal.
2. Implementează măsuri tehnice și organizatorice adecvate pentru protejarea datelor cu caracter personal, precum criptarea și stocarea securizată. Asigură-te că sistemele și serviciile beneficiază de cele mai recente corecții și actualizări de securitate.
3. Când colectezi date cu caracter personal, solicită doar informațiile strict necesare pentru scopul specific în care vor fi utilizate. Astfel, reduci la minimum cantitatea de date colectate și riscul de încălcare a securității datelor.
4. Explică transparent clienților ce date cu caracter personal colectezi, de ce le colectezi și cum vor fi utilizate. Oferă informații clare despre protecția datelor și obține consimțământul explicit înainte de a colecta date cu caracter personal, cu excepția cazului în care există un alt temei juridic pentru colectare.
5. Respectă dreptul clienților de a se opune prelucrării datelor lor cu caracter personal și asigură-te că aceștia își cunosc acest drept.
6. Desemnează un responsabil cu protecția datelor dacă 20 sau mai multe persoane prelucrează în mod regulat date cu caracter personal ori dacă firma efectuează operațiuni de prelucrare care necesită o evaluare a impactului asupra protecției datelor sau prelucrează date cu caracter personal în scopul transmiterii, al transmiterii în formă anonimizată ori al cercetărilor de piață și de opinie.
7. Dacă partajezi date cu caracter personal cu terți din afara SEE, asigură garanții adecvate, precum clauzele contractuale standard ale SEE sau Privacy Shield.
8. Folosește procesul de confirmare a abonării prin e-mail (double opt-in) atunci când trimiți e-mailuri, pentru a te asigura că destinatarii și-au dat consimțământul să le primească.
9. Păstrează toate datele cu caracter personal exacte și la zi și stabilește procese pentru actualizarea lor atunci când apar modificări.
10. Dacă are loc o pierdere de date sau o încălcare a securității, acționează imediat pentru a limita incidentul și a preveni alte prejudicii. Pregătește un plan pentru gestionarea unor astfel de incidente și pentru notificarea clienților și a autorităților relevante.
11. În cazul unei încălcări a securității datelor, notifică autoritatea de supraveghere și clienții cât mai curând posibil.
12. Păstrează evidențe ale tuturor activităților de prelucrare a datelor, pentru a putea demonstra conformitatea în cazul unui audit efectuat de autoritatea de supraveghere.

Lista cuprinde cele mai importante obligații și responsabilități pe care le are o companie în temeiul GDPR atunci când colectează și prelucrează date cu caracter personal ale cetățenilor din SEE.

Totuși, în unele cazuri pot exista cerințe suplimentare de luat în considerare. De exemplu, companiile care activează în anumite domenii sau prelucrează anumite tipuri de date cu caracter personal pot avea obligații specifice.

De aceea, este întotdeauna recomandat să ceri sfatul unui expert în protecția datelor sau să contactezi autoritatea de supraveghere, pentru a te asigura că respecți toate reglementările aplicabile.

GDPR pentru companiile din afara SEE

Deși este bine cunoscut faptul că firmele cu sediul în SEE trebuie să respecte GDPR, nu toată lumea știe că și țările din afara SEE trebuie să îl respecte în anumite circumstanțe. Mai jos prezentăm situațiile în care companiile din afara SEE trebuie să se conformeze.

Colectarea datelor cu caracter personal în Spațiul Economic European

Dacă o companie cu sediul în afara SEE oferă bunuri sau servicii persoanelor din SEE ori le monitorizează comportamentul, aceasta trebuie să respecte cerințele GDPR atunci când colectează, utilizează și protejează datele cu caracter personal ale acestor persoane.

Dacă se constată că o companie cu sediul în afara SEE încalcă GDPR, autoritățile UE au la dispoziție mai multe instrumente pentru a asigura respectarea regulamentului.

De exemplu, dacă se constată că o companie din SUA încalcă GDPR, autoritățile UE ar putea solicita unei instanțe din SUA executarea unei hotărâri împotriva companiei respective, în funcție de natura încălcării și de legislația statului în care aceasta își are sediul.

În plus, autoritățile UE pot exercita presiuni și prin alte mijloace asupra unei companii din afara Spațiului Economic European pentru a o determina să respecte GDPR, de exemplu prin blocarea accesului la piața UE sau prin condamnarea publică a practicilor sale.

Totuși, este puțin probabil ca UE să sancționeze imediat orice companie mică dacă aceasta încalcă GDPR. Chiar și pentru firmele mici din afara SEE, respectarea GDPR poate fi însă benefică. Conformitatea cu GDPR poate oferi startupurilor oportunități de afaceri mai bune, deoarece le permite să colaboreze cu alte companii care respectă, la rândul lor, regulamentul.

Pe lângă riscul amenzilor și al altor sancțiuni, startupurile pot suferi prejudicii de reputație dacă se constată că încalcă GDPR. Acest lucru le-ar putea îngreuna activitatea în SEE și le-ar putea afecta afacerea și la nivel internațional.

Companiile care respectă GDPR pot fi mai atractive pentru clienți și parteneri, deoarece demonstrează că se angajează să protejeze datele cu caracter personal și să respecte viața privată a persoanelor.

În ansamblu, GDPR reprezintă o schimbare importantă pentru startupurile care gestionează datele cu caracter personal ale persoanelor din SEE și va influența semnificativ modul în care acestea colectează, utilizează și protejează datele respective.

Startupurile din afara SEE vor trebui să acorde o atenție deosebită obligațiilor prevăzute de GDPR și să ia măsuri pentru a le respecta, astfel încât să evite riscul amenzilor și al altor sancțiuni, precum și prejudiciile de reputație.

Ce se întâmplă dacă nu colectezi date în SEE?

Merită menționat că, și atunci când un startup din afara SEE nu oferă în prezent bunuri sau servicii persoanelor din SEE și nu le monitorizează comportamentul, aplicarea cerințelor GDPR poate fi totuși recomandată.

GDPR este un standard global pentru protecția datelor, iar aplicarea cerințelor sale poate ajuta un startup să se afirme ca o companie cu o bună reputație, de încredere, care respectă viața privată a clienților și partenerilor săi.

GDPR în Regatul Unit (UK)

După ce Regatul Unit a părăsit UE la 1 ianuarie 2021, GDPR nu a mai fost aplicabil în această țară. Totuși, normele sale au fost încorporate direct în legislația britanică sub forma UK-GDPR, astfel încât toate aspectele prezentate mai sus despre GDPR se aplică și Regatului Unit.

Cum creezi un formular de înscriere conform cu GDPR în aplicația Maildroppa

Maildroppa este o aplicație de marketing prin e-mail care îți permite să creezi formulare de înscriere personalizate. Prin aceste formulare, potențialii clienți se pot înscrie pentru a primi periodic informații sau newslettere de la tine.

Poți stabili liber ce informații sunt necesare pentru înscriere. De exemplu, poți solicita prenumele și numele, data nașterii și naționalitatea potențialului client. Acestea sunt, desigur, date cu caracter personal.

Dacă nu blochezi prin mijloace tehnice accesul europenilor la site și la completarea formularului de înscriere, trebuie să respecți GDPR, chiar dacă firma are sediul în afara Spațiului Economic European.

Maildroppa simplifică foarte mult respectarea GDPR. Poți stabili dacă persoanele care doresc să se înscrie pe lista de abonați trebuie să vadă și să semneze întotdeauna acordul privind prelucrarea datelor sau dacă nu trebuie să facă niciodată acest lucru. Alternativ, poți impune completarea formularului de consimțământ GDPR doar pentru persoanele din UE, Regatul Unit și Elveția.

Ca firmă, trebuie să informezi clienții despre tipurile de date colectate, motivele colectării și modul în care datele sunt stocate și prelucrate. Fiecare companie este diferită, așa că datele colectate și modul în care sunt utilizate pot varia. Ca proprietar al afacerii, este important să explici transparent clienților practicile privind datele și să respecți cerințele GDPR.

În calitate de furnizor de servicii, Maildroppa înțelege această responsabilitate. De aceea, oferim o funcție prin care poți personaliza formularul de consimțământ GDPR în funcție de cerințele specifice ale afacerii. Aplicația salvează și textul formularului de consimțământ GDPR acceptat de fiecare abonat, astfel încât să ai dovada acordului chiar și după ani de zile.

O altă cerință a GDPR este ca abonații să își confirme înscrierea la newsletter prin e-mail (double opt-in). Astfel, doar persoanele care și-au dat consimțământul explicit să primească informații de la tine, în condițiile declarației GDPR, vor primi aceste comunicări. În Maildroppa, double opt-in este activat în mod implicit, deci nu trebuie să iei măsuri suplimentare.

Rezumat

Pe scurt, GDPR este un set de reglementări aplicabile companiilor care gestionează datele cu caracter personal ale persoanelor din SEE. Acesta le oferă persoanelor mai mult control asupra datelor lor cu caracter personal și impune reguli mai stricte privind modul în care companiile pot colecta, utiliza și proteja aceste date.

Startupurile din SEE vor trebui să ia măsuri pentru a respecta GDPR, astfel încât să evite riscul amenzilor și al altor sancțiuni, precum și prejudiciile de reputație.

Și startupurile din afara UE vor trebui să respecte GDPR dacă oferă bunuri sau servicii persoanelor din UE ori le monitorizează comportamentul. Deși este puțin probabil ca UE să sancționeze imediat fiecare companie mică ce încalcă GDPR, autoritățile UE au la dispoziție mai multe instrumente pentru a asigura respectarea regulamentului.

Dacă un startup dorește să se afirme ca o companie cu o bună reputație, de încredere, care respectă viața privată a clienților și partenerilor săi, aplicarea cerințelor GDPR poate fi benefică, chiar dacă nu are sediul în UE și nu interacționează cu persoane din UE. În final, este important să reții că, deși Regatul Unit a părăsit UE, GDPR continuă să se aplice acolo sub forma UK-GDPR.