Ghidul privind conformitatea cu GDPR pentru startupuri

Regulamentul general privind protecția datelor (GDPR) este un set de reguli pentru companiile care gestionează datele cu caracter personal ale persoanelor din Spațiul Economic European (SEE). SEE include toate țările UE, precum și Islanda, Liechtenstein și Norvegia. GDPR a intrat în vigoare la 25 mai 2018.

GDPR este considerată cea mai strictă lege privind protecția datelor din lume. Aceasta le oferă persoanelor un control mai mare asupra datelor lor cu caracter personal și stabilește reguli mai stricte pe care companiile trebuie să le respecte atunci când colectează, utilizează și protejează aceste date.

Dacă o companie nu respectă aceste reguli, poate fi amendată sau poate suporta alte sancțiuni. Amenda maximă este fie de 20 de milioane de euro, fie de 4% din veniturile anuale globale ale companiei din anul precedent, în funcție de valoarea mai mare.

Obligații în temeiul GDPR

Există o serie de obligații și responsabilități pe care o companie trebuie să le respecte atunci când colectează și prelucrează date cu caracter personal de la cetățeni SEE:

1. Înainte de lansarea unui produs sau serviciu nou, acordați-vă timp pentru a analiza modul în care acesta va colecta, stoca și utiliza datele cu caracter personal ale cetățenilor SEE. Dacă este necesar, efectuați o evaluare a impactului asupra protecției datelor pentru a identifica și reduce orice riscuri potențiale pentru protecția datelor cu caracter personal.
2. Implementați măsuri tehnice și organizatorice adecvate pentru protejarea datelor cu caracter personal, precum criptarea și stocarea securizată. Asigurați-vă că sistemele și serviciile sunt menținute la zi cu cele mai recente patch-uri și actualizări de securitate.
3. Atunci când colectați date cu caracter personal, solicitați doar informațiile strict necesare pentru scopul specific în care vor fi utilizate. Acest lucru vă va ajuta să reduceți la minimum cantitatea de date colectată și să diminuați riscul încălcării securității datelor.
4. Fiți transparenți cu clienții în privința datelor cu caracter personal pe care le colectați, a motivului colectării și a modului în care vor fi utilizate. Oferiți informații clare despre protecția datelor și obțineți consimțământul explicit înainte de colectarea datelor cu caracter personal, cu excepția cazului în care există un alt temei juridic pentru colectare.
5. Respectați dreptul clienților de a se opune prelucrării datelor lor cu caracter personal și asigurați-vă că aceștia cunosc acest drept.
6. Desemnați un responsabil cu protecția datelor dacă 20 sau mai multe persoane prelucrează în mod regulat date cu caracter personal sau dacă societatea efectuează operațiuni de prelucrare a datelor care necesită o evaluare a impactului asupra protecției datelor ori prelucrează date cu caracter personal pentru transmitere, transmitere anonimizată sau cercetări de piață și de opinie.
7. Dacă partajați date cu caracter personal cu terți din afara SEE, instituiți garanții adecvate, precum clauzele contractuale standard SEE sau Privacy Shield.
8. Utilizați procesul de dublu opt-in atunci când trimiteți e-mailuri, pentru a vă asigura că destinatarii și-au dat consimțământul să le primească.
9. Păstrați toate datele cu caracter personal exacte și actualizate și instituiți procese pentru actualizarea datelor atunci când acestea se modifică.
10. Dacă are loc o pierdere de date sau o încălcare a securității, acționați imediat pentru a limita incidentul și a preveni prejudicii suplimentare. Aveți un plan pentru gestionarea unor astfel de incidente și pentru notificarea clienților și a autorităților relevante.
11. În cazul încălcării securității datelor, notificați autoritatea de supraveghere și clienții cât mai curând posibil.
12. Păstrați evidențe ale tuturor activităților de prelucrare a datelor pentru a putea demonstra conformitatea în cazul unui audit efectuat de autoritatea de supraveghere.

Lista conține cele mai importante obligații și responsabilități pe care o companie trebuie să le respecte în temeiul GDPR atunci când colectează și prelucrează datele cu caracter personal ale cetățenilor SEE.

Cu toate acestea, este posibil ca în anumite cazuri să existe cerințe suplimentare care trebuie luate în considerare. De exemplu, pot exista cerințe specifice pentru companiile care activează în anumite industrii sau care prelucrează anumite tipuri de date cu caracter personal.

Prin urmare, este întotdeauna recomandat să solicitați sfatul unui expert în protecția datelor sau să contactați autoritatea de supraveghere pentru a vă asigura că sunt respectate toate reglementările aplicabile.

GDPR pentru companiile din afara SEE

Deși este bine cunoscut faptul că firmele cu sediul în SEE trebuie să respecte GDPR, nu toată lumea știe că și țările din afara SEE trebuie să respecte GDPR în anumite circumstanțe. Mai jos prezentăm diferitele situații în care companiile din afara SEE trebuie să se conformeze.

Colectarea datelor cu caracter personal în Spațiul Economic European

Dacă o companie cu sediul în afara SEE oferă bunuri sau servicii persoanelor din SEE ori monitorizează comportamentul acestora, trebuie să respecte cerințele GDPR atunci când colectează, utilizează și protejează datele cu caracter personal ale persoanelor din SEE.

Dacă se constată că o companie cu sediul în afara SEE încalcă GDPR, autoritățile UE dispun de o serie de instrumente pentru a asigura conformitatea cu GDPR.

De exemplu, dacă se constată că o companie din SUA încalcă GDPR, autoritățile UE ar putea solicita executarea unei hotărâri împotriva respectivei companii într-o instanță din SUA, în funcție de natura încălcării și de legile statului în care este localizată compania.

În plus, autoritățile UE pot utiliza și alte mijloace pentru a exercita presiuni asupra unei companii din afara Spațiului Economic European în vederea respectării GDPR, cum ar fi blocarea accesului companiei la piața UE sau denigrarea publică a acesteia.

Cu toate acestea, este puțin probabil ca UE să impună imediat sancțiuni oricărei companii mici care încalcă GDPR. Totuși, chiar și pentru companiile mici din afara SEE, respectarea GDPR poate fi benefică. Acest lucru se datorează faptului că respectarea GDPR le poate oferi startupurilor oportunități de afaceri mai bune, deoarece pot colabora cu alte companii care respectă, de asemenea, GDPR.

Pe lângă riscul amenzilor și al altor sancțiuni, startupurile se pot confrunta și cu prejudicii reputaționale dacă se constată că încalcă GDPR. Acest lucru le-ar putea îngreuna desfășurarea activității în SEE și le-ar putea afecta, de asemenea, afacerea la nivel internațional.

Companiile care respectă GDPR pot fi mai atractive pentru clienți și parteneri, deoarece demonstrează un angajament față de protejarea datelor cu caracter personal și respectarea vieții private a persoanelor.

În ansamblu, GDPR reprezintă o evoluție importantă pentru startupurile care gestionează datele cu caracter personal ale persoanelor din SEE și va avea un impact semnificativ asupra modului în care aceste startupuri colectează, utilizează și protejează datele respective.

Startupurile din afara SEE vor trebui să acorde o atenție deosebită obligațiilor care le revin în temeiul GDPR și să ia măsuri pentru a asigura conformitatea, pentru a evita riscul amenzilor și al altor sancțiuni, precum și prejudiciile reputaționale.

Ce se întâmplă dacă nu colectați date în SEE?

Merită menționat faptul că, chiar dacă un startup din afara SEE nu oferă în prezent bunuri sau servicii persoanelor din SEE și nu monitorizează comportamentul acestora, poate fi totuși recomandabil să implementeze GDPR.

Acest lucru se datorează faptului că GDPR este un standard global pentru protecția datelor, iar implementarea GDPR poate ajuta un startup să se impună ca o companie reputabilă și de încredere, care apreciază confidențialitatea clienților și partenerilor săi.

GDPR în Regatul Unit (UK)

După ce Regatul Unit a părăsit UE la 1 ianuarie 2021, GDPR nu mai era aplicabil în această țară. Cu toate acestea, normele GDPR au fost integrate direct în legislația britanică sub forma UK-GDPR, astfel încât tot ceea ce s-a discutat mai sus despre GDPR se aplică și Regatului Unit.

Cum să creați un formular de înscriere compatibil cu GDPR în aplicația Maildroppa

Maildroppa este o aplicație de marketing prin e-mail și vă permite să creați formulare de înscriere personalizate, prin intermediul cărora potențialii clienți se pot înscrie pentru a primi periodic informații sau buletine informative de la dumneavoastră.

Puteți defini în mod liber ce informații sunt necesare pentru înregistrare. De exemplu, ar putea fi solicitate prenumele și numele, data nașterii și naționalitatea potențialului client. Acestea sunt, desigur, date cu caracter personal.

Dacă nu excludeți tehnic europenii de la vizitarea site-ului și completarea formularului de înscriere, sunteți supuși GDPR, chiar dacă firma dumneavoastră este situată în afara Spațiului Economic European.

Maildroppa vă permite însă să respectați GDPR extrem de ușor. Puteți stabili dacă clienții care doresc să se înscrie pe lista dumneavoastră trebuie întotdeauna sau niciodată să vizualizeze și să semneze acordul privind prelucrarea datelor sau puteți seta ca doar clienții din UE, UK și Elveția să își dea consimțământul în formularul dumneavoastră de consimțământ GDPR.

În calitate de companie, trebuie să vă informați clienții cu privire la tipurile de date pe care le colectați, motivul colectării și modul în care acestea sunt stocate și prelucrate. Deoarece fiecare companie este diferită, datele pe care le colectează și modul în care le utilizează pot varia. Este important ca dumneavoastră, în calitate de proprietar al companiei, să fiți transparent cu clienții în privința practicilor de utilizare a datelor și să respectați reglementările GDPR.

În calitate de furnizor de servicii, Maildroppa înțelege această responsabilitate — de aceea oferim o funcție pentru personalizarea formularului de consimțământ GDPR în funcție de cerințele dumneavoastră individuale. Aplicația noastră salvează, de asemenea, formularea formularului de consimțământ GDPR cu care un abonat a fost de acord, oferindu-vă dovada acordului chiar și ani mai târziu.

O altă cerință a GDPR este ca clienții să confirme de două ori înscrierea la newsletterul dumneavoastră. Acest lucru garantează că doar clienții care și-au dat consimțământul explicit pentru a primi informații de la dumneavoastră, conform declarației dumneavoastră GDPR, le primesc. Deoarece dublul opt-in este comportamentul implicit al Maildroppa, nu este necesar să luați măsuri suplimentare.

Rezumat

Pe scurt, GDPR este un set de reglementări aplicabile companiilor care gestionează datele cu caracter personal ale persoanelor din SEE. GDPR le oferă persoanelor un control mai mare asupra datelor lor cu caracter personal și impune reguli mai stricte privind modul în care companiile pot colecta, utiliza și proteja aceste date.

Startupurile din SEE vor trebui să ia măsuri pentru a asigura conformitatea cu GDPR, pentru a evita riscul amenzilor și al altor sancțiuni, precum și prejudiciile reputaționale.

Startupurile din afara UE vor trebui, de asemenea, să asigure conformitatea cu GDPR dacă oferă bunuri sau servicii persoanelor din UE ori monitorizează comportamentul acestora. Deși este puțin probabil ca UE să impună imediat sancțiuni împotriva oricărei companii mici care încalcă GDPR, autoritățile UE dispun de o serie de instrumente pentru a asigura conformitatea.

Dacă un startup dorește să se impună ca o companie reputabilă și de încredere, care apreciază confidențialitatea clienților și partenerilor săi, poate fi benefic să implementeze GDPR, chiar dacă nu își are sediul în UE și nu interacționează cu persoane din UE. În cele din urmă, este important să rețineți că, deși Regatul Unit a părăsit UE, GDPR continuă să se aplice acolo sub forma UK-GDPR.