Udhëzuesi për pajtueshmërinë me GDPR për startup-et

Rregullorja e Përgjithshme për Mbrojtjen e të Dhënave (GDPR) është një grup rregullash për kompanitë që trajtojnë të dhënat personale të individëve në Zonën Ekonomike Evropiane (EEA). EEA përfshin të gjitha vendet e BE-së, si dhe Islandën, Lihtenshtajnin dhe Norvegjinë. GDPR hyri në fuqi më 25 maj 2018.

GDPR konsiderohet ligji më i rreptë për mbrojtjen e të dhënave në botë. Ai u jep individëve më shumë kontroll mbi të dhënat e tyre personale dhe përcakton rregulla më të rrepta që kompanitë duhet të ndjekin kur mbledhin, përdorin dhe mbrojnë këto të dhëna.

Nëse një kompani nuk i ndjek këto rregulla, ajo mund të gjobitet ose të përballet me masa të tjera ndëshkuese. Gjoba maksimale është ose 20 milionë euro, ose 4% e të ardhurave vjetore globale të kompanisë për vitin e mëparshëm, cilado që të jetë më e lartë.

Detyrimet sipas GDPR-së

Ka një sërë detyrimesh dhe përgjegjësish që një kompani duhet të përmbushë kur mbledh dhe përpunon të dhëna personale nga qytetarët e EEA-së:

1. Përpara lançimit të një produkti ose shërbimi të ri, kushtojini pak kohë mënyrës se si ai do të mbledhë, ruajë dhe përdorë të dhënat personale të qytetarëve të EEA-së. Nëse është e nevojshme, kryeni një vlerësim të ndikimit mbi mbrojtjen e të dhënave për të identifikuar dhe zbutur çdo rrezik të mundshëm për mbrojtjen e të dhënave personale.
2. Zbatoni masa të përshtatshme teknike dhe organizative për të mbrojtur të dhënat personale, si enkriptimi dhe ruajtja e sigurt. Sigurohuni që sistemet dhe shërbimet tuaja të jenë të përditësuara me arnimet dhe përditësimet më të fundit të sigurisë.
3. Kur mblidhni të dhëna personale, kërkoni vetëm informacionin që është rreptësisht i nevojshëm për qëllimin specifik për të cilin do të përdoret. Kjo do t’ju ndihmojë të minimizoni sasinë e të dhënave që mblidhni dhe të zvogëloni rrezikun e shkeljeve të të dhënave.
4. Jini transparentë me klientët tuaj për të dhënat personale që mblidhni, arsyen pse i mblidhni dhe mënyrën se si do të përdoren. Jepni informacion të qartë për mbrojtjen e të dhënave dhe merrni pëlqim të qartë përpara mbledhjes së të dhënave personale, përveçse kur ekziston një bazë tjetër ligjore për mbledhjen.
5. Respektoni të drejtën e klientëve tuaj për të kundërshtuar përpunimin e të dhënave të tyre personale dhe sigurohuni që ata të jenë në dijeni të kësaj të drejte.
6. Emëroni një zyrtar për mbrojtjen e të dhënave nëse 20 ose më shumë persona përpunojnë rregullisht të dhëna personale, ose nëse kompania kryen veprime përpunimi të të dhënave që kërkojnë një vlerësim të ndikimit mbi mbrojtjen e të dhënave, apo përpunon të dhëna personale për transmetim, transmetim të anonimizuar ose kërkime tregu dhe opinioni.
7. Nëse ndani të dhëna personale me palë të treta jashtë EEA-së, vendosni masa mbrojtëse të përshtatshme, si klauzolat standarde kontraktuale të EEA-së ose Privacy Shield.
8. Përdorni procesin e konfirmimit të dyfishtë kur dërgoni email-e, për t’u siguruar që marrësit kanë dhënë pëlqimin për t’i marrë ato.
9. Mbajini të gjitha të dhënat personale të sakta dhe të përditësuara dhe vendosni procese për përditësimin e të dhënave kur ato ndryshojnë.
10. Nëse ndodh humbje të të dhënave ose një shkelje e sigurisë, veproni menjëherë për ta kufizuar incidentin dhe për të parandaluar dëme të mëtejshme. Keni një plan për mënyrën se si do të trajtoni incidente të tilla dhe si do të njoftoni klientët dhe autoritetet përkatëse.
11. Në rast shkeljesh të të dhënave, njoftoni autoritetin mbikëqyrës dhe klientët tuaj sa më shpejt të jetë e mundur.
12. Mbani shënime për të gjitha veprimtaritë e përpunimit të të dhënave, në mënyrë që të jeni në gjendje të demonstroni pajtueshmërinë në rast të një auditimi nga autoriteti mbikëqyrës.

Lista përmban detyrimet dhe përgjegjësitë më të rëndësishme që një kompani duhet të respektojë sipas GDPR-së kur mbledh dhe përpunon të dhëna personale të qytetarëve të EEA-së.

Megjithatë, në disa raste mund të ketë kërkesa shtesë që duhet të merren parasysh. Për shembull, mund të ketë kërkesa specifike për kompanitë që operojnë në industri të caktuara ose që përpunojnë lloje të veçanta të të dhënave personale.

Prandaj, këshillohet gjithmonë të kërkoni këshillën e një eksperti për mbrojtjen e të dhënave ose të kontaktoni autoritetin mbikëqyrës, për t’u siguruar që respektohen të gjitha rregulloret e zbatueshme.

GDPR për kompanitë jashtë EEA-së

Ndërsa dihet mirë se kompanitë me bazë në EEA duhet të pajtohen me GDPR-në, jo të gjithë e dinë se edhe vendet jashtë EEA-së duhet të pajtohen me GDPR-në në rrethana të caktuara. Më poshtë kemi përshkruar mënyrat e ndryshme se si kompanitë jashtë EEA-së duhet të pajtohen.

Mbledhja e të dhënave personale në Zonën Ekonomike Evropiane

Nëse një kompani me bazë jashtë EEA-së ofron mallra ose shërbime për individë në EEA, ose monitoron sjelljen e tyre, ajo duhet të përmbushë kërkesat e GDPR-së kur mbledh, përdor dhe mbron të dhënat personale të individëve të EEA-së.

Nëse një kompani me bazë jashtë EEA-së konstatohet se ka shkelur GDPR-në, autoritetet e BE-së kanë një sërë mjetesh në dispozicion për të siguruar pajtueshmërinë me GDPR-në.

Për shembull, nëse një kompani amerikane konstatohet se ka shkelur GDPR-në, autoritetet e BE-së mund të kërkojnë ekzekutimin e një vendimi kundër kompanisë në një gjykatë amerikane, në varësi të natyrës së shkeljes dhe ligjeve të shtetit ku ndodhet kompania.

Përveç kësaj, autoritetet e BE-së mund të përdorin edhe mënyra të tjera për t’i bërë presion një kompanie jashtë Zonës Ekonomike Evropiane që të pajtohet me GDPR-në, si bllokimi i aksesit të kompanisë në tregun e BE-së ose ekspozimi publik i saj.

Megjithatë, nuk ka gjasa që BE-ja të vendosë menjëherë sanksione ndaj çdo kompanie të vogël nëse ajo shkel GDPR-në. Sidoqoftë, edhe për kompanitë e vogla jashtë EEA-së mund të jetë e dobishme të pajtohen me GDPR-në. Kjo sepse pajtueshmëria me GDPR-në mund t’u sigurojë startup-eve mundësi më të mira biznesi, pasi ato mund të punojnë me kompani të tjera që gjithashtu pajtohen me GDPR-në.

Përveç rrezikut të gjobave dhe masave të tjera ndëshkuese, startup-et mund të përballen edhe me dëmtim të reputacionit nëse konstatohet se kanë shkelur GDPR-në. Kjo mund t’ua vështirësojë të bërit biznes në EEA dhe mund të ndikojë edhe në biznesin e tyre ndërkombëtar.

Kompanitë që pajtohen me GDPR-në mund të jenë më tërheqëse për klientët dhe partnerët, pasi demonstrojnë përkushtim ndaj mbrojtjes së të dhënave personale dhe respektimit të privatësisë së individëve.

Në përgjithësi, GDPR-ja është një zhvillim i rëndësishëm për startup-et që trajtojnë të dhënat personale të individëve në EEA dhe do të ketë ndikim të madh në mënyrën se si këto startup-e i mbledhin, përdorin dhe mbrojnë këto të dhëna.

Startup-et jashtë EEA-së duhet t’u kushtojnë vëmendje të veçantë detyrimeve të tyre sipas GDPR-së dhe të ndërmarrin hapa për të siguruar pajtueshmërinë, në mënyrë që të shmangin rrezikun e gjobave dhe masave të tjera ndëshkuese, si dhe dëmtimin e reputacionit.

Po nëse nuk po mblidhni të dhëna në EEA?

Vlen të theksohet se edhe nëse një startup jashtë EEA-së aktualisht nuk u ofron mallra ose shërbime individëve në EEA, ose nuk monitoron sjelljen e tyre, përsëri mund të jetë e këshillueshme të zbatojë GDPR-në.

Kjo sepse GDPR-ja është një standard global për mbrojtjen e të dhënave dhe zbatimi i GDPR-së mund ta ndihmojë një startup të vendoset si një kompani me reputacion dhe e besueshme, që vlerëson privatësinë e klientëve dhe partnerëve të saj.

GDPR-ja në Mbretërinë e Bashkuar (MB)

Pasi MB-ja u largua nga BE-ja më 1 janar 2021, GDPR-ja nuk ishte më e zbatueshme në vend. Megjithatë, rregullat e GDPR-së u përfshinë drejtpërdrejt në ligjin e MB-së si UK-GDPR, ndaj gjithçka e diskutuar më sipër për GDPR-në zbatohet edhe për MB-në.

Si të krijoni një formular regjistrimi të pajtueshëm me GDPR-në në aplikacionin Maildroppa

Maildroppa është një aplikacion për marketing me email dhe ju lejon të krijoni formularë të personalizuar regjistrimi, përmes të cilëve klientët potencialë mund të regjistrohen për të marrë rregullisht informacion ose buletine nga ju.

Ju mund të përcaktoni lirisht se cilat të dhëna kërkohen për regjistrim. Për shembull, emri dhe mbiemri, ditëlindja dhe kombësia e klientit potencial mund të jenë të nevojshme. Këto janë, sigurisht, të dhëna personale.

Nëse nuk i përjashtoni teknikisht evropianët nga vizita në faqen tuaj të internetit dhe plotësimi i formularit të regjistrimit, ju nënshtroheni GDPR-së, edhe nëse kompania juaj ndodhet jashtë Zonës Ekonomike Evropiane.

Megjithatë, Maildroppa e bën jashtëzakonisht të lehtë pajtueshmërinë me GDPR-në. Mund të përcaktoni nëse klientët që duan të regjistrohen në listën tuaj duhet ta shohin dhe ta nënshkruajnë gjithmonë ose kurrë marrëveshjen për përpunimin e të dhënave, ose mund të vendosni që vetëm klientët nga BE-ja, MB-ja dhe Zvicra duhet të japin pëlqimin në formularin tuaj të pëlqimit për GDPR-në.

Si biznes, duhet t’i informoni klientët tuaj për llojet e të dhënave që mblidhni, arsyen pse i mblidhni dhe mënyrën se si ruhen dhe përpunohen. Meqenëse çdo kompani është e ndryshme, të dhënat që mbledh dhe mënyra se si i përdor mund të ndryshojnë. Është e rëndësishme që ju, si pronar biznesi, të jeni transparentë me klientët tuaj për praktikat tuaja të të dhënave dhe të pajtoheni me rregulloret e GDPR-së.

Maildroppa, si ofrues shërbimi, e kupton këtë përgjegjësi — prandaj ofrojmë një veçori për ta personalizuar formularin e pëlqimit për GDPR-në sipas kërkesave tuaja individuale. Aplikacioni ynë ruan gjithashtu formulimin e formularit të pëlqimit për GDPR-në me të cilin një abonent ka rënë dakord, duke ju siguruar prova të marrëveshjes edhe vite më vonë.

Një tjetër kërkesë e GDPR-së është që klientët të japin konfirmim të dyfishtë për buletinin tuaj. Kjo siguron që vetëm klientët që kanë dhënë pëlqimin e tyre të qartë për të marrë informacion nga ju, sipas deklaratës suaj për GDPR-në, ta bëjnë këtë. Meqenëse konfirmimi i dyfishtë është sjellja e parazgjedhur e Maildroppa-s, nuk ka nevojë të ndërmerrni masa shtesë.

Përmbledhje

Si përmbledhje, GDPR-ja është një grup rregulloresh që zbatohen për kompanitë që trajtojnë të dhënat personale të individëve në EEA. GDPR-ja u jep individëve kontroll më të madh mbi të dhënat e tyre personale dhe vendos rregulla më të rrepta për mënyrën se si kompanitë mund t’i mbledhin, përdorin dhe mbrojnë këto të dhëna.

Startup-et në EEA duhet të ndërmarrin hapa për të siguruar pajtueshmërinë me GDPR-në, në mënyrë që të shmangin rrezikun e gjobave dhe masave të tjera ndëshkuese, si dhe dëmtimin e reputacionit.

Startup-et jashtë BE-së duhet gjithashtu të sigurojnë pajtueshmërinë me GDPR-në nëse u ofrojnë mallra ose shërbime individëve në BE, ose monitorojnë sjelljen e tyre. Ndërsa nuk ka gjasa që BE-ja të vendosë menjëherë sanksione ndaj çdo kompanie të vogël që shkel GDPR-në, autoritetet e BE-së kanë një sërë mjetesh në dispozicion për të siguruar pajtueshmërinë.

Nëse një startup dëshiron të pozicionohet si një kompani me reputacion dhe e besueshme, që vlerëson privatësinë e klientëve dhe partnerëve të saj, mund të jetë e dobishme të zbatojë GDPR-në, edhe kur nuk ndodhet në BE ose nuk angazhohet me individë brenda BE-së. Së fundi, është e rëndësishme të mbani mend se, edhe pse MB-ja është larguar nga BE-ja, GDPR-ja vazhdon të zbatohet atje në formën e UK-GDPR-së.