Vodič za usklađenost startapa sa GDPR-om

Opšta uredba o zaštiti podataka (GDPR) predstavlja skup pravila za kompanije koje obrađuju lične podatke pojedinaca iz Evropskog ekonomskog prostora (EEP). EEP obuhvata sve zemlje EU, kao i Island, Lihtenštajn i Norvešku. GDPR je stupio na snagu 25. maja 2018. godine.

GDPR se smatra najstrožim zakonom o zaštiti podataka na svetu. Pojedincima daje veću kontrolu nad njihovim ličnim podacima i postavlja stroža pravila koja kompanije moraju da poštuju prilikom prikupljanja, korišćenja i zaštite tih podataka.

Ako kompanija ne poštuje ova pravila, može biti kažnjena novčanom kaznom ili se suočiti sa drugim sankcijama. Maksimalna kazna iznosi 20 miliona evra ili 4% ukupnog godišnjeg prihoda kompanije na globalnom nivou za prethodnu godinu, u zavisnosti od toga šta je veće.

Obaveze prema GDPR-u

Kompanija mora da poštuje niz obaveza i odgovornosti prilikom prikupljanja i obrade ličnih podataka građana EEP-a:

1. Pre pokretanja novog proizvoda ili usluge, odvojite vreme da razmislite o tome kako će se prikupljati, čuvati i koristiti lični podaci građana EEP-a. Ako je potrebno, sprovedite procenu uticaja na zaštitu podataka kako biste prepoznali i ublažili potencijalne rizike po zaštitu ličnih podataka.
2. Primenite odgovarajuće tehničke i organizacione mere za zaštitu ličnih podataka, kao što su šifrovanje i bezbedno čuvanje. Uverite se da se vaši sistemi i usluge ažuriraju najnovijim bezbednosnim zakrpama i ažuriranjima.
3. Prilikom prikupljanja ličnih podataka tražite samo informacije koje su strogo neophodne za konkretnu svrhu u koju će se koristiti. Tako ćete smanjiti količinu prikupljenih podataka i rizik od povrede podataka.
4. Budite transparentni prema korisnicima u pogledu toga koje lične podatke prikupljate, zašto ih prikupljate i kako će se koristiti. Pružite jasne informacije o zaštiti podataka i pribavite izričitu saglasnost pre prikupljanja ličnih podataka, osim ako za prikupljanje postoji drugi pravni osnov.
5. Poštujte pravo korisnika da prigovore obradi svojih ličnih podataka i pobrinite se da budu upoznati sa tim pravom.
6. Imenujte službenika za zaštitu podataka ako 20 ili više osoba redovno obrađuje lične podatke, ako kompanija sprovodi operacije obrade podataka koje zahtevaju procenu uticaja na zaštitu podataka ili ako obrađuje lične podatke radi prenosa, anonimizovanog prenosa ili istraživanja tržišta i javnog mnjenja.
7. Ako lične podatke delite sa trećim stranama izvan EEP-a, uspostavite odgovarajuće zaštitne mere, kao što su standardne ugovorne klauzule EEP-a ili Privacy Shield.
8. Koristite postupak dvostrukog pristanka kada šaljete imejlove kako biste bili sigurni da su primaoci dali saglasnost za njihovo primanje.
9. Održavajte sve lične podatke tačnim i ažuriranim i uspostavite postupke za njihovo ažuriranje kada se promene.
10. Ako dođe do gubitka podataka ili bezbednosnog incidenta, odmah preduzmite mere za ograničavanje incidenta i sprečavanje dalje štete. Imajte plan za postupanje u takvim incidentima i obaveštavanje korisnika i nadležnih organa.
11. U slučaju povrede podataka, obavestite nadzorni organ i svoje korisnike što je pre moguće.
12. Vodite evidenciju svih aktivnosti obrade podataka kako biste u slučaju nadzora nadležnog organa mogli da dokažete usklađenost.

Ova lista sadrži najvažnije obaveze i odgovornosti koje kompanija mora da poštuje prema GDPR-u prilikom prikupljanja i obrade ličnih podataka građana EEP-a.

Međutim, moguće je da u nekim slučajevima treba uzeti u obzir i dodatne zahteve. Na primer, mogu postojati posebni zahtevi za kompanije koje posluju u određenim industrijama ili obrađuju određene vrste ličnih podataka.

Zato je uvek preporučljivo potražiti savet stručnjaka za zaštitu podataka ili kontaktirati nadzorni organ kako biste bili sigurni da se poštuju svi primenljivi propisi.

GDPR za kompanije izvan EEP-a

Iako je poznato da kompanije sa sedištem u EEP-u moraju da poštuju GDPR, nisu svi upoznati sa tim da i zemlje izvan EEP-a u određenim okolnostima moraju da ga poštuju. U nastavku smo naveli različite načine na koje kompanije izvan EEP-a moraju da budu usklađene.

Prikupljanje ličnih podataka u Evropskom ekonomskom prostoru

Ako kompanija sa sedištem izvan EEP-a nudi robu ili usluge pojedincima u EEP-u ili prati njihovo ponašanje, mora da poštuje zahteve GDPR-a prilikom prikupljanja, korišćenja i zaštite ličnih podataka pojedinaca iz EEP-a.

Ako se utvrdi da kompanija sa sedištem izvan EEP-a krši GDPR, organi EU imaju na raspolaganju više sredstava za obezbeđivanje usklađenosti sa GDPR-om.

Na primer, ako se utvrdi da kompanija iz SAD krši GDPR, organi EU mogu da traže izvršenje presude protiv te kompanije pred sudom u SAD, u zavisnosti od prirode povrede i zakona države u kojoj se kompanija nalazi.

Pored toga, organi EU mogu koristiti i druga sredstva da izvrše pritisak na kompaniju izvan Evropskog ekonomskog prostora da poštuje GDPR, na primer blokiranjem njenog pristupa tržištu EU ili javnim prozivanjem kompanije.

Međutim, malo je verovatno da će EU odmah uvesti sankcije protiv male kompanije zbog kršenja GDPR-a. Ipak, čak i za male kompanije izvan EEP-a, usklađenost sa GDPR-om može biti korisna. To je zato što usklađenost sa GDPR-om startapima može pružiti bolje poslovne prilike, jer mogu da sarađuju sa drugim kompanijama koje takođe poštuju GDPR.

Pored rizika od novčanih kazni i drugih sankcija, startapi se mogu suočiti i sa narušavanjem reputacije ako se utvrdi da krše GDPR. To im može otežati poslovanje u EEP-u, a može uticati i na njihovo poslovanje na međunarodnom nivou.

Kompanije koje poštuju GDPR mogu biti privlačnije korisnicima i partnerima jer pokazuju posvećenost zaštiti ličnih podataka i poštovanju privatnosti pojedinaca.

U celini, GDPR predstavlja značajan razvoj za startape koji obrađuju lične podatke pojedinaca u EEP-u i imaće veliki uticaj na način na koji ti startapi prikupljaju, koriste i štite te podatke.

Startapi izvan EEP-a moraće posebno da vode računa o svojim obavezama prema GDPR-u i da preduzmu korake za obezbeđivanje usklađenosti kako bi izbegli rizik od novčanih kazni i drugih sankcija, kao i narušavanja reputacije.

Šta ako ne prikupljate podatke u EEP-u?

Vredi napomenuti da čak i ako startap izvan EEP-a trenutno ne nudi robu ili usluge pojedincima u EEP-u niti prati njihovo ponašanje, i dalje može biti preporučljivo da primeni GDPR.

To je zato što je GDPR globalni standard za zaštitu podataka, a primena GDPR-a može pomoći startapu da se pozicionira kao ugledna i pouzdana kompanija koja ceni privatnost svojih korisnika i partnera.

GDPR u Ujedinjenom Kraljevstvu (UK)

Nakon što je UK napustio EU 1. januara 2021. godine, GDPR više nije bio direktno primenljiv u toj zemlji. Međutim, pravila GDPR-a su direktno ugrađena u zakonodavstvo UK-a kao UK-GDPR, tako da se sve što je gore navedeno o GDPR-u odnosi i na UK.

Kako napraviti prijavnu formu usklađenu sa GDPR-om u aplikaciji Maildroppa

Maildroppa je aplikacija za imejl marketing koja vam omogućava da kreirate prilagođene prijavne forme putem kojih potencijalni korisnici mogu da se prijave za redovno primanje informacija ili biltena od vas.

Možete slobodno da definišete koje su informacije potrebne za registraciju. Na primer, ime i prezime, datum rođenja i državljanstvo potencijalnog korisnika. To su, naravno, lični podaci.

Ako tehnički ne isključite Evropljane iz posete vašoj veb-stranici i popunjavanja prijavne forme, podležete GDPR-u, čak i ako se vaša kompanija nalazi izvan Evropskog ekonomskog prostora.

Maildroppa vam, međutim, izuzetno olakšava usklađivanje sa GDPR-om. Možete podesiti da li korisnici koji žele da se prijave na vašu listu moraju uvek ili nikada da vide i potpišu sporazum o obradi podataka, ili možete podesiti da samo korisnici iz EU, UK-a i Švajcarske moraju da daju saglasnost putem vašeg obrasca za saglasnost sa GDPR-om.

Kao preduzeće, morate da obavestite korisnike o vrstama podataka koje prikupljate, zašto ih prikupljate i kako se čuvaju i obrađuju. Pošto je svaka kompanija drugačija, podaci koje prikuplja i način na koji ih koristi mogu se razlikovati. Važno je da, kao vlasnik preduzeća, budete transparentni prema korisnicima u pogledu svojih praksi obrade podataka i da poštujete propise GDPR-a.

Maildroppa kao pružalac usluga razume ovu odgovornost — zato nudimo funkciju za prilagođavanje obrasca za saglasnost sa GDPR-om vašim individualnim zahtevima. Naša aplikacija takođe čuva tekst obrasca za saglasnost sa GDPR-om sa kojim se pretplatnik saglasio, pružajući vam dokaz o sporazumu i godinama kasnije.

Još jedan zahtev GDPR-a jeste da korisnici izvrše dvostruku potvrdu prijave na vaš bilten. Time se obezbeđuje da informacije od vas primaju samo korisnici koji su dali izričitu saglasnost, u skladu sa vašom izjavom o GDPR-u. Pošto je dvostruka potvrda prijave podrazumevano ponašanje aplikacije Maildroppa, nije potrebno preduzimati dodatne mere.

Sažetak

Ukratko, GDPR je skup propisa koji se primenjuju na kompanije koje obrađuju lične podatke pojedinaca u EEP-u. GDPR pojedincima daje veću kontrolu nad njihovim ličnim podacima i nameće stroža pravila o tome kako kompanije mogu da prikupljaju, koriste i štite te podatke.

Startapi u EEP-u moraće da preduzmu korake kako bi obezbedili usklađenost sa GDPR-om i izbegli rizik od novčanih kazni i drugih sankcija, kao i narušavanja reputacije.

Startapi izvan EU takođe će morati da obezbede usklađenost sa GDPR-om ako nude robu ili usluge pojedincima u EU ili prate njihovo ponašanje. Iako je malo verovatno da će EU odmah uvesti sankcije protiv svake male kompanije koja krši GDPR, organi EU imaju na raspolaganju više sredstava da obezbede usklađenost.

Ako startap želi da se pozicionira kao ugledna i pouzdana kompanija koja ceni privatnost svojih korisnika i partnera, primena GDPR-a može biti korisna čak i kada nije registrovan u EU niti posluje sa pojedincima u EU. Na kraju, važno je zapamtiti da, iako je UK napustio EU, GDPR i dalje važi u toj zemlji u obliku UK-GDPR-a.