Τι είναι το GDPR για επιχειρήσεις

Το GDPR είναι ο ευρωπαϊκός κανονισμός για την προστασία δεδομένων προσωπικού χαρακτήρα, και για μια επιχείρηση σημαίνει συγκεκριμένες νομικές υποχρεώσεις κάθε φορά που συλλέγει, αποθηκεύει ή επεξεργάζεται στοιχεία πελατών, προμηθευτών ή εργαζομένων. Αν αναρωτιέσαι gdpr τι είναι σε πρακτικό επίπεδο για την καθημερινή λειτουργία μιας εταιρείας, η απάντηση είναι απλή: πρόκειται για ένα πλαίσιο κανόνων που καθορίζει πότε επιτρέπεται να χρησιμοποιείς προσωπικά δεδομένα, πώς πρέπει να τα προστατεύεις και τι δικαιώματα έχουν τα άτομα στα οποία αναφέρονται. Δεν είναι μια εσωτερική πολιτική που επιλέγει η επιχείρηση, αλλά νόμος με ισχύ σε όλη την Ευρωπαϊκή Ένωση, με κυρώσεις σε περίπτωση μη συμμόρφωσης.

Ποιες επιχειρήσεις αφορά ο κανονισμός

Ο κανονισμός δεν εξαιρεί κανέναν με βάση το μέγεθος. Μια ατομική επιχείρηση με έναν υπάλληλο, ένα μικρό κατάστημα ή ένας μεγάλος όμιλος αντιμετωπίζονται με τον ίδιο τρόπο ως προς την αρχή: αν επεξεργάζεσαι προσωπικά δεδομένα φυσικών προσώπων, οι υποχρεώσεις ισχύουν.

Αυτό που αλλάζει ανάλογα με το μέγεθος και τη δραστηριότητα είναι η έκταση των υποχρεώσεων. Μια επιχείρηση που επεξεργάζεται δεδομένα σε μεγάλη κλίμακα, ή δεδομένα ευαίσθητης φύσης όπως υγεία ή δεδικασμένα ποινικά αδικήματα, έχει αυστηρότερες απαιτήσεις από ένα μικρό τοπικό κατάστημα που κρατά απλώς ένα βιβλίο πελατών. Ο κανονισμός εφαρμόζεται επίσης σε επιχειρήσεις εκτός Ευρωπαϊκής Ένωσης, αν προσφέρουν προϊόντα ή υπηρεσίες σε κατοίκους της ΕΕ ή παρακολουθούν τη συμπεριφορά τους, για παράδειγμα μέσω ενός ηλεκτρονικού καταστήματος που δέχεται παραγγελίες από ευρωπαϊκές χώρες.

Ποιες υποχρεώσεις δημιουργεί για μια επιχείρηση

Στην πράξη, ο κανονισμός μεταφράζεται σε συγκεκριμένες πρακτικές που μια επιχείρηση καλείται να εφαρμόσει:

• Νόμιμη βάση επεξεργασίας: κάθε χρήση προσωπικών δεδομένων πρέπει να στηρίζεται σε συγκεκριμένο λόγο, όπως η συγκατάθεση του ατόμου, η εκτέλεση σύμβασης ή η συμμόρφωση με νομική υποχρέωση.
• Ενημέρωση των ατόμων: οι πελάτες ή εργαζόμενοι πρέπει να γνωρίζουν ποια δεδομένα τους συλλέγονται, γιατί, και για πόσο χρόνο διατηρούνται.
• Τήρηση αρχείου δραστηριοτήτων επεξεργασίας: καταγραφή του τι δεδομένα υπάρχουν, από πού προήλθαν και πού αποθηκεύονται.
• Ασφάλεια δεδομένων: τεχνικά και οργανωτικά μέτρα, όπως κρυπτογράφηση, περιορισμένη πρόσβαση ή τακτικά αντίγραφα ασφαλείας.
• Διαχείριση παραβιάσεων: υποχρέωση αναφοράς σε περίπτωση διαρροής δεδομένων εντός συγκεκριμένης προθεσμίας.

Ορισμένες επιχειρήσεις, ανάλογα με τη φύση της δραστηριότητάς τους, υποχρεούνται επιπλέον να ορίσουν Υπεύθυνο Προστασίας Δεδομένων, ένα πρόσωπο ή εξωτερικό συνεργάτη που επιβλέπει τη συμμόρφωση.

Ποια δεδομένα θεωρούνται «προσωπικά» για μια επιχείρηση

Ο όρος προσωπικά δεδομένα καλύπτει κάθε πληροφορία που μπορεί να οδηγήσει στην ταυτοποίηση ενός φυσικού προσώπου. Για μια επιχείρηση αυτό είναι ευρύτερο απ' όσο συχνά υποθέτει κανείς.

• Ονοματεπώνυμο, διεύθυνση, τηλέφωνο και email πελατών ή προμηθευτών.
• Στοιχεία εργαζομένων: μισθοδοσία, ιατρικά πιστοποιητικά, αξιολογήσεις απόδοσης.
• Δεδομένα πλοήγησης σε ιστοσελίδα, όπως διεύθυνση IP ή cookies που συνδέονται με συγκεκριμένο χρήστη.
• Εικόνες από κάμερες ασφαλείας σε χώρο εργασίας ή κατάστημα.

Ακόμη και ένα απλό αρχείο excel με ονόματα και τηλέφωνα πελατών εμπίπτει στον κανονισμό. Αυτό σημαίνει ότι σχεδόν κάθε επιχείρηση, ανεξάρτητα από τον κλάδο της, διαχειρίζεται κάποιο είδος προσωπικών δεδομένων και άρα έχει υποχρεώσεις.

Τι κινδυνεύει μια επιχείρηση αν δεν συμμορφωθεί

Η μη συμμόρφωση δεν είναι απλώς θεωρητικό ρίσκο. Οι εποπτικές αρχές προστασίας δεδομένων μπορούν να επιβάλουν πρόστιμα, τα οποία σε σοβαρές περιπτώσεις υπολογίζονται ως ποσοστό του ετήσιου κύκλου εργασιών της επιχείρησης, πέρα από σταθερά χρηματικά ποσά.

Πέρα από το οικονομικό κόστος, υπάρχει και το κόστος φήμης: μια διαρροή δεδομένων πελατών που γίνεται γνωστή μπορεί να πλήξει την εμπιστοσύνη προς την επιχείρηση πολύ περισσότερο από το ίδιο το πρόστιμο. Σε ορισμένες περιπτώσεις, τα θιγόμενα άτομα μπορούν επίσης να διεκδικήσουν αποζημίωση για την ηθική βλάβη που υπέστησαν. Για τον λόγο αυτό, πολλές επιχειρήσεις αντιμετωπίζουν πλέον τη συμμόρφωση όχι ως γραφειοκρατική υποχρέωση, αλλά ως μέρος της βασικής λειτουργίας τους, στον ίδιο βαθμό με τη φορολογική ή ασφαλιστική τους τακτοποίηση. Για τον ακριβή υπολογισμό κινδύνου και τις προθεσμίες αναφοράς σε συγκεκριμένη περίπτωση, είναι σκόπιμο να συμβουλεύεται κανείς νομικό ή ειδικό σύμβουλο προστασίας δεδομένων.

Σε λίγες λέξεις

Για μια επιχείρηση, ο κανονισμός δεν είναι ένα αφηρημένο νομικό κείμενο αλλά ένα σύνολο πρακτικών κανόνων που καθορίζουν πώς συλλέγει, φυλάσσει και χρησιμοποιεί προσωπικά δεδομένα πελατών, προμηθευτών και εργαζομένων. Αφορά κάθε επιχείρηση, ανεξαρτήτως μεγέθους, και η συμμόρφωση περιλαμβάνει σαφή ενημέρωση των ατόμων, ασφαλή αποθήκευση, καταγραφή διαδικασιών και ετοιμότητα για διαχείριση τυχόν παραβιάσεων. Η επένδυση σε σωστές πρακτικές από την αρχή είναι πάντα φθηνότερη από τη διαχείριση μιας κρίσης μετά από παράβαση.