Повечето малки фирми обработват повече лични данни, отколкото си мислят: служители и заплати, клиенти и фактури, формуляр за контакт на сайта, камера на входа. GDPR се прилага за всичко това, независимо от размера на бизнеса, а България добавя и свои правила чрез Закона за защита на личните данни. Добрата новина е, че за типичната малка фирма съответствието се свежда до кратък списък.
Основните документи
- Уведомления за поверителност — едно за клиентите и посетителите на сайта и едно за служителите: какво събирате, защо, на какво правно основание, за колко време и кой го получава.
- Регистър на дейностите по обработване. Фирмите с под 250 служители са освободени само ако обработването е инцидентно — а заплатите не са, затова почти всеки работодател има нужда поне от кратък регистър.
- Договори с обработващите — външния счетоводител или доставчика на ТРЗ услуги, ИТ поддръжката, облачните и хостинг услугите — с условията, които изисква чл. 28 от GDPR.
- График за съхранение — колко дълго се пази всяка категория данни и кога се заличава.
- Процедура при нарушения — кой решава, кой уведомява КЗЛД и засегнатите хора и как се документират инцидентите.
Българските правила над GDPR
- Кандидати за работа. Данните на неодобрените кандидати могат да се съхраняват не повече от шест месеца след приключването на подбора, освен ако кандидатът е съгласен с по-дълъг срок. Копията на документите, удостоверяващи квалификацията им, също не бива да се пазят след този срок.
- Копия на документи за самоличност. Не можете да копирате лична карта или паспорт на клиент или служител, освен ако това е предвидено в закон. Запишете нужните данни, вместо да копирате документа.
- Наблюдение на служителите. Системите за контрол на достъпа, отчитане на работното време и подаване на сигнали изискват вътрешни правила за обхвата им и начина, по който се използват данните, и служителите трябва да бъдат запознати с тях.
- Деца. При онлайн услуги, предлагани пряко на деца, детето може да даде съгласие от 14-годишна възраст; под тази възраст съгласието се дава от родител или настойник.
- Другите закони имат предимство. По Закона за счетоводството ведомостите за заплати се пазят 50 години, а счетоводните регистри и финансовите отчети — 10. GDPR не съкращава тези срокове.
Видеонаблюдение
Видеонаблюдението на търговски обекти е често срещано и законно, когато има ясна цел — сигурността на хората и имуществото — и остава съразмерно. Поставете информационни табели, преди хората да влязат в обхвата на камерата, никога не снимайте помещения като тоалетни и съблекални, не снимайте улицата или съседите повече от необходимото, пазете записите само за ограничен срок и ограничете кой има достъп до тях. Ако се снимат служители, уредете това във вътрешните правила.
Сайт и бисквитки
Аналитичните и рекламните бисквитки изискват предварително съгласие на посетителя; строго необходимите — не. Формулярите за контакт трябва да водят към уведомлението за поверителност и да искат само необходимото. Ако инструментите ви изпращат данни извън Европейското икономическо пространство — както правят много американски услуги, — проверете основанието за предаването, например Рамката за поверителност на данните ЕС–САЩ или стандартни договорни клаузи.
Когато нещо се обърка
Ограничаване
Спрете изтичането — сменете паролите, изтеглете имейла, блокирайте профила.
Оценка
Какви данни, колко хора и какъв е рискът за тях.
Уведомяване
Ако правата на хората са застрашени, уведомете КЗЛД в рамките на 72 часа; при висок риск уведомете и засегнатите.
Документиране
Вписвайте всяко нарушение, включително онези, за които сте решили да не уведомявате, заедно с мотивите си.
Често задавани въпроси
Трябва ли ни длъжностно лице по защита на данните?
Обикновено не. Длъжностно лице е задължително за публичните органи и за организациите, чиято основна дейност включва мащабно наблюдение на хора или мащабно обработване на чувствителни данни, например здравни. Малка търговска фирма или фирма за услуги рядко попада тук — но някой все пак трябва да отговаря за защитата на данните. Нашата практика по защита на данните може да прецени въпроса за вашия бизнес.
Можем ли просто да поискаме от служителите съгласие за всичко?
Не. Съгласието между работодател и служител рядко е свободно дадено, затова е слабо правно основание. Повечето обработване в сферата на персонала се основава на трудовия договор и на законови задължения; съгласието е за наистина незадължителни неща, като снимки на служители на сайта.
Ползваме външна фирма за ТРЗ. Кой отговаря?
Вие, като администратор. Фирмата обработва данните по ваши указания, затова ви трябва договор за обработване с нея и трябва да проверите, че тя защитава данните добре. Когато наемате първия си служител, уредете това от самото начало.
Публикацията съдържа обща информация за българското право към датата на издаване и не представлява правен съвет по конкретен случай. Непознатите термини са обяснени в нашия речник.
