Большинство небольших компаний обрабатывают больше персональных данных, чем думают: сотрудники и зарплаты, клиенты и счета, форма обратной связи на сайте, камера у входа. GDPR распространяется на всё это независимо от размера бизнеса, а Болгария добавляет свои правила через Закон о защите личных данных. Хорошая новость: для типичной небольшой компании соблюдение требований сводится к короткому списку.
Основные документы
- Уведомления о конфиденциальности — одно для клиентов и посетителей сайта, другое для сотрудников: что вы собираете, зачем, на каком правовом основании, как долго храните и кому передаёте.
- Реестр операций по обработке. Компании с численностью менее 250 сотрудников освобождены от него, только если обработка носит эпизодический характер, — а начисление зарплаты не эпизодично, поэтому почти каждому работодателю нужен хотя бы краткий реестр.
- Договоры с обработчиками — внешним бухгалтером или расчётчиком зарплаты, ИТ-поддержкой, облачными сервисами и хостингом — с условиями, которых требует ст. 28 GDPR.
- Сроки хранения — сколько хранится каждая категория данных и когда она удаляется.
- Порядок действий при утечках — кто принимает решения, кто уведомляет КЗЛД и затронутых лиц и как фиксируются инциденты.
Болгарские правила сверх GDPR
- Кандидаты на работу. Данные кандидатов, не прошедших отбор, можно хранить не более шести месяцев после его окончания, если кандидат не согласился на более долгий срок. Копии документов, подтверждающих их квалификацию, тоже нельзя хранить дольше этого срока.
- Копии документов, удостоверяющих личность. Нельзя копировать удостоверение личности или паспорт клиента или сотрудника, если это не предусмотрено законом. Перепишите нужные данные вместо того, чтобы снимать копию.
- Мониторинг сотрудников. Для систем контроля доступа, учёта рабочего времени и подачи внутренних сигналов нужны внутренние правила, определяющие их объём и порядок использования данных, а сотрудники должны быть с ними ознакомлены.
- Дети. Для онлайн-услуг, предлагаемых непосредственно детям, ребёнок может дать согласие с 14 лет; до этого возраста согласие дают родители или опекун.
- Другие законы имеют приоритет. По Закону о бухгалтерском учёте ведомости по зарплате хранятся 50 лет, а учётные регистры и финансовая отчётность — 10. GDPR эти сроки не сокращает.
Видеонаблюдение
Видеонаблюдение в помещениях компании распространено и законно, если у него есть ясная цель — безопасность людей и имущества — и оно соразмерно. Разместите информационные таблички до того, как человек попадает в поле зрения камеры, никогда не снимайте туалеты и раздевалки, не снимайте улицу или соседей больше необходимого, храните записи ограниченный срок и ограничьте круг лиц, имеющих к ним доступ. Если в кадр попадают сотрудники, урегулируйте это во внутренних правилах.
Сайт и cookies
Аналитические и рекламные cookies требуют предварительного согласия посетителя; строго необходимые — нет. Формы обратной связи должны содержать ссылку на уведомление о конфиденциальности и запрашивать только необходимое. Если ваши сервисы передают данные за пределы Европейской экономической зоны — как многие американские, — проверьте основание для передачи, например Рамочную программу конфиденциальности данных ЕС–США или стандартные договорные условия.
Если что-то пошло не так
Локализация
Остановите утечку — смените пароли, отзовите письмо, заблокируйте учётную запись.
Оценка
Какие данные, сколько людей и какой риск для них.
Уведомление
Если права людей под угрозой, уведомите КЗЛД в течение 72 часов; при высоком риске сообщите и самим затронутым лицам.
Учёт
Фиксируйте каждую утечку, включая те, о которых вы решили не уведомлять, вместе с обоснованием.
Вопросы клиентов
Нужен ли нам инспектор по защите данных (DPO)?
Как правило, нет. DPO обязателен для государственных органов и для организаций, основная деятельность которых связана с масштабным мониторингом людей или масштабной обработкой чувствительных данных, например о здоровье. Небольшая торговая или сервисная компания редко подпадает под эти критерии — но кто-то всё равно должен отвечать за защиту данных. Наше направление защиты данных может оценить этот вопрос для вашего бизнеса.
Можно ли просто взять с сотрудников согласие на всё?
Нет. Согласие в отношениях работодателя и работника редко бывает добровольным, поэтому это слабое правовое основание. Большая часть кадровой обработки основана на трудовом договоре и требованиях закона; согласие нужно для действительно необязательных вещей, например фотографий сотрудников на сайте.
Расчёт зарплаты ведёт внешняя фирма. Кто отвечает?
Вы — как контролёр. Подрядчик обрабатывает данные по вашим указаниям, поэтому с ним нужен договор об обработке, и вы должны проверить, что он надёжно защищает данные. Когда нанимаете первого сотрудника, настройте это с самого начала.
Материал носит общий информационный характер и не является юридической консультацией по конкретному делу. Незнакомые термины объяснены в нашем глоссарии.
