Общият регламент относно защитата на данните (GDPR) – Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета – е основният нормативен акт, който урежда обработването и защитата на личните данни в Европейския съюз. Той е приложим във всички държави членки, включително България, от 25 май 2018 г.
GDPR има за цел да гарантира по-високо ниво на защита на личните данни на физическите лица и да уеднакви правилата за всички организации, които обработват такива данни – независимо от техния мащаб или дейност.
Основни задължения за бизнеса
Регламентът изисква от всяко дружество, институция или организация, която обработва лични данни, да предприеме редица административни, технически и организационни мерки. Сред тях са:
- изготвяне и внедряване на Политика за защита и обработване на личните данни;
- осигуряване на информираност на клиентите, служителите и партньорите относно обработваните данни и техните права;
- определяне на Длъжностно лице по защита на данните (DPO), когато това се изисква от закона;
- определяне на целите и сроковете за съхранение на данните;
- поддържане на регистри на обработвани лични данни;
- изготвяне на вътрешна процедура за уведомяване на Комисията за защита на личните данни (КЗЛД) при пробив в сигурността;
- прилагане на технически и организационни мерки за сигурност на информацията;
- сключване на договори с външни обработващи (напр. счетоводители, куриери, IT фирми), които гарантират спазването на регламента;
- публикуване на Политика за поверителност и Политика за използване на „бисквитки“ на уебсайта;
- актуализиране на правилата и процедурите при промени в дейността или законодателството.
Санкции при неспазване
Неспазването на задълженията по GDPR може да доведе до значителни административни глоби:
- до 20 000 000 евро, или
- до 4% от годишния световен оборот на дружеството – в зависимост от това коя сума е по-висока.
Организациите са длъжни по всяко време да могат да докажат съответствие с изискванията на регламента – чрез вътрешни политики, регистри и доказателства за проведени обучения и мерки за защита.
Онлайн търговия и GDPR
Онлайн магазините са сред най-често проверяваните субекти от Комисията за защита на личните данни, тъй като обработват големи обеми от клиентски данни – имена, адреси, телефони, имейли и данни за плащане.
Всеки онлайн търговец е длъжен да:
- има ясно публикувана Политика за защита на личните данни на сайта;
- посочи правното основание за обработването на данните (например договор, законово задължение или съгласие на потребителя);
- сключи договори с куриерските и логистични партньори, които да уреждат обработването на лични данни;
- осигури възможност за упражняване на правата на субектите на данни – достъп, корекция, изтриване и ограничаване на обработването.
Значение за бизнеса
Спазването на изискванията на GDPR не е само правно задължение, а и важен елемент от репутацията и доверието на всеки бизнес. Компаниите, които прилагат ефективни политики за защита на данните, демонстрират отговорност, прозрачност и професионализъм пред своите клиенти и партньори.
