GDPR για Μικρές Επιχειρήσεις: Τα Ουσιώδη

Ο Γενικός Κανονισμός Προστασίας Δεδομένων (GDPR) ισχύει εδώ και χρόνια, αλλά πολλές μικρές και μεσαίες επιχειρήσεις στην Ελλάδα παραμένουν αβέβαιες για το τι ακριβώς πρέπει να κάνουν. Αυτός ο οδηγός λειτουργεί σαν ένα σύντομο μάθημα: εξηγεί τα ουσιώδη βήμα-βήμα, χωρίς νομική ορολογία, ώστε να καταλάβετε τις υποχρεώσεις σας και να ξέρετε από πού να ξεκινήσετε. Δεν αντικαθιστά τη νομική συμβουλή, αλλά σας δίνει μια στέρεη βάση.

01 Τι είναι το GDPR και γιατί υπάρχει

Το GDPR είναι ένας ευρωπαϊκός κανονισμός που ρυθμίζει πώς οι οργανισμοί συλλέγουν, χρησιμοποιούν και προστατεύουν τα προσωπικά δεδομένα. Σκοπός του είναι να δώσει στους πολίτες τον έλεγχο των δεδομένων τους και να υποχρεώσει τις επιχειρήσεις να τα διαχειρίζονται υπεύθυνα.

Δεν πρόκειται για γραφειοκρατία χάριν της γραφειοκρατίας. Πίσω από κάθε υποχρέωση υπάρχει μια λογική: οι άνθρωποι εμπιστεύονται την επιχείρησή σας με τα δεδομένα τους, και ο κανονισμός διασφαλίζει ότι αυτή η εμπιστοσύνη δεν προδίδεται. Η σωστή συμμόρφωση είναι και καλό επιχειρείν.

02 Σε ποιους ισχύει

Σχεδόν σε όλους. Αν η επιχείρησή σας συλλέγει ή επεξεργάζεται οποιαδήποτε προσωπικά δεδομένα — ονόματα πελατών, email, τηλέφωνα, στοιχεία εργαζομένων, ακόμη και διευθύνσεις IP από την ιστοσελίδα σας — τότε το GDPR σας αφορά.

Δεν έχει σημασία το μέγεθος. Μια επιχείρηση δύο ατόμων έχει υποχρεώσεις, όπως και μια μεγάλη εταιρεία, απλώς σε διαφορετική κλίμακα. Το επιχείρημα «είμαστε πολύ μικροί για να μας αφορά» είναι από τις πιο συνηθισμένες και επικίνδυνες παρανοήσεις.

03 Τι θεωρείται προσωπικό δεδομένο

Προσωπικό δεδομένο είναι οποιαδήποτε πληροφορία αφορά ένα ταυτοποιήσιμο άτομο. Το προφανές: όνομα, email, τηλέφωνο, διεύθυνση, ΑΦΜ. Αλλά και λιγότερο προφανή: διεύθυνση IP, δεδομένα τοποθεσίας, cookies, φωτογραφίες, ακόμη και η συμπεριφορά πλοήγησης σε μια ιστοσελίδα.

Υπάρχει και μια ειδική κατηγορία «ευαίσθητων» δεδομένων — υγεία, θρησκεία, πολιτικές πεποιθήσεις, βιομετρικά — που απολαμβάνουν αυξημένη προστασία και απαιτούν ιδιαίτερη προσοχή. Αν η επιχείρησή σας τα επεξεργάζεται, οι υποχρεώσεις σας είναι αυστηρότερες.

04 Η αρχή της νομικής βάσης

Δεν επιτρέπεται να επεξεργάζεστε προσωπικά δεδομένα «επειδή τα έχετε». Χρειάζεστε μια νομική βάση για κάθε σκοπό. Οι πιο συνηθισμένες για μια επιχείρηση είναι: η συγκατάθεση του ατόμου, η εκτέλεση μιας σύμβασης (π.χ. για να στείλετε μια παραγγελία), μια νομική υποχρέωση (π.χ. φορολογικά αρχεία), και το έννομο συμφέρον.

Το πρώτο πρακτικό βήμα είναι να καταγράψετε ποια δεδομένα συλλέγετε, για ποιον σκοπό, και με ποια νομική βάση. Αυτή η απλή καταγραφή είναι το θεμέλιο όλης της συμμόρφωσης — χωρίς αυτήν, δεν μπορείτε καν να ξέρετε αν είστε εντάξει.

05 Συγκατάθεση που στέκει

Όπου βασίζεστε σε συγκατάθεση — για παράδειγμα σε newsletter ή σε cookies marketing — αυτή πρέπει να πληροί συγκεκριμένες προϋποθέσεις. Πρέπει να δίνεται ελεύθερα, με σαφή θετική ενέργεια από το άτομο (όχι προεπιλεγμένα τσεκαρισμένα κουτάκια), για συγκεκριμένο σκοπό, και να μπορεί να ανακληθεί εξίσου εύκολα όπως δόθηκε.

Μια προσυμπληρωμένη επιλογή, μια ασαφής διατύπωση, ή ένα «με τη χρήση της ιστοσελίδας συμφωνείτε με όλα» δεν αποτελούν έγκυρη συγκατάθεση. Αν στηρίζεστε σε συγκατάθεση, βεβαιωθείτε ότι μπορείτε να αποδείξετε πότε και πώς δόθηκε.

06 Τα δικαιώματα των πολιτών

Το GDPR δίνει στα άτομα μια σειρά δικαιωμάτων που η επιχείρησή σας πρέπει να μπορεί να ικανοποιήσει. Τα βασικότερα είναι: το δικαίωμα πρόσβασης (να μάθουν ποια δεδομένα τους έχετε), διόρθωσης (να διορθώσουν λάθη), διαγραφής (το «δικαίωμα στη λήθη»), και φορητότητας (να λάβουν τα δεδομένα τους σε μορφή που μπορούν να μεταφέρουν αλλού).

Στην πράξη, αυτό σημαίνει ότι χρειάζεστε μια απλή εσωτερική διαδικασία: ποιος λαμβάνει το αίτημα, πώς εντοπίζετε τα δεδομένα του ατόμου, και πώς απαντάτε εντός των προθεσμιών — συνήθως ένας μήνας. Δεν χρειάζεται κάτι πολύπλοκο, αλλά χρειάζεται να υπάρχει εκ των προτέρων.

07 Ασφάλεια των δεδομένων

Το GDPR απαιτεί «κατάλληλα τεχνικά και οργανωτικά μέτρα» — δηλαδή να προστατεύετε τα δεδομένα με λογικό τρόπο ανάλογο του κινδύνου. Δεν ορίζει συγκεκριμένη τεχνολογία, αλλά αναμένει τα βασικά: κρυπτογράφηση όπου χρειάζεται, ισχυρούς κωδικούς και ταυτοποίηση δύο παραγόντων, έλεγχο του ποιος έχει πρόσβαση σε τι, ενημερωμένα συστήματα, και τακτικά αντίγραφα ασφαλείας.

Σημαντικό είναι και το οργανωτικό σκέλος: οι άνθρωποι. Η εκπαίδευση του προσωπικού στα βασικά της ασφάλειας και της προστασίας δεδομένων είναι εξίσου σημαντική με την τεχνολογία, αφού τα περισσότερα περιστατικά ξεκινούν από ανθρώπινο λάθος.

08 Όταν συμβεί παραβίαση

Καμία ασφάλεια δεν είναι τέλεια, και το GDPR το αναγνωρίζει. Αν συμβεί παραβίαση δεδομένων που ενέχει κίνδυνο για τα άτομα, έχετε υποχρέωση να ειδοποιήσετε την Αρχή Προστασίας Δεδομένων (ΑΠΔΠΧ) εντός 72 ωρών από τη στιγμή που θα τη μάθετε. Σε σοβαρές περιπτώσεις, πρέπει να ειδοποιήσετε και τα ίδια τα άτομα.

Αυτές οι 72 ώρες περνούν γρήγορα μέσα στον πανικό ενός περιστατικού. Γι’ αυτό χρειάζεστε ένα γραπτό σχέδιο εκ των προτέρων: ποιος ειδοποιείται, ποιος αποφασίζει, τι καταγράφεται. Η προετοιμασία κάνει τη διαφορά ανάμεσα σε μια διαχειρίσιμη κατάσταση και ένα χάος.

09 Τεκμηρίωση και διακυβέρνηση

Η συμμόρφωση δεν είναι ένα έγγραφο, αλλά μια συνεχής διαδικασία που πρέπει να μπορείτε να αποδείξετε. Τα βασικά που χρειάζεστε: ένα Αρχείο Δραστηριοτήτων Επεξεργασίας (μια λίστα του τι δεδομένα επεξεργάζεστε και γιατί), μια ενημερωμένη και κατανοητή Πολιτική Απορρήτου στην ιστοσελίδα σας, και συμβάσεις επεξεργασίας με τους τρίτους παρόχους σας — cloud, λογιστές, υπηρεσίες IT, email marketing.

Θα πρέπει επίσης να αξιολογήσετε αν χρειάζεστε Υπεύθυνο Προστασίας Δεδομένων (DPO). Δεν τον χρειάζονται όλες οι επιχειρήσεις, αλλά αν η βασική σας δραστηριότητα περιλαμβάνει συστηματική παρακολούθηση ή επεξεργασία ευαίσθητων δεδομένων σε μεγάλη κλίμακα, πιθανότατα ναι.

10 Συνηθισμένες παρανοήσεις

Ας ξεκαθαρίσουμε μερικές. «Το GDPR αφορά μόνο τις μεγάλες εταιρείες» — λάθος, αφορά σχεδόν όλους. «Αρκεί να έχω μια Πολιτική Απορρήτου» — όχι, είναι μόνο ένα κομμάτι. «Η συμμόρφωση γίνεται μία φορά» — όχι, είναι συνεχής. «Αν δεν με ελέγξουν, δεν πειράζει» — πέρα από τα πρόστιμα, μια παραβίαση χωρίς προετοιμασία μπορεί να κοστίσει τη φήμη και την εμπιστοσύνη των πελατών σας.

11 Τα επόμενα βήματά σας

Αν νιώθετε ότι είναι πολλά, μην ανησυχείτε — κανείς δεν τα τακτοποιεί όλα σε μια μέρα. Ξεκινήστε με μια αυτοαξιολόγηση για να δείτε πού βρίσκεστε, και μετά προχωρήστε βήμα-βήμα, δίνοντας προτεραιότητα στα μεγαλύτερα κενά.

Πρακτικά πρώτα βήματα: καταγράψτε τι δεδομένα συλλέγετε και γιατί· ελέγξτε ότι η Πολιτική Απορρήτου σας είναι πλήρης και αληθής· βεβαιωθείτε ότι τα συστήματά σας έχουν βασική ασφάλεια· και φτιάξτε ένα απλό σχέδιο για τα αιτήματα πολιτών και τις παραβιάσεις. Το GDPR δεν είναι εμπόδιο, αλλά ευκαιρία να οργανώσετε σωστά τα δεδομένα σας και να χτίσετε εμπιστοσύνη.