GDPR для самозанятых: данные, обязанности и защита

Соответствие GDPR — это не просто размещение политики конфиденциальности на сайте. Защита данных должна работать в повседневной деятельности: какие данные собираются, для чего, на каком правовом основании, кто имеет доступ, как долго они хранятся, какие поставщики обрабатывают их по вашему поручению и как выполняются права субъектов, удаление, запросы на доступ и действия при инцидентах? Motorica помогает системнее организовать офисные процессы. При необходимости правовую оценку, проверку и конкретные меры следует согласовать с квалифицированным специалистом по защите данных или юристом.

Общий регламент по защите данных — нормативный акт ЕС о защите персональных данных. Он применяется, когда компании, самозанятые или организации обрабатывают такие данные. Персональные данные — любая информация об идентифицированном или идентифицируемом физическом лице: не только имя и адрес, но и электронная почта, телефон, номер клиента, IP-адрес, платежные и геолокационные данные, сведения в счетах и документах.

GDPR защищает персональные данные физических лиц
Он касается клиентов, потенциальных клиентов, сотрудников, соискателей и контактных лиц
Он может касаться также малого бизнеса и индивидуальных предпринимателей
Обработка включает сбор, хранение, использование, передачу, удаление и архивирование
Защиту данных необходимо внедрять в повседневную работу, ПО и процессы
Одной политики конфиденциальности недостаточно

Какие данные относятся к персональным?

Это любая информация, позволяющая прямо или косвенно определить человека. Малый бизнес постоянно создает такие данные в предложениях, счетах, карточках клиентов, расписании, электронной почте, сверке платежей, архиве и контактных формах. Деловые контакты тоже могут быть персональными данными, если относятся к конкретному человеку.

Имя, адрес и контактные данные
Адрес электронной почты и номер телефона
Номер клиента и данные договора
Данные счетов и платежей
IP-адреса и сетевые идентификаторы
Данные сотрудников и соискателей
Данные о местоположении и заданиях
Заметки о клиентах, контактах или операциях
Документы с личной информацией

Каждую обработку определяют принципы GDPR. Данные нельзя собирать произвольно или хранить бессрочно. Их следует обрабатывать законно, добросовестно и прозрачно, для определенных целей, точно, с надлежащей защитой и лишь столько, сколько необходимо либо предписано законом. Самозанятым следует собирать только нужные данные, не использовать их ненадлежащим образом для иных целей и тщательно ограничивать доступ.

Законность: для каждой обработки нужно правовое основание
Прозрачность: субъекты должны получать ясную информацию
Ограничение цели: используйте данные только для заявленных целей
Минимизация: собирайте только необходимые данные
Точность: поддерживайте актуальность и правильность данных
Ограничение хранения: не храните данные дольше необходимого
Целостность и конфиденциальность: защищайте данные технически и организационно
Подотчетность: документируйте решения так, чтобы их можно было проследить

Правовые основания: когда можно обрабатывать данные?

Персональные данные можно обрабатывать только при наличии подходящего правового основания. Для малого бизнеса особенно важны исполнение договора, преддоговорные меры, юридические обязанности, законный интерес и согласие. Основание нельзя подбирать задним числом: оно должно соответствовать реальной цели и быть документировано.

Исполнение договора, например предложения, заказы, счета и услуги
Преддоговорные меры, например запрос или подготовка предложения
Юридическая обязанность, например налоговое хранение счетов и документов
Законный интерес, например некоторые внутренние административные процессы
Согласие, например добровольная рассылка или отдельные маркетинговые действия
Жизненно важные интересы и публичные задачи реже встречаются в обычном бизнесе
Всегда выбирайте основание, соответствующее цели

Политика конфиденциальности: что нужно ясно объяснить?

Она должна сообщать, какие персональные данные, в каких целях, на каком основании, кем и как долго обрабатываются и какие права есть у людей. На сайте это могут быть контактные формы, журналы сервера, файлы cookie, аналитика, встроенный контент, рассылки, запись на прием или платежи. Политика должна соответствовать реальному сайту и используемым услугам.

Имя и контакты контролера
Цели обработки
Правовые основания обработки
Категории обрабатываемых данных
Получатели или их категории
Срок хранения или критерии его определения
Права субъектов данных
Право подать жалобу надзорному органу
Информация о cookie, отслеживании и внешних сервисах
Информация о передаче в третьи страны, если применимо

Договор обработки: правильно классифицируйте обработку по поручению

Обработка по поручению возникает, когда поставщик обрабатывает персональные данные для вашей компании по вашим указаниям. Типичные примеры: хостинг, облачное ПО, рассылки, системы поддержки, внешние ИТ-службы и некоторые бухгалтерские или офисные программы. Как правило, нужен договор обработки, регулирующий предмет, срок, характер и цель, категории данных и субъектов, инструкции, субобработчиков и технические и организационные меры.

Проверьте, какие поставщики обрабатывают персональные данные
Заключите договоры с обработчиками
Документируйте субобработчиков и субподрядчиков
Проверяйте технические и организационные меры
Четко регулируйте инструкции и доступ поддержки
Предусмотрите удаление или возврат данных после договора
Не путайте договор обработки с общими условиями
Иначе оценивайте контролеров и совместных контролеров

Технические и организационные меры

Они служат надлежащей защите персональных данных и не ограничиваются шифрованием: важны права доступа, пароли, резервные копии, журналы, роли, устройства, обучение, удаление и аварийные процедуры. Меры должны соответствовать риску. Клининговой компании нужны иные меры, чем медицинской организации, но обе обязаны защищать данные.

Используйте надежные пароли и двухфакторную аутентификацию
Назначайте права доступа по ролям
Предоставляйте доступ к данным клиентов только тем, кому он нужен
Настройте и проверяйте регулярное резервное копирование
Обновляйте устройства, браузеры и программы
Шифруйте передачу данных
Документируйте и ограничивайте доступ поддержки
Безопасно храните или уничтожайте бумажные документы
Определите процедуры удаления и блокирования
Повышайте осведомленность сотрудников о защите данных

Реестр операций обработки

Реестр документирует, какие персональные данные обрабатывает компания. Это не маркетинговый документ, а внутренний обзор защиты данных. Он должен наглядно показывать процессы, цели и правовые основания, субъектов, категории данных, получателей, сроки хранения и меры защиты.

Управление клиентами
Предложения и счета
Хранение чеков и документов
Сверка платежей
Управление персоналом
Заявки соискателей
Контактная форма и сайт
Рассылка или маркетинг
Поддержка и общение с клиентами
Налоговое консультирование и бухгалтерия

Права субъектов: доступ, удаление и возражение

Люди, чьи данные обрабатываются, имеют права на доступ, исправление, удаление, ограничение обработки, переносимость и возражение. Для компании это означает, что запросы нельзя оставлять без порядка. Нужен процесс правильной проверки личности, сроков, затронутых данных, исключений и ответа.

Доступ к обрабатываемым персональным данным
Исправление неверных данных
Удаление при отсутствии обязанности или основания для хранения
Ограничение обработки
Переносимость данных в подходящих случаях
Возражение против определенной обработки
Отзыв согласия на будущее
Право жалобы надзорному органу
Документируйте ответы и соблюдайте сроки

Удаление и хранение: не всё можно удалить сразу

Защита данных не означает немедленного удаления всего. Некоторые данные удаляются после прекращения цели и правового основания, другие необходимо хранить дольше из-за налоговых, торговых или договорных обязанностей. Поэтому каждой компании нужна политика, различающая активное использование, блокирование, архивирование и окончательное удаление.

Проверяйте цель хранения
Соблюдайте установленные законом сроки
Не удаляйте счета и бухгалтерские документы преждевременно
Не храните данные соискателей бессрочно
После отзыва согласия правильно обработайте данные рассылки
Проверяйте учетные записи клиентов после окончания договора
Защищайте архив от несанкционированного доступа
Документируйте удаление и блокирование
Планируйте регулярное удаление

Нарушение защиты данных: что важно при инциденте

Нарушение возможно при утрате, случайном раскрытии, несанкционированном доступе, изменении или удалении данных. Примеры: письмо не тому адресату, потерянное устройство, открытая облачная папка, взломанная учетная запись или чужой доступ. Если нарушение подлежит уведомлению, надзорный орган в общем случае информируют без неоправданной задержки и, если возможно, в течение 72 часов. Поэтому важен ясный аварийный порядок.

Немедленно документируйте инцидент
Оцените затронутые данные и людей
Оцените риск для этих людей
Защитите доступ и устраните причину
Привлеките поставщиков или обработчиков
Проверьте необходимость уведомления надзорного органа
Проверьте необходимость уведомления затронутых лиц
Документируйте меры и решения так, чтобы их можно было проследить
Надежно устраните уязвимость

Специалист по защите данных: когда он нужен?

Не каждой малой компании автоматически нужен такой специалист. В Германии один из важных порогов для непубличных организаций — как правило, не менее 20 человек, постоянно занимающихся автоматизированной обработкой персональных данных. Назначение может потребоваться и по иным причинам, например при определенной обработке высокого риска или особой основной деятельности. При сомнении обратитесь за профессиональной оценкой.

Проверьте число людей, постоянно выполняющих автоматизированную обработку
Оцените характер и риск обработки
Особенно тщательно проверяйте специальные категории данных
Оценка воздействия может создать дополнительные обязанности
Внешний специалист может быть практичнее для малого бизнеса
Не путайте назначение с общей организацией защиты данных
Компания остается ответственной и без такого специалиста

Защита данных должна работать на практике. Юридически безупречные документы мало помогут, если данные клиентов находятся в личных чатах, беспорядочных папках или старых таблицах. Лучше устойчивый процесс: собирайте данные только при необходимости, ограничивайте доступ, системно храните документы, учитывайте поставщиков, соблюдайте сроки и не распространяйте чувствительные сведения без нужды.

Не организуйте данные клиентов в личных чатах
Храните счета и документы централизованно
Ограничивайте доступ к данным клиентов
Обрабатывайте данные сотрудников отдельно и конфиденциально
Регулярно проверяйте старые экспортированные файлы
Не пересылайте документы по электронной почте без необходимости
Проверяйте облачных и программных поставщиков с точки зрения защиты данных
Применяйте правила удаления и архивирования ежедневно

Многие проблемы возникают не из-за злого умысла, а из-за отсутствия структуры. Малые компании одновременно используют несколько инструментов, мессенджеры, почтовые ящики, локальные файлы и облако. Становится неясно, где находятся данные клиентов, кто имеет доступ и когда их удалять. Надежный процесс полезнее однажды скачанного шаблона.

Нет подходящей политики конфиденциальности на сайте
Контактные формы без ясной информации
Нет договоров обработки с поставщиками
Данные клиентов хранятся на личных устройствах или в чатах
Слишком много людей имеет доступ к чувствительным данным
Не установлены сроки удаления
Резервные копии и экспорт не контролируются
Запросы субъектов не документируются
Нарушения не сообщаются внутри компании
Защита данных считается только вопросом сайта

Motorica не заменяет консультацию по защите данных и не гарантирует соответствие GDPR в конкретном случае. Однако она помогает системнее обрабатывать персональные данные в офисе. Данные клиентов, счета, документы, задачи и платежная информация собраны в одном месте. Процессы легче проследить, доступ — организовать, а записи — найти для налогового консультанта, проверки защиты данных или внутреннего контроля.

Управляйте данными клиентов более централизованно
Системно храните счета и документы
Учитывайте модели доступа и ролей в офисных процессах
Организуйте задачи и сроки так, чтобы их можно было проследить
Используйте MIRA для более ясной классификации официальных писем и документов
Системно готовьте данные для налоговых консультантов и администрации
Сократите неконтролируемое хранение в почте, бумагах и мессенджерах
Следите за договорами обработки, техническими и организационными мерами и политикой удаления

FAQ

Частые вопросы о GDPR

Применяется ли GDPR к самозанятым?

Да. Он может применяться, как только самозанятый обрабатывает персональные данные: данные клиентов, счета, электронную почту, формы, платежные данные, сведения о сотрудниках или цифровые документы.

Что такое персональные данные?

Это информация об идентифицированном или идентифицируемом физическом лице, включая имена, адреса, электронную почту, телефоны, номера клиентов, IP-адреса, платежные данные и сведения в документах.

Достаточно ли политики конфиденциальности для соответствия GDPR?

Нет. Она важна, но защита должна действовать и в реальных процессах: правовые основания, договоры обработки, защита доступа, политика удаления, права субъектов, документация и подходящие меры.

Когда нужен договор обработки данных?

Обычно когда поставщик по вашим указаниям обрабатывает данные для компании. Типичные примеры — хостинг, облако, рассылки, внешние ИТ, поддержка и некоторые офисные или бухгалтерские программы.

Что такое технические и организационные меры?

Это защита, например контроль доступа, пароли, двухфакторная аутентификация, шифрование, резервные копии, ролевые права, журналы, обучение и безопасное удаление.

Нужно ли вести реестр операций обработки?

Многие компании обязаны документировать обработку. Реестр показывает данные, цель и правовое основание, получателей и меры защиты.

Когда нужен специалист по защите данных?

В Германии его, помимо прочего, обычно назначают, если не менее 20 человек постоянно занимаются автоматизированной обработкой персональных данных. Возможны и другие причины, включая определенную обработку высокого риска.

Что делать при нарушении защиты данных?

Немедленно документируйте инцидент, оцените риск, устраните причину и проверьте, нужно ли уведомить орган или людей. Для нарушений, подлежащих уведомлению, общий срок, если возможно, составляет 72 часа.

Можно ли бессрочно хранить данные клиентов?

Нет. Только пока этого требует цель или юридическая обязанность. Поэтому каждой компании нужна политика удаления и хранения.

Помогает ли Motorica работать с учетом GDPR?

Да. Motorica помогает системнее организовать данные клиентов, счета, документы, задачи и сроки. Она не заменяет консультацию и не гарантирует соответствие в конкретном случае.

Является ли MIRA сервисом консультаций по защите данных?

Нет. MIRA может понятнее объяснять документы и выделять организационную информацию. Правовая оценка, концепции защиты, проверка договоров и обязательная консультация относятся к компетенции квалифицированных специалистов.

GDPR для самозанятых: данные клиентов, правовые основания и обязанности

Что такое GDPR?