Съответствие с GDPR за компании от САЩ и извън Европа: Практическо ръководство

Много компании в САЩ приемат, че Общият регламент относно защитата на данните (GDPR) е релевантен само за фирми, базирани в Европа. Това предположение е рисково. Ако вашият бизнес предлага стоки или услуги на хора в Европейския съюз, следи тяхното поведение или обработва личните им данни във връзка с тези дейности, GDPR може да се прилага дори когато дружеството ви е учредено и се управлява в САЩ.

За основатели, стартиращи компании и развиващи се малки бизнеси въпросът не е само правен. GDPR може да повлияе на начина, по който събирате имейл адреси, провеждате рекламни кампании, използвате бисквитки, съхранявате клиентски записи, обработвате плащания, управлявате изпълнители и реагирате при инциденти със сигурността. Ако дружеството ви е регистрирано в САЩ и обслужва международна аудитория, съответствието с изискванията за поверителност трябва да бъде част от оперативния ви модел още от самото начало.

Това ръководство обяснява какво е GDPR, защо компании извън Европа може да трябва да го спазват, какви данни обхваща и какви практически стъпки могат да помогнат за намаляване на риска.

Какво представлява GDPR

GDPR е законът на Европейския съюз за защита на данните. Той е създаден, за да даде на физическите лица повече контрол върху това как техните лични данни се събират, използват, споделят, съхраняват и изтриват.

Законът има широк обхват. Той се прилага за много различни дейности по обработване на данни, включително:

• Събиране на информация за контакт чрез формуляри
• Провеждане на имейл маркетингови кампании
• Проследяване на посетители на уебсайт чрез бисквитки или аналитични инструменти
• Съхраняване на клиентски или служебни записи
• Споделяне на данни с доставчици, платформи или доставчици на услуги
• Обработване на данни за плащания и абонаменти
• Използване на автоматизирани системи за профилиране или сегментиране на потребители

GDPR също така създава задължения, свързани с прозрачност, сигурност, права на субектите на данни, реакция при нарушения и отчетност. На практика това означава, че на бизнеса му е нужно повече от политика за поверителност. Нужни са реални процеси.

Защо компании от САЩ могат да попаднат в обхвата му

GDPR не е ограничен до компании, които физически се намират в ЕС. Законът може да се прилага за организации извън Европа, когато те правят едно от следните неща:

• Предлагат стоки или услуги на хора в ЕС
• Следят поведението на хора в ЕС, включително чрез технологии за проследяване или поведенчески анализ

Това означава, че стартираща компания от САЩ, онлайн магазин, SaaS компания, консултант, разработчик на приложения или бранд за електронна търговия може да попадне в обхвата на GDPR, дори ако всички собственици, служители и сървъри са в САЩ.

Примери:

• Корпорация в Делауеър, която продава дигитални продукти на клиенти във Франция или Германия
• LLC в Тексас, която пуска платени реклами, насочени към жители на ЕС
• Стартираща компания в Калифорния, която използва аналитика и бисквитки, за да анализира посетители от ЕС
• Консултантска фирма в Ню Йорк, която събира запитвания от потенциални клиенти, базирани в ЕС

Ако бизнесът ви има целенасочена връзка с хора в ЕС, трябва да прецените дали GDPR се прилага.

Какво се счита за лични данни

GDPR дефинира личните данни широко. Те не се ограничават до очевидни идентификатори като име или номер на личен документ. Законът може да обхване всяка информация, свързана с идентифицируемо лице.

Често срещани примери включват:

• Име
• Имейл адрес
• Пощенски адрес
• Телефонен номер
• IP адрес
• Идентификатори на устройство
• Данни за местоположение
• Идентификатори на бисквитки
• Данни за плащане
• Данни за достъп до акаунт
• Трудови досиета
• Здравна информация
• Поведенчески данни, свързани с IP адрес

Една информация не трябва сама по себе си да идентифицира човек, за да бъде лични данни. Ако може разумно да бъде свързана с конкретно лице, тя може да попадне в обхвата на GDPR.

Това широко определение е една от причините много бизнеси да подценяват закона. Един обикновен формуляр за записване за бюлетин, клиентски портал или уеб аналитичен инструмент може да породи задължения, ако включва жители на ЕС.

Защо „Ние сме базирани в САЩ“ не е надежден аргумент

Някои компании предполагат, че щом са учредени по законите на щат в САЩ, GDPR не ги обхваща. Това не е начинът, по който работи регламентът.

GDPR се фокусира върху дейността, лицето, чиито данни се обработват, и връзката с ЕС. Мястото, където е учредена компанията ви, е много по-малко важно от това какво реално прави тя.

Ако бизнесът ви обработва лични данни на жители на ЕС по начин, който е обхванат от GDPR, може да се наложи да спазвате закона независимо дали сте:

• Корпорация, учредена в Делауеър, Уайоминг, Флорида или който и да е друг щат
• Еднолично LLC
• Стартираща компания, финансирана със собствени средства
• Отдалечена компания без физически офис извън САЩ

Това е една от причините основателите да мислят за съответствието отрано при създаване на ново дружество. Учредяването е само началото. Операциите на компанията, доставчиците, договорите и потоците от клиенти също имат значение.

Основните принципи на GDPR, които бизнесите трябва да познават

GDPR е изграден върху основни принципи, които оформят ежедневното съответствие. Най-важните за малките бизнеси са:

Законосъобразност, добросъвестност и прозрачност

Трябва да имате валидно правно основание за обработване на лични данни и да обяснявате ясно какво правите.

Ограничение на целта

Използвайте личните данни само за конкретната цел, която сте посочили. Не събирайте данни за една причина и после не ги използвайте повторно за несвързана цел без надлежно уведомление и правно основание.

Минимизиране на данните

Събирайте само данните, от които действително се нуждаете. Повече данни означава по-голям риск.

Точност

Поддържайте личните данни точни и актуализирайте записите, когато е необходимо.

Ограничение на съхранението

Не пазете лични данни завинаги само защото можете. Съхранявайте ги само толкова дълго, колкото е необходимо за посочената цел.

Цялост и конфиденциалност

Защитете личните данни с разумни технически и организационни мерки за сигурност.

Отчетност

Бъдете в състояние да покажете, че спазвате изискванията. Политиките са важни, но също толкова важни са записите, договорите и вътрешните процедури.

Правни основания за обработване на данни

Съгласно GDPR компаниите обикновено се нуждаят от законно основание за обработване на лични данни. Често срещани основания са:

• Съгласие
• Изпълнение на договор
• Правно задължение
• Защита на жизненоважни интереси
• Изпълнение на задача от обществен интерес
• Легитимен интерес

За много компании в САЩ най-често използваните основания са съгласие, изпълнение на договор и легитимен интерес.

Важното е, че съгласието не винаги е задължително, но когато се използва, то трябва да бъде информирано, конкретно, дадено свободно и лесно оттегляемо. Предварително отметнати полета или неясни, общи разрешения обикновено не са достатъчни.

Чести фактори, които засягат малките бизнеси

Може да е необходимо да прегледате задълженията си по GDPR, ако бизнесът ви прави някое от следните неща:

• Продава на клиенти в ЕС
• Предлага уебсайт, който активно се насочва към жители на ЕС
• Използва ретаргетиране или поведенческа реклама
• Използва бисквитки, пиксели или аналитични инструменти, които проследяват посетители
• Изпраща промоционални имейли до контакти в ЕС
• Съхранява профили на клиентски акаунти
• Използва платформи за плащания, CRM системи или софтуер за клиентска поддръжка на трети страни, които обработват данни от ЕС
• Събира кандидатури за работа от кандидати в ЕС

Дори бизнесът ви да е малък, наличието на клиенти или потребители в ЕС може да създаде задължения.

Защо блокирането по IP адрес не е надеждна стратегия

Някои компании се опитват да избегнат GDPR, като блокират посетители от ЕС или изискват от тях да отметнат декларация, че не се намират в ЕС. Тези решения са ненадеждни.

IP геолокацията не е прецизна. VPN, мобилни оператори, споделени мрежи и пътувания могат да скрият реалното местоположение на потребителя. Поле във формуляр или отметка също не решава основния въпрос дали бизнесът ви наистина предлага услуги на хора в ЕС или следи тяхното поведение.

Ако компанията ви иска да избегне излагане на риск по GDPR, единственият устойчив подход е да проектира бизнес модела и практиките на сайта си съобразно това. В много случаи по-добрият отговор е да се съобразите с регламента.

Практически стъпки за по-добра готовност за GDPR

Един малък бизнес не се нуждае от огромен правен отдел, за да стане по-готов за GDPR. Но е нужна структурирана стратегия.

1. Картирайте данните си

Определете какви лични данни събирате, откъде идват, къде отиват, кой има достъп до тях и колко дълго ги съхранявате.

2. Намалете ненужното събиране

Ако не ви е необходимо поле във формуляр, премахнете го. Ако инструмент на доставчик събира данни, които никога не използвате, преразгледайте го.

3. Актуализирайте известието си за поверителност

Вашето известие за поверителност трябва ясно да обяснява:

• Какви данни събирате
• Защо ги събирате
• Правното основание за обработване
• Дали споделяте данни с трети страни
• Колко дълго съхранявате данните
• Какви права имат потребителите
• Как потребителите могат да се свържат с вас

4. Прегледайте бисквитките и инструментите за проследяване

Ако използвате аналитика, рекламни пиксели, инструменти за ретаргетиране или софтуер за запис на сесии, определете дали се изисква съгласие или други уведомления.

5. Сключете договори с доставчици

Ако доставчици на услуги обработват лични данни от ваше име, ви трябват договори, които ясно разпределят отговорностите. Това е особено важно за хостинг, payroll, CRM, имейл маркетинг и платформи за обслужване на клиенти.

6. Създайте процес за искания от субекти на данни

Физическите лица в ЕС може да имат право да получат достъп, корекция, изтриване или ограничаване на използването на личните им данни. Трябва да знаете как исканията ще се получават, проверяват, проследяват и отговарят.

7. Подгответе се за инциденти

Имайте план за реакция при инциденти със сигурността. GDPR може да изисква бързо уведомяване в определени сценарии на нарушение, така че трябва да знаете кой е отговорен, какво се документира и кога е нужен правен преглед.

8. Обучете екипа си

Всеки, който работи с клиентски данни, трябва да разбира основните изисквания за поверителност и сигурност. Политиката е полезна само ако хората я спазват.

Сигурността на данните е важна

Сигурността не е само ИТ въпрос. Съгласно GDPR личните данни трябва да бъдат защитени срещу неоторизиран достъп, разкриване, промяна и загуба.

Добрите базови контроли често включват:

• Силни пароли и многофакторно удостоверяване
• Контрол на достъпа според ролята
• Шифроване при пренос и при съхранение, когато е уместно
• Проверка на доставчиците
• Редовни актуализации на софтуера и пачове
• Резервни копия и процедури за възстановяване
• Логване на достъпа до чувствителни системи
• Сигурно унищожаване на остарели записи

Малките бизнеси не трябва да усложняват нещата излишно, но трябва да могат да обяснят решенията си и да покажат, че са предприели разумни мерки.

Специално внимание за стартъпи и нови компании

Ако създавате бизнес сега, съответствието с изискванията за поверителност трябва да бъде част от вашия стартов контролен списък. Това е особено вярно, ако очаквате да обслужвате клиенти извън САЩ.

Когато основателите учредяват компания, те вече вземат решения за типа дружество, собствеността, услугите на регистриран агент, устава/operating agreement, банковите отношения и данъчната регистрация. Разумно е също така да помислите за:

• Какви данни ще събира бизнесът
• Кои доставчици ще обработват тези данни
• Кои клиентски пазари ще таргетира бизнесът
• Дали бизнесът ще има посетители или клиенти от ЕС
• Какви вътрешни политики трябва да съществуват преди старта

Zenind подкрепя предприемачите в процеса по учредяване на компания, а готовността за поверителност се вписва в същия дисциплиниран подход: изградете бизнеса правилно от самото начало, така че бъдещият растеж да не създава избежим риск.

Кога да потърсите правна помощ

GDPR е детайлен и много бизнеси се нуждаят от правна помощ, за да оценят конкретните си задължения. Помислете за професионално съдействие, ако:

• Компанията ви има клиенти или потребители в ЕС
• Събирате чувствителни лични данни
• Разчитате силно на реклама, проследяване или профилиране
• Обработвате данни в голям мащаб
• Не сте сигурни кое правно основание е приложимо
• Трябва да изготвите или прегледате договори с доставчици
• Получили сте искане от жител на ЕС или регулаторен орган

Тази статия е практичен обзор, а не правен съвет. За реална оценка на съответствието работете с квалифициран юрист или специалист по поверителност.

Основни изводи

• GDPR може да се прилага за компании от САЩ и други извън европейски държави.
• Законът се фокусира върху това как обработвате лични данни, а не само върху това къде е учредена компанията ви.
• Личните данни се дефинират широко и могат да включват IP адреси, бисквитки и поведенчески идентификатори.
• Малките бизнеси трябва да картографират потоците от данни, да актуализират известията си, да контролират доставчиците и да се подготвят за искания на потребителите.
• Ако компанията ви обслужва клиенти в ЕС или проследява посетители от ЕС, GDPR трябва да бъде част от оперативния ви план.

Заключение

За компаниите в САЩ GDPR не е далечен европейски въпрос. Това е практически въпрос за съответствие, който може да повлияе на работата на вашия уебсайт, на структурата на договорите ви, на маркетинга и на начина, по който защитавате данните си.

Компаниите, които се справят най-добре с GDPR, не са тези, които го игнорират. Това са тези, които го идентифицират рано, събират по-малко данни, въвеждат ясни правила и изграждат съответствието в работния си процес от самото начало. Ако бизнесът ви тепърва се учредява или се подготвя да се разшири международно, това е подходящият момент да се организирате.