GDPR pentru Firme Mici: Minimul pe Care Trebuie să-l Faci

GDPR pe scurt, pentru o firmă mică

GDPR este regulamentul european care reglementează cum colectezi, folosești și păstrezi datele personale — adică orice informație despre o persoană identificabilă: nume, e-mail, telefon, CNP, adresă. Orice firmă care are clienți, furnizori persoane fizice sau angajați prelucrează date personale, deci GDPR o privește. Vestea bună: pentru o firmă mică, „conformitatea" înseamnă câțiva pași de bun-simț, nu un teanc de proceduri.

1. Temeiul prelucrării: de ce ai voie să folosești datele

Nu poți colecta date „așa, pentru orice eventualitate". Ai nevoie de un temei legal. Cele mai comune pentru o firmă mică:

• Executarea unui contract — ai nevoie de datele clientului ca să-i emiți factura sau să livrezi serviciul;
• Obligație legală — păstrezi datele de facturare pentru că legea te obligă;
• Consimțământ — pentru lucruri opționale, ca newsletterul de marketing.

Ideea: pentru relația comercială normală (contract, factură) ai deja temei — nu-ți trebuie consimțământ separat. Consimțământul e necesar mai ales pentru marketing.

2. Informarea: spune-le oamenilor ce faci cu datele

Trebuie să ai o notă/politică de confidențialitate accesibilă (de obicei pe site) în care explici, simplu: ce date colectezi, de ce, cât le păstrezi, cu cine le împarți (contabil, curier, procesator de plăți) și ce drepturi are persoana. Nu trebuie să fie un roman juridic — trebuie să fie clară și adevărată.

3. Securitatea: protejează ce ai colectat

Nu e nevoie de un departament IT, dar de măsuri rezonabile:

• Parole puternice și acces limitat la datele clienților;
• Nu ține baze cu date personale în Excel-uri trimise pe e-mail în stânga și-n dreapta;
• Folosește aplicații care păstrează datele în siguranță, cu acces pe cont;
• Șterge sau anonimizează datele de care nu mai ai nevoie.

Un CRM care ține clienții, contractele și corespondența într-un singur loc, cu acces pe utilizator, e mult mai sigur decât zece fișiere răzlețe pe laptopuri diferite.

4. Drepturile persoanelor

Clienții au dreptul să ceară ce date ai despre ei, să le corecteze, iar în anumite condiții să le șteargă. Pentru o firmă mică, asta înseamnă practic: dacă cineva îți cere „ce date aveți despre mine" sau „ștergeți-mă", trebuie să poți răspunde într-un termen rezonabil. Dacă datele sunt organizate (nu împrăștiate), răspunzi în câteva minute.

5. Ce faci în caz de incident

Dacă ai o scurgere de date (un laptop furat cu baza de clienți, un cont spart), GDPR cere ca, în anumite cazuri, să notifici autoritatea (ANSPDCP) într-un termen scurt și, uneori, să informezi persoanele afectate. De aceea prevenția (securitatea de la punctul 3) contează dublu.

Concluzie

Pentru o firmă mică, GDPR se rezumă la: colectează doar ce-ți trebuie și pe temei legal, spune oamenilor ce faci cu datele, ține-le în siguranță și fii pregătit să răspunzi la cererile lor. Nu e despre hârtii, e despre a trata datele clienților cu grijă. Un sistem ordonat, cu acces controlat, îți rezolvă cea mai mare parte a obligațiilor de la sine. Pentru situații complexe, consultă un specialist în protecția datelor.