Hvem påvirker GDPR?
EU GDPR gælder ikke kun organisationer i Europa, men enhver organisation, der behandler og opbevarer persondata for enkeltpersoner i Den Europæiske Union samt EU-borgere, der bor i udlandet. Med andre ord, hvis du planlægger at have kunder fra Europa, skal du være opmærksom.
Hvad sker der, hvis du ikke overholder reglerne?
GDPR håndhæves fra den 25. maj 2018. Bøder for manglende overholdelse er betydelige.
- Bøder kan vurderes op til 4 % af den årlige globale omsætning eller 20 millioner euro, alt efter hvad der er størst.
- Enkeltpersoner har ret til at søge erstatning for skader, herunder tab af kontrol over persondata eller begrænsning af rettigheder, diskrimination, økonomisk tab, skade på omdømme eller tab af fortrolighed af persondata beskyttet af professionel hemmeligholdelse.
- Enkeltpersoner kan vælge at søge handling mod enten dataansvarlig, behandler eller begge, og muligvis enhver i forsyningskæden.
Hvad er dine muligheder?
Hvis du ejer eller driver en ecommerce-virksomhed, er dine muligheder utilstrækkelige. Der er reelt kun to muligheder.
Mulighed 1 - Omfavn det (God idé!)
En ven fortalte mig engang: „Hvis du ikke ved, hvilken retning du går, er du allerede faret vild.“ Det tror jeg især gælder for EU GDPR. Der er meget at lære, og endnu mere skal afklares. Men EU GDPR-beredskab begynder med en beslutning om at overholde reglerne. Vurder din situation og identificer områder, hvor du ikke er compliant. Du kan derefter etablere en strategi for at minimere dit ansvar.
Mulighed 2 - Sælg ikke til Europa eller deres borgere (Dårlig idé!)
Hvis du ikke ønsker at overholde EU GDPR, anbefaler vi stærkt, at du ikke planlægger at drive forretning med nogen fra Europa. Husk, at disse europæiske enkeltpersoner kan bo i udlandet. At begrænse din ecommerce-virksomhed til U.S.-grænser sikrer ikke din overholdelse. Risikoen ved manglende overholdelse er betydelig og kan beskrives som „under trussel om bøde.“ Manglende overholdelse er en mulighed, men det anbefales ikke.
5 nøgleområder i forordningen
EU GDPR-beredskab involverer at blive fortrolig med fem nøgleområder i forordningen — samtykke, individuelle rettigheder, politikker og ansvarlighed.
1. Legitim interesse
Artikel 6 i GDPR-forordningen fastslår, at en dataindsamler kun lovligt må behandle data, hvis den blandt andet har legitim interesse eller samtykke. At afgøre, om du har en legitim interesse, kræver en „nøje vurdering“ af forventningerne og konteksten for de data, du indsamler.
Det er fristende at bruge en bred fortolkning af legitim interesse for at undgå behovet for samtykke. Vi fraråder at bruge en åben fortolkning af legitim interesse som måde at retfærdiggøre dataindsamling. GDPR giver nogle eksempler, såsom behandling af persondata for at forhindre svindel, interne administrative formål relateret til medarbejdere og klienter, sikring af netværkssikkerhed og rapportering af mulige kriminelle handlinger eller trusler mod offentlig sikkerhed.
Der er stadig et gråt område omkring legitim interesse, og definitionen vil blive tydeligere over tid. Den kortsigtede anbefaling er at vænne sig til at spørge: „Kan det samme mål opnås uden at behandle persondata?“ Hvis svaret er ja, er bedste praksis at bevæge sig væk fra legitim interesse som grundlag for databehandling; du bør indhente samtykke.
2. Samtykke
Der er ikke længere passivt samtykke. Du skal angive, hvad du vil bruge dataene til. Her er to eksempler på, hvordan man anmoder om samtykke.
3. Individuelle rettigheder
Under GDPR har den enkelte ret til at blive glemt. For eksempel, hvis de har givet samtykke til brug af data til marketingformål, har de ret til at bede dig om at „glemme dem“. Nye rettigheder er introduceret omkring emneadgang, indsigelse mod behandling, dataportabilitet og indsigelse mod profilering, blandt andre.
4. Politikker
Artikel 13 i forordningen giver 12 nøgleområder, som du skal informere din forbruger om på klart sprog, ikke juridisk jargon. Udvikl en standard privatlivspolitik, der informerer dine kunder om, hvordan du håndterer deres data.
Det er påkrævet at have en udpeget kontaktperson samt kontaktoplysninger for din organisation i privatlivspolitikken.
5. Ansvarlighed
Uddan dine medarbejdere og giv værktøjerne til at drive ansvarlighed gennem hele din virksomhed — ikke kun for denne forordning, men for alle persondata, du modtager. Databeskyttelse er hele organisationens ansvar. Enhver, der kommer i kontakt med data, skal være opmærksom på konsekvenserne og bøderne for manglende overholdelse.
Zonos, lederen inden for grænseoverskridende ecommerce-teknologi, vil fortsat tage lead og guide handlende gennem udfordringen med at sælge deres produkter til verden. Vi vil fortsat levere FAQ'er og dokumentere eksempler, der viser interne privatlivspolitikker og processer, som du kan adoptere. Vi deler interne træningsdokumenter, som du kan bruge med dit team. Zonos tager databeskyttelse alvorligt og er forpligtet til EU GDPR-beredskab. Flere detaljer kommer løbende.
Hvorfor bør du bekymre dig om GDPR?
Overalt i ecommerce ser du nogen diskutere EU GDPR eller European Union General Data Protection Regulation. Der er en række informationer, fra tekniske artikler til spekulation på sociale medier. Vi vil alle vide, hvordan det vil påvirke os. Hvilke ændringer, hvis nogen, skal jeg foretage? Hvad betyder det egentlig?
I denne artikel tager vi et hurtigt kig på EU GDPR — hvad det er, hvordan vi kan forberede os, og hvordan det kan påvirke en online virksomhed.