Vem påverkas av GDPR?
EU GDPR gäller inte bara för organisationer i Europa utan även för alla organisationer som kommer att behandla och lagra personuppgifter för individer i Europeiska unionen samt EU-medborgare som bor utomlands. Med andra ord, om du planerar att ha kunder från Europa, måste du vara uppmärksam.
Vad händer om du inte följer reglerna?
GDPR kommer att träda i kraft den 25 maj 2018. Påföljder för bristande efterlevnad är betydande.
- Böter kan uppgå till 4% av den årliga globala omsättningen eller 20 miljoner euro, beroende på vilket som är högst.
- Individer har rätt att söka ersättning för skador, inklusive förlust av kontroll över personuppgifter eller begränsning av rättigheter, diskriminering, ekonomisk förlust, skada på rykte eller förlust av konfidentialitet för personuppgifter skyddade av yrkeshemlighet.
- Individer kan välja att vidta åtgärder mot antingen datakontrollanten, databehandlaren eller båda, och eventuellt mot alla i leveranskedjan.
Vad har du för alternativ?
Om du äger eller driver ett e-handelsföretag är dina alternativ otillräckliga. Det finns egentligen bara två alternativ.
Alternativ 1 - Acceptera det (Bra idé!)
En vän sa en gång till mig: “om du inte vet vilken riktning du går, är du redan vilse.” Jag tycker att detta är särskilt sant med EU GDPR. Det finns mycket att lära och ännu mer som behöver klargöras. Men att uppnå EU GDPR-beredskap börjar med ett beslut att följa reglerna. Bedöm din situation och identifiera områden där du inte följer reglerna. Du kan sedan etablera en strategi för att minimera din ansvarighet.
Alternativ 2 - Sälj inte till Europa eller deras medborgare (Dålig idé!)
Om du inte vill följa EU GDPR, rekommenderar vi starkt att du inte planerar att göra affärer med någon från Europa. Kom ihåg att dessa europeiska individer kan bo utomlands. Att begränsa ditt e-handelsföretag till USA:s gränser garanterar inte din efterlevnad. Risken för bristande efterlevnad är betydande och kan beskrivas som “under smärta av straff.” Bristande efterlevnad är ett alternativ, men det rekommenderas inte.
5 nyckelområden i förordningen
EU GDPR-beredskap innebär att bli bekant med fem nyckelområden i förordningen - samtycke, individuella rättigheter, policyer och ansvar.
1. Legitima intressen
Artikel 6 i GDPR-förordningen anger att en datainsamlare endast får behandla data lagligt om, bland annat, den har legitima intressen eller samtycke. Att avgöra om du har ett legitimt intresse kräver en “noggrann bedömning” av förväntningarna och kontexten för de data du samlar in.
Det är frestande att använda en bred tolkning av legitima intressen för att övervinna behovet av samtycke. Vi avråder från att använda en öppen tolkning av legitima intressen som ett sätt att rättfärdiga insamling av data. GDPR ger några exempel, såsom att behandla personuppgifter för att förhindra bedrägeri, interna administrativa syften relaterade till anställda och kunder, säkerställa nätverkssäkerhet och rapportera möjliga brott eller hot mot den offentliga säkerheten.
Det finns fortfarande ett gråområde kring legitima intressen och definitionen kommer att bli mer tydlig över tid. Den kortsiktiga rekommendationen är att vänja dig vid att fråga: “kan samma mål uppnås utan att behandla personuppgifter?” Om svaret är ja, är den bästa metoden att avstå från legitima intressen som grund för databehandling; du bör erhålla samtycke.
2. Samtycke
Det finns inte längre något passivt samtycke. Du måste ange vad du kommer att använda data till. Här är två exempel på hur man begär samtycke.
3. Individuella rättigheter
Under GDPR har individen rätt att bli glömd. Till exempel, om de har samtyckt till användningen av data för marknadsföringsändamål, har de rätt att be dig att “glömma dem”. Nya rättigheter har införts kring tillgång till uppgifter, invändningar mot behandling, dataportabilitet och invändningar mot profilering, bland annat.
4. Policys
Artikel 13 i förordningen ger 12 nyckelområden som du behöver informera din konsument om i clear språk, inte juridiskt språk. Utveckla en standard sekretesspolicy som informerar dina kunder om hur du hanterar deras data.
Det krävs att ha en utsedd kontaktperson samt kontaktinformation för din organisation i sekretesspolicyn.
5. Ansvar
Utbilda dina anställda och ge verktyg för att hjälpa till att driva ansvarighet genom hela ditt företag, inte bara för denna förordning, utan för all personlig data du tar emot. Dataskydd är hela organisationens ansvar. Alla som kommer i kontakt med data måste vara medvetna om konsekvenserna och påföljderna för bristande efterlevnad.
Zonos, ledaren inom teknik för gränsöverskridande e-handel, kommer att fortsätta att leda och vägleda handlare genom utmaningen att sälja sina produkter till världen. Vi kommer att fortsätta att tillhandahålla vanliga frågor och dokumentexempel som visar interna sekretesspolicyer och processer som du kan anta. Vi kommer att dela interna utbildningsdokument för dig att använda med ditt team. Zonos tar dataskydd på allvar och är engagerat i EU GDPR-beredskap. Mer information kommer att komma regelbundet.
Varför bör du bry dig om GDPR?
Överallt där du tittar inom e-handel ser du någon som diskuterar EU GDPR eller den allmänna dataskyddsförordningen i Europeiska unionen. Det finns en mängd information, från tekniska artiklar till spekulationer på sociala medier. Vi vill alla veta hur det kommer att påverka oss. Vilka förändringar, om några, behöver jag göra? Vad betyder det egentligen?
I den här artikeln kommer vi att ta en snabb titt på EU GDPR - vad det är, hur vi kan förbereda oss och hur det kan påverka ett onlineföretag.