Το GDPR και εσείς: Γιατί η συμμόρφωση είναι σημαντικότερη από ότι νομίζετε.

Είτε τρέχετε ένα μικρό e-shop στη Θεσσαλονίκη, ένα ξενοδοχείο στη Θάσο, είτε διαχειρίζεστε το εταιρικό site μιας μεγάλης επιχείρησης στην Αθήνα, ο Γενικός Κανονισμός Προστασίας Δεδομένων (GDPR) σας αφορά άμεσα. Δεν υπάρχει «ίσως» εδώ, ούτε ισχύει το «έλα καλέ, αυτά είναι μόνο για τους μεγάλους». Ισχύει για όλους.

Στην αγορά υπάρχει μια λανθασμένη εντύπωση ότι οι μικρομεσαίες επιχειρήσεις μένουν στο απυρόβλητο επειδή «σιγά μην ασχοληθεί κανείς μαζί μας».

Σε αυτό το άρθρο εξηγούμε με απλά λόγια τι σημαίνει στην πράξη ένα συμμορφωμένο site, γιατί σας αφορά και τι ρισκάρετε αν το αμελήσετε.

Τι είναι τελικά το GDPR;

Το GDPR είναι ο ευρωπαϊκός νόμος για την προστασία των δεδομένων που εφαρμόζεται από τον Μάιο του 2018. Η βασική του φιλοσοφία είναι εξαιρετικά απλή: τα προσωπικά δεδομένα ανήκουν στον ίδιο το άτομο, όχι στην επιχείρηση που τα συλλέγει.

Και προσοχή: τα «προσωπικά δεδομένα» είναι πολύ περισσότερα από ένα ονοματεπώνυμο ή ένα email. Περιλαμβάνουν:

• Διευθύνσεις IP
• Αναγνωριστικά cookies
• Δεδομένα τοποθεσίας
• Φωτογραφίες

Ουσιαστικά, οτιδήποτε μπορεί να ταυτοποιήσει έναν άνθρωπο, άμεσα ή έμμεσα, θεωρείται προσωπικό δεδομένο. Αν το site σας έχει μια απλή φόρμα επικοινωνίας, εγγραφή σε newsletter, εργαλεία όπως το Google Analytics ή έστω ένα υποτυπώδες cookie banner, τότε επεξεργάζεστε προσωπικά δεδομένα. Και αυτό σας καθιστά άμεσα υπόλογους απέναντι στον νόμο.

Γιατί η συμμόρφωση του site δεν είναι προαιρετική

Το site σας είναι η «βιτρίνα» σας, αλλά και το πρώτο σημείο επαφής όπου συλλέγετε δεδομένα. Είναι, επομένως, και το πρώτο μέρος που θα τσεκάρει ένας ελεγκτής, ένας ανταγωνιστής ή ένας δυσαρεστημένος πελάτης.

Στην πράξη, ένα σωστά συμμορφωμένο site απαιτεί:

• Νομική βάση για τα πάντα: Πρέπει να έχετε έναν έγκυρο νομικό λόγο για να κρατάτε δεδομένα. Για τα cookies μάρκετινγκ ή τα newsletters, η βάση αυτή είναι σχεδόν πάντα η συγκατάθεση. Και αυτή πρέπει να δίνεται ελεύθερα, να είναι συγκεκριμένη και να ανακαλείται εξίσου εύκολα με τον τρόπο που δόθηκε. Τα προ-συμπληρωμένα κουτάκια (pre-ticked boxes) και τα «cookie walls» που εκβιάζουν τον χρήστη να πατήσει «αποδοχή» για να δει το περιεχόμενο, απλά δεν υφίστανται νομικά.
• Απόλυτη διαφάνεια: Η Πολιτική Απορρήτου σας πρέπει να εξηγεί ξεκάθαρα ποια δεδομένα μαζεύετε, γιατί, για πόσο καιρό τα κρατάτε και με ποιους τα μοιράζεστε. Όχι με ακαταλαβίστικα νομικά «κινέζικα», αλλά σε γλώσσα που καταλαβαίνει ένας κανονικός άνθρωπος. Μια ευανάγνωστη πολιτική απορρήτου δείχνει επαγγελματισμό και χτίζει εμπιστοσύνη, κάτι που τελικά βοηθάει και στις πωλήσεις σας.
• Cookies όπως πρέπει: Το banner των cookies είναι ίσως το πιο κακοποιημένο στοιχείο στο ελληνικό ίντερνετ. Το κλασικό «συνεχίζοντας την πλοήγηση αποδέχεστε τα cookies» έχει πεθάνει προ πολλού. Ο χρήστης πρέπει να μπορεί να απορρίψει τα μη απαραίτητα cookies εξίσου εύκολα με το να τα αποδεχτεί — και τίποτα δεν πρέπει να φορτώνει στο παρασκήνιο πριν κάνει την επιλογή του.
• Σεβασμό στα δικαιώματα των χρηστών: Οι επισκέπτες έχουν δικαίωμα να δουν τα δεδομένα τους, να τα διορθώσουν, να ζητήσουν τη διαγραφή τους (το λεγόμενο «δικαίωμα στη λήθη») ή να φέρουν αντίρρηση στη χρήση τους. Η επιχείρησή σας πρέπει να είναι σε θέση να ανταποκριθεί σε αυτά τα αιτήματα μέσα σε ένα μήνα.
• Ασφάλεια στην πράξη: Τα δεδομένα πρέπει να προστατεύονται με τα κατάλληλα τεχνικά μέσα: κρυπτογράφηση HTTPS, ασφαλείς φόρμες και αυστηρό έλεγχο στα πρόσθετα (plugins) που χρησιμοποιείτε.

Τα πρόστιμα: Πόσο κοστίζει τελικά η αμέλεια;

Ας μιλήσουμε με νούμερα, χωρίς υπερβολές. Ο κανονισμός προβλέπει δύο κατηγορίες διοικητικών προστίμων:

1. Έως 10 εκατομμύρια ευρώ ή το 2% του ετήσιου τζίρου (όποιο είναι μεγαλύτερο) για παραβάσεις όπως η ελλιπής τήρηση αρχείων, η ανεπαρκής ασφάλεια ή η μη έγκαιρη γνωστοποίηση μιας παραβίασης δεδομένων (data breach).
2. Έως 20 εκατομμύρια ευρώ ή το 4% του παγκόσμιου ετήσιου τζίρου για πιο σοβαρές παραβάσεις, όπως η επεξεργασία δεδομένων χωρίς νομική βάση ή η παραβίαση των δικαιωμάτων των χρηστών.

Ίσως ακούτε για πρόστιμα εκατομμυρίων σε τεχνολογικούς κολοσσούς και θεωρείτε ότι δεν σας αφορά. Όμως, η ελληνική Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) επιβάλλει κυρώσεις σε επιχειρήσεις κάθε μεγέθους. Μια και μόνο καταγγελία από έναν δυσαρεστημένο πελάτη ή έναν ανταγωνιστή αρκεί για να ξεκινήσει έλεγχος.

Πέρα από τα πρόστιμα, σκεφτείτε το κρυφό κόστος: τη ζημιά στη φήμη σας, την απώλεια της εμπιστοσύνης της αγοράς, τις πιθανές αστικές αποζημιώσεις, αλλά και το λειτουργικό χάος του να προσπαθείτε να «μπαλώσετε» τρύπες την τελευταία στιγμή υπό την πίεση ενός ελέγχου. Η πρόληψη κοστίζει πολύ λιγότερο.

Το διά ταύτα

Το GDPR δεν είναι απλά μια γραφειοκρατική υποχρέωση για να τσεκάρετε ένα κουτάκι. Είναι ένα ισχυρό ανταγωνιστικό πλεονέκτημα σε μια εποχή που οι καταναλωτές επιλέγουν συνειδητά επιχειρήσεις που σέβονται την ιδιωτικότητά τους. Αν φέρεστε στα δεδομένα των πελατών σας με τον ίδιο τρόπο που θα θέλατε να φέρονται στα δικά σας, έχετε ήδη κάνει το σημαντικότερο βήμα.

Αν δεν είστε σίγουροι για το πού βρίσκεται το site σας σήμερα, ένας επαγγελματικός έλεγχος συμμόρφωσης (compliance audit) θα σας γλιτώσει από πολλούς μελλοντικούς πονοκεφάλους.

Στην agénor.BI παίρνουμε την ασφάλεια των δεδομένων πολύ σοβαρά. Σχεδιάζουμε και αναπτύσσουμε ιστοσελίδες έχοντας το GDPR στον πυρήνα τους, με τη βοήθεια του δικού μας εξειδικευμένου συμβούλου απορρήτου. Μιλάμε τη γλώσσα σας —κυριολεκτικά και μεταφορικά— και σας τα εξηγούμε όλα απλά και κατανοητά. Αν θέλετε ένα site που να προστατεύει πραγματικά την επιχείρησή σας και τους πελάτες σας, ελάτε να το σχεδιάσουμε μαζί.