Kell-e adatvédelmi tisztviselő (DPO) egy kis szalonnak, klinikának vagy boltnak? Világos szempontok, pánik nélkül

Mondta már valaki Önnek, hogy „ha vannak ügyfelei, akkor DPO-t kell kineveznie, különben megbírságolják”? A legtöbb kis szalon, kis klinika vagy sarki bolt esetében ez egyszerűen nem igaz. A GDPR valóban megköveteli az adatvédelmi tisztviselő kinevezését, de csak néhány egyértelműen meghatározott helyzetben, nem minden vállalkozásnál, amely ügyféllistát vezet.

A baj az, hogy ez a téma a félelem segítségével értékesíthető. Látni fog „kötelező DPO-csomagokat” évi több száz euróért felkínálva olyan vállalkozásoknak, amelyeknek jogilag semmilyen kötelezettsége nincs bárkit is kinevezni. Ebben a cikkben egy elfoglalt tulajdonos számára is érthető nyelven elmagyarázom, mikor van valóban szüksége DPO-ra, mikor nincs, és mit kell mindenképpen megtennie, függetlenül a választól.

Mi is valójában a DPO

A DPO a Data Protection Officer, vagyis az adatvédelmi tisztviselő rövidítése. Ő az a személy, aki felügyeli, hogyan tartja be a vállalkozása az adatvédelmi szabályokat: ellenőriz, tanácsot ad, kezeli az adataikat kérő emberek megkereséseit, és kapcsolattartóként jár el a felügyeleti hatósággal.

Néhány dolgot érdemes már az elején tisztázni:

• A DPO lehet belső (alkalmazott) vagy külső (megbízott vagy cég).
• A szerep lehet részmunkaidős, és több vállalkozás között is megosztható.
• Nem váltja ki a kötelezettségeit. DPO mellett is Ön marad a jogilag felelős.
• A DPO megléte nem ugyanaz, mint a „GDPR-megfelelés”. Ez két különböző dolog.

A három eset, amikor a GDPR valóban megköveteli a DPO-t

A szabály a GDPR 37. cikkéből ered. DPO-t csak az alábbi három helyzet egyikében kell kineveznie:

• Ön hatóság vagy közfeladatot ellátó szerv (polgármesteri hivatal, állami iskola, állami kórház).
• A fő tevékenysége emberek rendszeres és szisztematikus, nagymértékű megfigyelését foglalja magában, például kiterjedt videós megfigyelést, nagy léptékű online nyomon követést vagy profilalkotást.
• A fő tevékenysége érzékeny adatok nagy léptékű kezelését foglalja magában: egészségügyi adatok, etnikai származás, szexuális irányultság, biometrikus adatok vagy büntetett előélet.

A kulcsszavak a „fő tevékenység” és a „nagy lépték”. Ha az adatkezelés nem a vállalkozása lényege, hanem csak az ügyfelek meglétének természetes következménye, akkor nagy valószínűséggel ezeken az eseteken kívül esik.

Mit jelent ez egy valódi szalon, klinika vagy bolt esetében

Vegyük őket sorra, ahogy a való életben megjelennek:

• Szépségszalon, fodrász, körmös: időpontokat, neveket, telefonszámokat, esetleg fényképeket tart nyilván. Ez nem nagy léptékű megfigyelés vagy megfigyelési tevékenység. Normál esetben nincs szüksége DPO-ra.
• Kis bolt vagy kis webshop: nevek, szállítási címek, rendelések. Megint csak hétköznapi, kis léptékű adatkezelés. Normál esetben nincs szüksége DPO-ra.
• Kis orvosi vagy fogorvosi rendelő: itt egészségügyi adatokat kezel, amelyek érzékenyek. De a törvény a „nagy léptékű” adatkezelésről beszél. Egy egyszemélyes vagy kis rendelő, ahol az egészségügyi adatokat a saját betegeit kezelő szakember tartja nyilván, normál esetben nem minősül nagy léptékűnek.

Röviden: az ilyen típusú kis vállalkozások többségének nincs jogi kötelezettsége DPO-t kinevezni. Egy nagy klinikalánc, egy nyomon követést alkalmazó kiskereskedelmi hálózat vagy egy sok felhasználós platform már más történet.

Mit kell mindenképp megtennie, DPO nélkül is

Itt jön az a rész, amelyet senki nem említ, amikor a félelmet próbálja eladni Önnek. A GDPR mindenképpen érvényes, DPO ide vagy oda. Függetlenül attól, hogy kötelező-e kineveznie valakit, továbbra is:

• Legyen világos adatvédelmi tájékoztató a weboldalán és a recepción, amely leírja, milyen adatokat gyűjt és miért.
• Kérjen megfelelő hozzájárulást ott, ahol szükséges, például hírlevélhez vagy reklámban felhasznált fényképekhez.
• Tartsa biztonságban az adatokat: jelszavak, korlátozott hozzáférés, ne hagyja szem előtt az időpontfoglalási könyvet.
• Törölje az adatokat, amikor már nincs rájuk szüksége, és reagáljon, ha egy ügyfél a törlését kéri.
• Legyen jogalapja minden egyes adattípusra, amelyet felhasznál.

Ez az igazi „GDPR-megfelelés” egy kis vállalkozás számára, és sokkal kevesebbe kerül, mint egy értelmetlen DPO-előfizetés.

Hogyan tudunk segíteni, riogatás nélkül

Az MPO Web Studiónál az egész ország területén építünk weboldalakat kis vállalkozásoknak, távolról, és természetesen adódik, hogy az adatoldalt is helyesen állítsuk be: közérthető nyelven megírt adatvédelmi tájékoztató, olyan foglalási űrlap, amely csak a szükségeset kéri, világos hozzájárulás ott, ahol a helye van, és olyan cookie-sáv, amely nem idegesíti az ügyfelet.

Nem árulunk „kötelező DPO-csomagokat” olyan vállalkozásoknak, amelyeknek nincs rájuk szükségük. Ha szalont, kis klinikát vagy boltot üzemeltet, a legtöbb esetben egy tiszta weboldalra és helyes jogi szövegre van szüksége, nem pedig egy félelemmel átitatott havi előfizetésre.

Ha szeretné látni, hogy ez hogyan néz ki, ingyen elkészítünk Önnek egy kész demót, mielőtt bármit is fizetne. Írjon nekünk WhatsAppon, és őszintén megmondjuk, hogy az Ön esetében szüksége van-e DPO-ra.