Нужен ли DPO небольшому салону, кабинету или магазину? Чёткие критерии, без паники

Вам говорили, что «если у вас есть клиенты, вы обязаны назначить DPO, иначе будет штраф»? Для большинства небольших салонов, маленьких кабинетов или магазинов у дома это попросту неправда. GDPR действительно требует ответственного за защиту данных, но лишь в нескольких чётко определённых случаях, а не для любого бизнеса, у которого есть база клиентов.

Проблема в том, что эту тему продают через страх. Появляются предложения «обязательного пакета DPO» за сотни евро в год для компаний, которые по закону вообще не обязаны кого-либо назначать. В этой статье я простыми словами, для занятого владельца, объясню, когда DPO вам действительно нужен, когда нет, и что вы обязаны сделать в любом случае.

Что такое DPO на самом деле

DPO означает Data Protection Officer, по-русски — ответственный за защиту данных. Это человек, который следит за тем, как компания соблюдает правила защиты данных: проверяет, консультирует, обрабатывает запросы людей, которые хотят получить свои данные, и служит точкой контакта с надзорным органом.

Несколько важных моментов сразу:

• DPO может быть внутренним (сотрудник) или внешним (подрядчик или компания).
• Роль может быть на неполный день и может распределяться между несколькими компаниями.
• Он не заменяет ваши обязанности: вы остаётесь юридически ответственным даже при наличии DPO.
• Наличие DPO — это не то же самое, что «соответствие GDPR». Это две разные вещи.

Три случая, когда GDPR действительно требует DPO

Правило исходит из статьи 37 GDPR. Вы обязаны назначить DPO только в одной из этих трёх ситуаций:

• Вы государственный орган или учреждение (мэрия, государственная школа, государственная больница).
• Ваша основная деятельность — регулярный и систематический мониторинг людей в крупном масштабе: обширное видеонаблюдение, массовый онлайн-трекинг, профилирование.
• Ваша основная деятельность — обработка в крупном масштабе чувствительных данных: данных о здоровье, этнического происхождения, ориентации, биометрических или судимостных данных.

Ключевые слова — «основная деятельность» и «крупный масштаб». Если обработка данных не является сердцем вашего бизнеса, а лишь нормальным следствием того, что у вас есть клиенты, вы, скорее всего, под эти случаи не попадаете.

Что это значит для реального салона, кабинета или магазина

Разберём по порядку, как это выглядит в жизни:

• Салон красоты, парикмахерская, маникюрный салон: вы ведёте записи, имена, телефоны, иногда фото. Это не мониторинг в крупном масштабе и не деятельность по слежке. Как правило, DPO вам не нужен.
• Небольшой магазин или маленький онлайн-магазин: имена, адреса доставки, заказы. Снова обычная обработка в небольшом масштабе. Как правило, DPO вам не нужен.
• Небольшой медицинский или стоматологический кабинет: здесь вы обрабатываете данные о здоровье, которые чувствительны. Но закон говорит об обработке «в крупном масштабе». Отдельный или небольшой кабинет, где данные о здоровье ведёт специалист, лечащий своих же пациентов, обычно не считается крупным масштабом.

Вывод: у большинства небольших компаний такого типа нет юридической обязанности назначать DPO. Крупная сеть клиник, розничная сеть с трекингом или платформа с множеством пользователей — это уже другой разговор.

Что вы обязаны сделать в любом случае, даже без DPO

Вот часть, о которой никто не говорит, когда продаёт вам страх. GDPR применяется в любом случае, с DPO или без. Независимо от того, обязаны вы кого-либо назначать или нет, вы всё равно должны:

• Иметь понятную политику конфиденциальности на сайте и на ресепшене, где указано, какие данные вы собираете и зачем.
• Запрашивать корректное согласие там, где это нужно, например для рассылки или фото, используемых в рекламе.
• Защищать данные: пароли, ограниченный доступ, не оставлять журнал записей на виду.
• Удалять данные, когда они больше не нужны, и отвечать, когда клиент просит его удалить.
• Иметь правовое основание для каждого типа используемых данных.

Это и есть настоящее «соответствие GDPR» для малого бизнеса, и это стоит гораздо меньше, чем бесполезная подписка на DPO.

Как мы можем помочь, без запугивания

В MPO Web Studio мы создаём сайты для небольших компаний по всей стране, удалённо, и нам естественно правильно настроить и часть с данными: политику конфиденциальности понятным языком, форму записи, которая запрашивает только необходимое, чёткое согласие там, где нужно, и баннер cookie, который не раздражает вашего клиента.

Мы не продаём «обязательные пакеты DPO» компаниям, которым это не нужно. Если у вас салон, небольшой кабинет или магазин, в большинстве случаев вам нужен аккуратный сайт и корректные юридические тексты, а не ежемесячная подписка со встроенным страхом.

Если хотите увидеть, как это выглядит, мы бесплатно создадим вам готовую демоверсию до того, как вы что-либо оплатите. Напишите нам в WhatsApp, и мы честно скажем, нужен ли DPO именно в вашем случае.