Všichni jsme oběťmi nekonečných nabídek webových seminářů a produktů, které řeší GDPR. Tak nechci opakovat to, co najdete jinde. Jsou však některé důležité body, kterým jste možná zatím nevěnovali pozornost. Jde o záležitosti, jež se týkají GDPR ve vztahu k systémům pro řízení vztahů se zákazníky (CRM) a které stojí za to připomenout.
Bod č. 1: Promluvte si se svými právníky. Přestože se vám zdá, že se na vás a na vaše podnikání některá nová pravidla nevztahují, neznalost zákona neomlouvá – a rozhodně nevědomost v tomto případě není nevědomostí blaženou. Dokonce ani v případě, že nebudete podnikat přímo v Evropě, bude se vás GDPR týkat a mohly by se vás kvůli tomu týkat i sankce. Proč? Protože existuje mnoho způsobů, jak evropští občané mohou i bez vašeho vědomí dostat své údaje do vašich systémů, a pokud tak učinili, měli byste nové nařízení dodržovat. Sankce za nedodržování předpisů mohou být překvapivě vysoké. Nic z toho zatím neprošlo testem soudních nebo regulačních odvolacích řízení, takže na určitou dobu bude tato oblast neprobádaným územím. Zaplaťte své advokáty za praktická doporučení, jak minimalizovat obchodní rizika (i když níže uvidíte, že je nelze odstranit).
Tento bod vychází ze skutečnosti, že nejsem právník a ani si na něj nehraji. Proto doporučení uvedená v tomto článku ani nejsou právními radami.
Bod č. 2: Ignorujte výkřiky, že vaše firma není v souladu s GDPR. Pokud jste perfekcionisté v interpretaci GDPR a poměřujete se s nějakým abstraktním ideálem, je velmi pravděpodobné, že zjistíte nesoulad. Neexistuje žádný produkt, který by vás mohl dostat do úplného souladu, neexistuje žádný konzultant, který by zaručil, že předpis je dodržen, patrně vám ani nikdo nedá razítko, které dodržování předpisů potvrzuje. Byl bych překvapen, kdyby se našel nějaký IT dodavatel, který by za vás riziko sankce převzal a odškodnil vás. (Jedinou možností je snad opatřit si firemní pojištění, které by pokrylo část rizika.) Takže si problémy utřiďte a věnujte se nejprve rizikům nejvážnějším.
Bod č. 3: CRM aplikace, systémy automatizace marketingu a webové stránky jsou výchozím bodem pro všechny problémy s GDPR. Všechny obsahují mnoho informací o lidech, ale je prakticky jisté, že neuchovávají žádné údaje o jejich občanství. Takže tyto systémy musejí začít s uchováváním volitelných informací a dalších metadat, tak aby splňovaly požadavky GDPR. Je třeba zajistit synchronizaci těchto dat, tak aby všechny procesy probíhaly konzistentně. Formuláře pro registraci webových stránek musejí poskytnout evropským občanům zvláštní cestu zpracování, tak aby tito uživatelé byli informováni o vyloučení odpovědnosti a poznámkách, aby měli k dispozici odpovídající zaškrtávací boxy. Osoby, které prohlásí, že nejsou evropskými občany, pak nemusejí být zatíženy nerelevantními informacemi a volbami. Při práci na těchto centralizovaných systémech si uvědomte, že existuje ještě decentralizované riziko, které je větší, ale k tomu se ještě dostaneme.
Bod č. 4: Můžete si zakoupit produkty, které prokážou, že vynakládáte péči pro zajištění souladu s GDPR. I když si nemůžete přímo koupit soulad jako takový, můžete si zakoupit produkt, který tento soulad umožní. Všechny produkty, které umožňují protokolování a poskytují upozornění týkající se bezpečnostních událostí (například Salesforce Sentry), jsou pravděpodobně vhodné. Veškeré nástroje, jež pomáhají rozpoznat bezpečnostní problémy v různých systémech (například Splunk) nebo které poskytují důkladnou ochranu při úniku dat z narušení systému, patří mezi ty, které patrně musíte mít. Pokud jste si takové produkty nebo služby opatřili, projevili jste tím minimálně záměr požadavky splnit.
