GDPR za s.p. in d.o.o.: praktičen minimum

GDPR ni samo tema velikih korporacij. Tudi s.p. z enostavno spletno stranjo in seznamom strank obdeluje osebne podatke. Kazni in ugledna tveganja so realna; dobra novica: za večino majhnih podjetij zadošča praktičen minimum, če ga res izvedete.

Ta članek je usmeritev, ne pravno mnenje. Za občutljive podatke (zdravje, biometrija) ali obsežne profile uporabite specialista. Smernice preverjajte pri Informacijskem pooblaščencu (IPRS).

Kaj šteje za osebne podatke pri vas

Primeri: ime in e-pošta stranke, telefonska, naslov za dostavo, IP v analitiki, podatki na računu, CV kandidata, podatki zaposlenega.

Če imate samo B2B kontakte z imeni zaposlenih, gre še vedno za osebne podatke.

Šest praktičnih korakov (minimum)

1. Inventura

Na eni strani naštejte: katere podatke zbirate, zakaj, kje so shranjeni (Gmail, CRM, računovodski program, papir), kdo dostopa, kako dolgo hranite.

2. Pravna podlaga

Za vsak namen: pogodba, zakonita obveznost, legitimen interes ali privolitev. Marketing privolitev ≠ ista podlaga kot izstavitev računa.

3. Obvestilo (privacy notice)

Na spletni strani / ob zbiranju povejte jasno: kdo ste, kaj zbirate, zakaj, kako dolgo, pravice posameznika, kontakt.

4. Pogodbe z obdelovalci

Računovodja, gostovanje, e-mail orodje, skeniranje pošte — če obdelujejo podatke za vas, potrebujete ustrezen dogovor (pogodbena obdelava). Glejte tudi smernice IPRS o pogodbeni obdelavi.

5. Varnost

Gesla, 2FA, omejen dostop, varnostne kopije, zaklenjene omare za papir. Ni treba imeti SOC — treba je biti sorazmerno previden.

6. Pravice in incidente

Vedite, kako odgovoriti na zahtevo za izbris/dostop. Ob večjem uhajanju imate dolžnosti prijave — poznajte kontakt IP in postopek.

Poslovna pošta in GDPR

Ovojnice lahko vsebujejo občutljive podatke. Če pošto prevzema ponudnik (nabiralnik, sken):

• preverite pogodbo / DPA,
• omejite, kdo vidi skene,
• ne pošiljajte skenov na zasebne maile »za zmeraj«.

Več o procesu: skeniranje poslovne pošte.

Spletna stran in piškotki

Analitika in marketing piškotki zahtevajo urejeno privolitev, kjer je potrebna. Ne kopirajte tuje politike — prilagodite jo svojim orodjem.

Zaposleni in kandidati

HR mape, bolniški listi, evidence — strožja skrb. Omejite dostop; ne hranite »za vsak primer« 15 let, če ni podlage.

Pogoste napake majhnih firm

• Seznam strank v enem Excelu na USB ključku.
• Eno geslo za vse.
• Newsletter brez možnosti odjave.
• Računovodja na osebni Gmail brez dogovora.
• Objava osebnih podatkov v AJPES izpisu — to je javni register; zasebni naslov kot sedež je ločena odločitev (glejte sedež / naslov).

Kdaj k pooblaščencu / odvetniku

Ob aplikaciji z lokacijo uporabnikov, zdravstvenih podatkih, obsežnem profiliranju, mednarodnih prenosih v problematične jurisdikcije, incidentu.

Povzetek

GDPR za s.p./d.o.o. = inventura, jasni nameni, obvestilo, pogodbe z obdelovalci, osnovna varnost, postopek za pravice. Začnite z inventuro danes — ne s paničnim branjem celotne uredbe.

Kontakt / vprašanja o obdelavi pri Nabiralničku: kontakt. Politike: preverite strani zasebnosti na portalu.

Primer inventure (ena stran)

| Podatek | Namen | Kje | Rok hrambe | Kdo dostopa | |---------|-------|-----|------------|-------------| | E-pošta stranke | pogodba / račun | program X | X let | jaz, računovodja | | CV | zaposlitev | Drive | 6 mes. | jaz | | Newsletter | marketing | orodje Y | do odjave | jaz |

Izpolnite tabelo za svoja orodja. To je 80 % GDPR higiene.

Obdelovalci, na katere pozabite

• Google Workspace / Microsoft 365,
• hosting in CDN,
• orodje za podpise,
• skeniranje / nabiralnik,
• chat podpora.

Za vsakega: ali je pogodba / DPA urejena?

Operativni zaključek

Praktični zaključek: odločitev brez naslednjih korakov ostane članek. Zato:

1. Potrdite aktualna navodila na SPOT / FURS / AJPES (ne zanašajte se samo na ta članek).
2. Uskladite status z računovodjo — pošljite kratek opis dejavnosti, oceno prometa in AJPES izpis.
3. Preverite, da poslovni naslov in prevzem pošte ujemata register (vodnik AJPES).
4. Preglejte eDavki pooblastila in tedenski ritual pregleda.
5. Shranite dokazila (pogodbe, soglasja, VIES, potrdila) v urejeno mapo — glejte hrambo listin.
6. V koledar vnesite naslednji konkreten rok.
7. Zapišite, kdaj greste k odvetniku (spor, tujina, več družbenikov, prvi zaposleni …).

Dokumentni tok

Davčne in statusne napake pogosto začnejo kot neprebrana ovojnica. Uskladite kanal:

• poslovna pošta
• skeniranje
• nabiralnik za računovodjo
• po potrebi cenik in kako deluje

Omejitev odgovornosti glede predpisov

Pragovi, obrazci in višine dajatev se spreminjajo. Ta članek drži logiko in kontrolne sezname. Če je razlika med člankom in uradnim virom, velja uradni vir.

Pogosta vprašanja

Ali potrebujem pooblaščenca za varstvo podatkov (DPO)?

Večina majhnih s.p./d.o.o. ne — razen posebnih primerov. Preverite pogoje; ne imenujte DPO »za limbo«.

Ali smem objaviti pričevanja strank z imenom?

Potrebujete podlago (pogosto privolitev). Raje pisno.

Kaj z računi, ki vsebujejo osebne podatke?

Hramba po davčnih pravilih je podlaga; dostop omejite, ne delite po WhatsApp skupinah.

Viri

• Informacijski pooblaščenec
• Smernice IPRS o pogodbeni obdelavi

Vsebina je informativna. Za vaš primer preverite aktualne smernice IPRS.