Son illərdə üç hərf — GDPR — beynəlxalq biznes üçün sanki bir qorxu hekayəsinə çevrilib. Xüsusilə Avropadan olan müştərilər və ya tərəfdaşlarla işləyən şirkətlər üçün. Amma bu reqlament həqiqətən də Qazaxıstan, Özbəkistan, Gürcüstan və Qırğızıstan kimi MDB ölkələri üçün vacibdirmi? Və ümumiyyətlə, praktik mənada “GDPR şəxsi məlumatlar” nə deməkdir? Gəlin «System Management» şirkətinin ekspertləri ilə birlikdə aydınlaşdıraq.
GDPR nədir və niyə vacibdir
GDPR (General Data Protection Regulation) — Avropa İttifaqında qəbul edilmiş və 25 may 2018-ci ildə qüvvəyə minmiş Məlumatların Qorunması üzrə Ümumi Reqlamentdir. Bu reqlament fiziki şəxslərin şəxsi məlumatlarının emalı qaydalarını müəyyən edir və onların məxfilik hüquqlarını qoruyur.
Amma vacib olan təkcə onun mövcudluğu deyil. Əsas məqam — onun yurisdiksiyasıdır. GDPR yalnız Aİ-də qeydiyyatdan keçmiş şirkətlərə deyil, bütün dünyada Aİ vətəndaşlarının məlumatlarını emal edən istənilən təşkilata şamil olunur. Və məhz burada mövzu daha da maraqlı olur.
MDB ölkələrindən olan biznes niyə GDPR-ə diqqət yetirməlidir
Qırğızıstan, Qazaxıstan, Özbəkistandan olan bir çox şirkətlər beynəlxalq fəaliyyət göstərir: ixrac, İT xidmətləri, logistika, e-commerce, maliyyə və digər sahələr. Deməli, Aİ vətəndaşları ilə təmas tamamilə realdır.
MDB şirkətlərinə GDPR hansı hallarda şamil oluna bilər:
- Siz Avropa İttifaqının vətəndaşlarına və ya rezidentlərinə mal və ya xidmət təklif edirsiniz (hətta pulsuz olsa belə);
- Aİ vətəndaşlarının doldura biləcəyi qeydiyyat formaları olan veb-saytınız var;
- Aİ-dən olan istifadəçilərin şəxsi məlumatlarını toplayan analitika alətlərindən (məsələn, Google Analytics) istifadə edirsiniz;
- Siz Avropa şirkətinin podratçısısınız və onun adından şəxsi məlumatları emal edirsiniz.
Şirkətiniz Aİ-də yerləşməsə belə, Avropa GDPR standartı sizə birbaşa aid ola bilər.
GDPR” anlayışına nələr daxildir
Bir çox sahibkarlar səhvən düşünür ki, şəxsi məlumatlar yalnız pasport məlumatları və ya VÖEN kimidir. Lakin GDPR (məlumatların qorunması üzrə ümumi reqlament) baxımından bu siyahı daha genişdir.
GDPR insanı birbaşa və ya dolayı yolla identifikasiya edə bilən istənilən məlumatı şəxsi məlumat hesab edir:
- Ad, soyad, doğum tarixi;
- Telefon nömrəsi, e-mail, IP ünvanı;
- Geolokasiya, alış-veriş tarixi, kuki (cookie) faylları;
- Fotoşəkillər, videolar, səsli mesajlar;
- Tibbi, biometrik və ya maliyyə məlumatları;
- Dini və siyasi baxışlar haqqında məlumatlar, hətta sosial şəbəkələrdəki bəyənmələr (like-lar).
Bəli, sadəcə e-mail belə GDPR-ə görə artıq şəxsi məlumat sayılır. Bu o deməkdir ki, onları saxlamaq, istifadə etmək və ötürmək yalnız ciddi qaydalara əməl etməklə mümkündür.
Biznesin bilməli olduğu GDPR-in əsas prinsipləri
GDPR bir sıra fundamental prinsiplərə əsaslanır. Onlar həm iri korporasiyalar, həm də Avropalı sifarişçilərlə işləyən kiçik biznes və ya frilanserlər üçün eyni dərəcədə актуалdır.
Əsas prinsiplər bunlardır:
- Qanunilik və şəffaflıq — məlumatlar qanuni əsaslarla və istifadəçi üçün aydın şəkildə emal edilməlidir.
- Məqsəd məhdudiyyəti — məlumatları yalnız konkret məqsəd üçün toplayın.
- Məlumatların minimallaşdırılması — həqiqətən lazım olandan artığını tələb etməyin.
- Dəqiqlik — məlumatlar aktual və dəqiq olmalıdır.
- Saxlama müddətinin məhdudlaşdırılması — məlumatı zəruri olandan daha uzun saxlamayın.
- Məxfilik və təhlükəsizlik — girişə nəzarət, şifrələmə və sızmaların qarşısının alınması mütləqdir.
Bu prinsiplərə əməl etmək təkcə cərimələrdən yayınmağa deyil, həm də müştərilər və tərəfdaşlar tərəfindən etimadı artırmağa kömək edir.
Cərimələr və reputasiya riskləri
GDPR sadəcə tövsiyələr toplusu deyil. Tələblərin pozulmasına görə real maliyyə sanksiyaları nəzərdə tutulur: cərimələr 20 milyon avroya qədər və ya illik dövriyyənin 4%-i həcmində ola bilər — hansı daha yüksəkdirsə.
Xarici tərəfdaşlarla işləyən MDB şirkətləri üçün bu cür sanksiyalar kritik nəticələrə səbəb ola bilər. Bundan əlavə, GDPR-ə əməl edilməməsi aşağıdakılara gətirib çıxara bilər:
- Avropalı sifarişçilərlə müqavilələrin pozulması;
- onlayn servislərin və reklam hesablarının bloklanması;
- müştərilərin etimadının itirilməsi;
- ixrac və ya investisiya fəaliyyəti ilə bağlı problemlər.
MDB biznesi GDPR tələblərinə necə hazırlaşa bilər
GDPR standartlarının tətbiqi ani proses deyil. Bu, kompleks yanaşma və məlumatların emalı üzrə daxili siyasətlərin yenidən nəzərdən keçirilməsini tələb edir. Yaxşı xəbər odur ki, riskləri minimuma endirməyə kömək edəcək sınaqdan çıxmış addımlar və praktikalar artıq mövcuddur.
Tövsiyə olunan addımlar:
- Şirkətdə şəxsi məlumatlarla bağlı audit aparın: nə toplayırsınız, harada saxlayırsınız, kimlərin giriş icazəsi var.
- Şirkətin fəaliyyəti tələb edirsə, məlumatların qorunmasına cavabdeh şəxsi (DPO) təyin edin.
- Məxfilik siyasətini və istifadəçi razılaşmalarını yeniləyin.
- Məlumatların emalına razılığın alınması mexanizmlərini qurun.
- Texniki qorunmanı təmin edin: şifrələmə, girişə nəzarət, ehtiyat nüsxələr.
- Əməkdaşları GDPR standartlarına uyğun şəxsi məlumatlarla işləməyin əsasları üzrə öyrədin.
System Management” şirkəti Avropa GDPR standartının tələblərinə hazırlıq üçün praktik həllər təklif edir: audit, konsaltinq, təlim və sertifikatlaşdırmanın müşayiəti. Bu, xüsusilə miqyaslanmaq və beynəlxalq bazara çıxmaq istəyən şirkətlər üçün vacibdir.
Qazaxıstan, Özbəkistan, Gürcüstan və Qırğızıstan üçün GDPR-in актуallığı
Bu ölkələrdə İT, e-commerce, B2B xidmətləri və xarici iqtisadi fəaliyyət sahələrində sabit artım müşahidə olunur. Beynəlxalq layihələr və xidmət ixracı artıq istisna deyil, normadır.
Fakt: Dünya Bankının məlumatlarına görə, Mərkəzi Asiyadan rəqəmsal ixracın həcmi son 5 ildə 2,5 dəfədən çox artıb. Bu isə bir şeyi göstərir — şirkətlər getdikcə daha tez-tez xarici müştərilərlə, deməli, onların məlumatları ilə də işləyirlər.
Beləliklə, məlumatların qorunması üzrə ümumi reqlament olan GDPR-i anlamaq və ona əməl etmək rəqabətqabiliyyətlilik amilinə və Avropa bazarına “giriş biletinə” çevrilir.
Əgər biznesinizi ölkə hüdudlarından kənarda inkişaf etdirməyi, Avropalı müştərilərlə işləməyi və ya məsuliyyətli xidmət təchizatçısı reputasiyası qurmağı planlaşdırırsınızsa — bu standartı nəzərdən qaçırmayın. GDPR kontekstində şəxsi məlumatlar məhz elə bir sahədir ki, burada təkcə tələblərə uyğun olmaq yox, həm də şüurlu yanaşmanı nümayiş etdirmək vacibdir.
GDPR üzrə tətbiqetmə və konsaltinq müşayiəti barədə daha ətraflı məlumatı keçidə daxil olaraq əldə edə bilərsiniz keçid üzrə.
System Management — beynəlxalq standartlar və sertifikatlaşdırma dünyasında sizin bələdçinizdir.