5 вещей, которые операторы тренажерных залов должны знать о GDPR

С вступлением в силу 25 мая нового Европейского регламента по защите данных предприятия лихорадочно работают над тем, чтобы понять, что требуется для соответствия требованиям.

Содержащий 99 статей, всеобъемлющий регламент "был разработан для гармонизации законов о конфиденциальности данных по всей Европе, для защиты и расширения прав и возможностей всех граждан ЕС в области конфиденциальности данных, а также для изменения подхода организаций всего региона к конфиденциальности данных", - объяснил Роман Спитко на специальной сессии на IHRSA 2018 в Сан-Диего, Калифорния. Спитко также провел вебинар IHRSA о GDPR, который доступен уже сейчас.

(Живете в ЕС? Подтвердите свою личность, чтобы продолжать получать сообщения от IHRSA.)

Спитко, который является руководителем факультета делового администрирования и экономики в Немецком университете профилактики и управления здравоохранением, проконсультировал слушателей о том, как соблюдать новые правила и какие риски существуют в случае их невыполнения.

Вот пять выводов из его выступления.

1. GDPR применяется ко всем, кто ведет бизнес в ЕС

Новые правила актуальны для каждого фитнес-клуба, а значит, и для каждого оператора клуба, ведущего бизнес на территории Европейского Союза.

2. Несоблюдение требований имеет свою цену

Несоблюдение требований будет стоить вам до 4% годового оборота или 20 млн евро - в зависимости от того, что больше.

3. Рассмотрите возможность назначения сотрудника по защите данных

Возможно, вам потребуется назначить сотрудника по защите данных (DPO). В фитнес-индустрии существует множество бизнес-моделей, которые обрабатывают биометрические данные или данные, касающиеся здоровья. Если обработка такого рода данных квалифицируется как основная деятельность, то для таких клубов назначение DPO может стать обязательным.

4. Требования различаются в зависимости от размера

Требования отличаются для организаций со штатом менее 250 сотрудников. Предприятие этой категории не обязано вести учет обработки, находящейся в его ведении, за исключением случаев, когда "осуществляемая им обработка может привести к риску для прав и свобод субъектов данных, обработка не является эпизодической, или обработка включает специальные категории данных [...] или персональные данные, относящиеся к уголовным приговорам и правонарушениям" (статья 30, номер 5).

5. Аутсорсинг с осторожностью

Передача обработки данных на аутсорсинг другой компании, которая заявляет, что соответствует требованиям, не освобождает ваш клуб от ответственности. Если будет установлено, что выбранная вами компания не соответствует требованиям, то ваша компания также будет нести ответственность.

Узнайте больше о GDPR

Чтобы получить больше советов о GDPR от Романа Спитко, посмотрите его вебинар IHRSA "Новые европейские правила защиты: Влияние на ваш спортзал" (бесплатно для членов IHRSA).