GDPR za s.p. in mala podjetja: obveznosti in kazni 2026
Ali morate kot s.p. ali majhen d.o.o. skrbeti za GDPR? Da, saj uredba velja za vsakogar, ki obdeluje osebne podatke, tudi če ima eno samo stranko – imena, naslovi in e-naslovi kupcev, ki so fizične osebe, se namreč znajdejo v računih, e-pošti in imeniku. Dobra novica je, da je obveznosti za običajno majhno podjetje malo in da jih lahko uredite v enem popoldnevu.
Kaj GDPR pomeni za vaše podjetje
GDPR je evropska uredba, pri nas pa jo dopolnjuje Zakon o varstvu osebnih podatkov (ZVOP-2), ki je bil objavljen 27. 12. 2022 in velja od 26. 1. 2023. Uporablja se za vse upravljavce podatkov, od velike banke do frizerja.
Osebni podatek je vsak podatek, po katerem je mogoče prepoznati posameznika: ime in priimek, naslov, e-naslov, telefonska številka, pa tudi registrska številka ali fotografija. Podatki o podjetju (pravni osebi) niso osebni podatki, podatki o kontaktni osebi v njem pa so.
Katere osebne podatke zbirate
Najpogosteje gre za:
- kupce, ki so fizične osebe: ime, naslov in e-naslov na računih in ponudbah,
- kontaktne osebe pri poslovnih strankah: ime, e-naslov, telefon,
- zaposlene in pogodbene sodelavce: podatki za plačo in prijavo v zavarovanje,
- obiskovalce spletne strani in naročnike novic, če imate obrazce ali piškotke.
Za vsak sklop si zapišite, čemu podatke imate. Odgovor je običajno eden od dveh: potrebujete jih za izvedbo pogodbe s stranko ali pa vam jih zakon nalaga hraniti. GDPR obe podlagi izrecno našteva – obdelava je zakonita, kadar je potrebna za izvajanje pogodbe ali za izpolnitev zakonske obveznosti, ki velja za upravljavca.
POMEMBNO: za izdajo in hrambo računov privolitve stranke ne potrebujete, saj račun izdate in hranite po zakonu. Stranka tudi ne more zahtevati izbrisa podatkov, ki jih morate hraniti zaradi pravne obveznosti, ker se pravica do izbrisa v tem primeru ne uporablja.
Evidenca dejavnosti obdelave
Večina mikro podjetij je izvzeta: GDPR pravi, da obveznost vodenja evidence ne velja za podjetje z manj kot 250 zaposlenimi. Izjema so podjetja, katerih obdelava pomeni tveganje za posameznike in ni občasna, ali ki obdelujejo posebne vrste podatkov (zdravje, verska prepričanja ipd.) oziroma podatke o kazenskih obsodbah.
Če obdelujete zdravstvene podatke strank ali jih redno obdelujete na tvegan način, evidenco potrebujete, pri običajnem s.p., ki izdaja račune in pošilja ponudbe, pa ne. Kljub temu se splača imeti pregledno tabelo (kateri podatki, čemu, kdo jih vidi, kako dolgo jih hranite), saj boste na vprašanje stranke ali inšpekcije odgovorili v minuti.
Obvestilo o zasebnosti
Ko od posameznika pridobite podatke, mu morate povedati, kdo ste, zakaj podatke obdelujete, na kateri pravni podlagi in komu jih posredujete (člen 13). V praksi to pomeni kratko obvestilo na spletni strani in v podpisu e-pošte ali ponudbe, skupaj z vašim kontaktom za vprašanja o podatkih. Če na strani zbirate podatke (obrazec, naročanje, novice), je to obvestilo hkrati vaša politika zasebnosti.
Spletna trgovina bi tako zapisala, da ime, naslov in e-naslov zbira zaradi dostave, da je namen izvedba naročila, podlaga pogodba, podatki pa gredo dostavni službi in računovodji.
Pogodbe z obdelovalci
Računovodja, ponudnik e-pošte, program za izdajanje računov in oblak obdelujejo podatke v vašem imenu, zato mora tako obdelavo urejati pogodba ali drug pravni akt. Večina večjih ponudnikov jo ponuja v splošnih pogojih ali v obrazcu za sprejem – poskrbite, da je sprejeta, in jo shranite.
Kršitev varstva podatkov: kaj v 72 urah
Kršitev je tudi e-pošta, poslana napačnemu prejemniku, izgubljen prenosnik ali vdor v e-poštni predal. Če je verjetno, da so ogrožene pravice posameznikov, jo morate Informacijskemu pooblaščencu prijaviti brez nepotrebnega odlašanja, po možnosti najpozneje v 72 urah po tem, ko ste zanjo izvedeli, ob velikem tveganju pa obvestite tudi prizadete posameznike. Vsako kršitev, tudi tisto, ki je ne prijavite, zapišite: kaj se je zgodilo, kakšne so posledice in kaj ste ukrenili.
Kakšne so kazni?
GDPR določa zgornje meje glob: do 10.000.000 € ali 2 % letnega prometa za kršitve obveznosti upravljavca (npr. varnost, prijava kršitev) ter do 20.000.000 € ali 4 % za kršitve načel obdelave in pravic posameznikov. To so meje za najhujše primere, ne običajen znesek za mikro podjetje.
Pri nas se za kršitve izrekajo globe za prekrške, ZVOP-2 pa dodatno kaznuje odgovorno osebo – od 100 do 5.000 € za kršitve obveznosti upravljavca in od 200 do 8.000 € za kršitve načel in pravic posameznikov. Pri s.p. ste odgovorna oseba običajno kar vi.
Še nekaj pogostih dilem
Pooblaščenca za varstvo podatkov potrebujete le v posebnih primerih, ki jih našteva GDPR (npr. obsežna sistematična obdelava ali obsežna obdelava posebnih vrst podatkov); pravila za vaš primer so na strani Informacijskega pooblaščenca. Račune s podatki strank pa smete hraniti brez privolitve, ker to zahteva zakon.
Preberite tudi:
- Odprtje spletne trgovine v Sloveniji: kaj urediti pred naročilom
- Prva zaposlitev delavca v s.p. ali d.o.o.: koraki 2026
- Hramba računov: koliko let jih morate hraniti in kako
