Det finns en allmän uppfattning hos berörda parter och även hos Europaparlamentet, rådet och dataskyddsmyndigheter, att tillämpningen av dataskyddsförordningen är särskilt utmanande för mikroföretag, små och medelstora företag och små volontär- och välgörenhetsorganisationer.

Enligt den riskbaserade metoden skulle det inte vara lämpligt att införa undantag baserat på aktörernas storlek, eftersom deras storlek i sig inte är någon indikation på vilka risker som organisationens behandling av personuppgifter kan skapa för enskilda personer. Den riskbaserade metoden är en kombination av flexibilitet och effektivt skydd. Den tar hänsyn till behoven hos små och medelstora företag som inte har uppgiftsbehandling som sin kärnverksamhet och kalibrerar deras skyldigheter, framför allt baserat på sannolikheten och allvaret hos de risker som är förknippade med den specifika uppgiftsbehandling som de utför.

Liten behandling med låg risk bör inte behandlas på samma sätt som ofta förekommande behandling med hög risk – oberoende av storleken på det företag som utför behandlingen. Som dataskyddsstyrelsen konstaterade bör därför ”den riskbaserade metod som förespråkas av lagstiftaren i texten bibehållas, eftersom risken för de registrerade inte är beroende av de personuppgiftsansvarigas storlek”. Dataskyddsmyndigheterna bör tillämpa denna princip fullt ut när de verkställer dataskyddsförordningen, helst inom ramen för en gemensam EU-strategi för att inte skapa hinder för den inre marknaden.

Dataskyddsmyndigheterna utvecklade flera verktyg och betonade sin avsikt att fortsätta förbättra dem. Några myndigheter har inlett informationskampanjer och kommer även att anordna kostnadsfria ”lektioner om dataskyddsförordningen” för små och medelstora företag.

Exempel på riktlinjer och verktyg som dataskyddsmyndigheter tillhandahåller särskilt för små och medelstora företag ·Offentliggörande av information riktad till små och medelstora företag, ·seminarier för dataskyddsombud och evenemang för små och medelstora företag som inte behöver utse något dataskyddsombud, ·interaktiva vägledningar till stöd för små och medelstora företag, ·hjälplinjer för rådfrågning, ·mallar för behandlingsavtal och register över behandlingsverksamhet. En beskrivning av den verksamhet som bedrivs av dataskyddsmyndigheter finns i dataskyddsstyrelsens bidrag.

Flera av de åtgärder som särskilt stöder små och medelstora företag fick EU-finansiering. Kommissionen gav finansiellt stöd genom tre bidragsomgångar till ett sammanlagt belopp av 5 miljoner euro. De två senaste omgångarna var särskilt inriktade på att stödja de nationella dataskyddsmyndigheterna i deras arbete med att nå ut till enskilda personer och små och medelstora företag. Detta ledde till att 2 miljoner euro anslogs under 2018 till nio dataskyddsmyndigheter för verksamhet under 2018–2019 (Belgien, Bulgarien, Danmark, Ungern, Litauen, Lettland, Nederländerna, Slovenien och Island) och till att 1 miljon euro anslogs under 2019 till fyra dataskyddsmyndigheter för verksamhet under 2020 (Belgien, Malta, Slovenien och Kroatien i partnerskap med Irland) . Ytterligare 1 miljon euro kommer att fördelas under 2020.

Trots dessa initiativ uppger små och medelstora företag och nystartade företag ofta att de har svårt att tillämpa den ansvarsprincip som införs genom dataskyddsförordningen. Framför allt nämner de att de inte alltid får tillräcklig vägledning och praktisk rådgivning från de nationella dataskyddsmyndigheterna eller att det tar för lång tid att få vägledning och råd. Det har också förekommit fall där myndigheterna har varit ovilliga att engagera sig i rättsliga frågor. När små och medelstora företag ställs inför sådana situationer vänder de sig ofta till externa rådgivare och jurister för att hantera genomförandet av ansvarsprincipen och den riskbaserade metoden (bl.a. krav på insyn, register över behandling och underrättelser om uppgiftsincidenter). Detta kan också leda till ytterligare kostnader för dem.

En särskild fråga är registreringen av behandling, som små och medelstora företag och små föreningar upplever som en betungande administrativ börda. Undantaget från den skyldigheten enligt artikel 30.5 i dataskyddsförordningen är verkligen mycket snävt. Det som krävs för att uppfylla skyldigheten bör dock inte överskattas. Om små och medelstora företags kärnverksamhet inte innefattar behandling av personuppgifter kan den typen av register vara enkla och inte särskilt betungande. Detsamma gäller för volontärorganisationer och andra organisationer. Ett sådant förenklat register kan underlättas genom registermallar, vilket vissa dataskyddsmyndigheter redan använder. I vilket fall som helst bör alla som behandlar personuppgifter ha en överblick över sin uppgiftsbehandling, som ett grundläggande krav enligt ansvarsprincipen.

Dataskyddsstyrelsens utveckling av praktiska verktyg på EU-nivå, såsom enhetliga formulär för uppgiftsincidenter och förenklade register över behandling, kan hjälpa små och medelstora företag och små föreningar vars huvudverksamhet inte är inriktad på behandling av personuppgifter att uppfylla sina skyldigheter.

Olika branschorganisationer har gjort mycket för att öka medvetenheten och informera sina medlemmar, t.ex. genom konferenser och seminarier, ge företag information om tillgänglig vägledning, eller utveckla en integritetsstödtjänst för medlemmarna. De rapporterar också om allt fler seminarier, möten och evenemang som anordnas av tankesmedjor och sammanslutningar för små och medelstora företag om frågor som rör dataskyddsförordningen.

För att förbättra den fria rörligheten för data inom EU och införa en samstämmig tillämpning av dataskyddsförordningen och förordningen om det fria flödet av andra data än personuppgifter offentliggjorde också kommissionen en praktisk vägledning om regler för behandlingen av blandade datamängder, som består av såväl personuppgifter som andra uppgifter, med särskild inriktning på små och medelstora företag.

Verktygslåda för företag

I dataskyddsförordningen föreskrivs verktyg som gör det lättare att bevisa efterlevnad, t.ex. uppförandekoder, certifieringsmekanismer och standardavtalsklausuler.