Краткия отговор
GDPR се прилага за почти всяка организация, която обработва лични данни, независимо от размера. Това означава, че дори монтажна фирма с четирима служители, еднолично предприятие с клиенти или фондация с доброволци принципално подлежат на разпоредбата, веднага щом се записват имена, имейл адреси, данни за заплати или други лични данни. За поддържането на регистър на дейностите по обработка, GDPR предвижда изключение за организации с по-малко от 250 служители, но това изключение се прилага само ако са изпълнени редица условия едновременно.
На практика малко малки и средни предприятия отговарят на всички тези условия, просто защото администрация на персонала, файл с клиенти или видеозапис скоро се считат за регулярна обработка. Дали точно изключението се прилага за вашата организация, е нещо, което най-добре е да преверите сами, прочитайки текста на закона или консултирайки се с юрист; тази статия описва кога въпросът е релевантен и на какво трябва да обърнете внимание.
Какво точно означава изключението
GDPR определя в член 30, параграф 5, че задължението за поддържане на регистър на дейностите по обработка не се прилага за организации с по-малко от 250 служители, освен ако обработката, която извършват, представлява риск за правата и свободите на субектите на данни, не е случайна, или се отнася до специални категории лични данни, като данни за здравето. Всички тези изключения на изключението са включени с причина: законодателят е искал малките организации да имат надзор, но да не бъдат освобождени от формалното задължение за регистър само в специфични, ограничени случаи.
Думата "случайна" е най-определяща. Администрация на заплати, която се извършва всеки месец, файл с клиенти, който актуализирате ежедневно, или камери, които непрекъснато записват видео, не са случайни обработки. Веднага щом една обработка е регулярна част от бизнес дейността, изключението вече не е приложимо.
Кога въпросът е релевантен за вас
Въпросът "важи ли това за мен" е особено релевантен за самостоятелни работници без служители и без редовна администрация на клиенти, които от време на време изпращат фактура и иначе събират малко лични данни. За тях изключението теоретично може да се прилага. Веднага щом се добави персонал, се използва CRM система, се съхраняват кандидатури или уебсайт събира данни за посетители чрез бисквитки или контактна форма, почти винаги има регулярна обработка и изключението не е приложимо.
Монтажна фирма с администрация на персонала, система за планиране с данни на клиенти и евентуално камера при работилницата е извън изключението. HR мениджър, който управлява кандидатури, дневници на отсъствия и данни за заплати, обработва определено на редовна база. За тези фирми регистърът на дейностите по обработка не е само юридическа задача, но и практически полезен: осигурява преглед на кои системи съдържат кои данни, кой има достъп и колко дълго се съхраняват данните.
Защо регистърът е полезен дори без задължение
Независимо дали изключението точно се прилага, клиенти, застрахователи и обществени поръчители все чаще искат доказателство, че организацията има контрол над своите лични данни. Регистърът на дейностите по обработка е първият документ, който поискват. Ако трябва да обясните кои SaaS инструменти се използват, кои договори за обработка на данни са свързани с тях и кой е отговорен за какво, ще имате полза от регистър, който вече се поддържа, вместо да го съставяте в последния момент.
Този преглед не трябва да е сложен. Целта е да се запишат за всяка обработка кои данни се обработват, с каква цел, кой има достъп, дали е включена трета страна и колко дълго се съхраняват данните. В банка данни с теми на GDPR по ситуация описва какво точно трябва да бъде включено за всеки тип обработка, с позоваване на официалния текст.
Как да оцените това за вашата конкретна ситуация
Дали вашата организация попада под изключението, зависи от точния характер и честотата на обработките, които извършвате, и това е оценка, която се различава за всяка организация. Органът за защита на данните издава насоки относно обхвата на задължението за регистър, и за становище относно вашата конкретна ситуация се препоръчва да ги консултирате или да привлечете юрист. Това, което правим на gdpria.eu, е да въведем структура: да обясним какво означава правилото, със източник, така че сами да можете да преценитe къде стоите. На страницата за произхода на нашата информация можете да прочетете как точно работи това свързване с закона и насоките.
Често срещани спорни случаи, например самостоятелна професионална дейност с един постоянен наемател или сдружение само с доброволци, се появяват в често задавани въпроси за GDPR в практиката. Често се оказва, че дискусията относно изключението е по-малко важна, отколкото се предполага, защото един ясен регистър във всеки случай помага при отговаряне на въпроси на клиентите или обработка на искане на засегнато лице.
Кратко обобщение
GDPR се прилага за почти всяка организация, която обработва лични данни. Изключението от задължението за регистър е тясно и се прилага само ако обработката е случайна, не представя риск и не се отнася до специални категории данни. За повечето малки и средни предприятия с персонал, клиенти или уебсайт това изключение е недостъпно, и преглед на собствените обработки е преди всичко практически полезен.
Искате ли бързо да видите къде стои вашата ситуация? Направете безплатното бързо сканиране или преглеждайте темите на създайте пазарен акаунт и започнете сами.