Krátká odpověď
GDPR se vztahuje na prakticky každou organizaci, která zpracovává osobní údaje, bez ohledu na velikost. To znamená, že pod tuto nařízení spadá také instalatérská společnost se čtyřmi zaměstnanci, samostatný podnikatel se zákazníky nebo nadace s dobrovolníky, jakmile si evidují jména, e-mailové adresy, údaje o platech nebo jiné osobní údaje. Pro vedení rejstříku zpracování zná GDPR výjimku pro organizace s méně než 250 zaměstnanci, ale tato výjimka platí pouze pokud jsou splněny určité podmínky současně.
V praxi málo malých a středních podniků splňuje všechny tyto podmínky, jednoduše proto, že personální evidence, soubor zákazníků nebo záznam z kamery se brzy považují za systematické zpracování. To, zda se výjimka přesně vztahuje na vaši organizaci, si nejlépe ověříte podle samotného textu zákona nebo se poraďte s právníkem; tento článek popisuje, kdy se otázka stává relevantní a na co si můžete dát pozor.
Co výjimka přesně znamená
GDPR stanovuje v článku 30, odstavci 5, že povinnost vést rejstřík zpracování neplatí pro organizace s méně než 250 zaměstnanci, pokud zpracování, které provádějí, nespojuje riziko pro práva a svobody subjektů údajů, není ojedinělé, nebo se týká zvláštních kategorií osobních údajů, jako jsou zdravotní údaje. Všechny tyto výjimky z výjimky jsou tam z důvodu: zákonodárce chtěl osvobodit malé organizace od zachování přehledu, pouze od formální povinnosti rejstříku v konkrétních, omezených případech.
Slovo "ojedinělé" je přitom nejdůležitější. Personální evidence, která běží každý měsíc, soubor zákazníků, který denně aktualizujete, nebo kamery, které nepřetržitě zaznamenávají záběry, nejsou ojedinělým zpracováním. Jakmile se zpracování stane systematickou součástí podnikání, výjimka brzy vymizí.
Kdy se pro vás otázka objeví
Otázka "týká se to mě" je relevantní zejména pro OSVČ bez zaměstnanců a bez rutinní evidence zákazníků, které čas od času pošlou fakturu a dál si ukládají málo osobních údajů. Pro ně může výjimka teoreticky platit. Jakmile se přidají zaměstnanci, používá se systém CRM, ukládají se přihlášky, nebo webové stránky shromažďují údaje návštěvníků přes soubory cookie nebo kontaktní formulář, obvykle jde o systematické zpracování a výjimka již neplatí.
Instalatérská společnost s personální evidencí, plánovacím systémem se zákaznickými údaji a případně kamerou u dílny tak vychází mimo výjimku. HR manažer, který spravuje údaje ze žádostí, spisy o absenci a údaje o platech, určitě zpracovává systematicky. Pro tyto firmy není rejstřík zpracování pouze právní záležitostí, ale také prakticky užitečný: na první pohled jasně ukazuje, které systémy obsahují která data, kdo má přístup, a jak dlouho se data uchovávají.
Proč je rejstřík užitečný i bez povinnosti
Bez ohledu na to, zda se výjimka přesně vztahuje, zákazníci, pojišťovny a zadavatelé veřejných zakázek čím dál více požadují prokázat, že organizace má kontrolu nad svými osobními údaji. Rejstřík zpracování je přitom prvním dokumentem, po kterém se ptají. Ten, kdo musí vysvětlit, jaké SaaS nástroje se používají, které smlouvy o zpracování k nim patří a kdo za co odpovídá, má prospěch z rejstříku, který se již vede, místo aby se jej snažil připravit na poslední chvíli.
Tento přehled nemusí být složitý. Jde o to zaznamenat si u každého zpracování, které údaje se jedná, k jakému účelu se zpracovávají, kdo má přístup, zda je součástí třetí strana, a jak dlouho se údaje uchovávají. V znalostní bázi s GDPR tématy podle situace uvádí, co konkrétně patří do každého typu zpracování, spolu se zdrojem v oficiálním textu.
Jak to posoudíte pro vaši vlastní situaci
To, zda vaše společnost spadá pod výjimku, závisí na přesné povaze a frekvenci zpracování, které provádíte, a jedná se o posouzení, které se liší podle organizace. Úřad pro ochranu osobních údajů zveřejňuje pokyny týkající se rozsahu povinnosti vést register, a pro posouzení vaší konkrétní situace se doporučuje tyto pokyny konzultovat nebo zapojit právníka. Co na gdpria.eu děláme, je vnést strukturu: vysvětlit, co pravidlo znamená, s uvedením zdroje, abyste mohli sami posoudit, kde se nacházíte. Na stránce o tom, odkud naše informace pocházejí se dozvíte, jak přesně funguje propojení s právním textem a pokyny.
Často se vyskytující pochybnosti, například osoba samostatně výdělečně činná s jedním pevným zadavatelem nebo nadace pouze s dobrovolníky, se opakují v často kladených otázkách o GDPR v praxi. Často se ukazuje, že diskuse o výjimce je méně důležitá, než se čekalo, protože přehledný register stejně pomáhá při odpovídání na otázky zákazníků nebo vypořádání se s požadavkem subjektu údajů.
Krátké shrnutí
GDPR se vztahuje na téměř každou organizaci, která zpracovává osobní údaje. Výjimka z povinnosti vést register je úzká a platí pouze tehdy, je-li zpracování příležitostné, nese s sebou žádné riziko a netýká se zvláštních kategorií údajů. Pro většinu malých a středních podniků s personálem, zákazníky nebo webovou stránkou je tato výjimka nedostupná, a přehled vlastního zpracování má především praktický přínos.
Chcete si rychle ověřit, kde se nachází vaše situace? Proveďte bezplatnou rychlou kontrolu nebo si projděte témata na vytvoření obchodního účtu a začátek na vlastní pěst.