Det korte svar
GDPR gælder for næsten enhver organisation, der behandler personoplysninger, uanset størrelse. Det betyder, at også en installatørvirksomhed med fire medarbejdere, en enmandsvirksomhed med kunder eller en fond med frivillige i princippet er omfattet af forordningen, så snart der registreres navne, e-mailadresser, løndata eller andre personoplysninger. For vedligeholdelse af en fortegnelse over behandlingsaktiviteter indeholder GDPR en undtagelse for organisationer med færre end 250 medarbejdere, men denne undtagelse gælder kun, hvis et antal betingelser samtidig opfyldes.
I praksis opfylder få små og mellemstore virksomheder alle disse betingelser, simpelthen fordi en personaleadministration, et kundekartotek eller en kameraoptagelse hurtigt betragtes som regelmæssig behandling. Hvorvidt undtagelsen præcis gælder for din organisation, er noget, du bedst kan kontrollere på grundlag af lovteksten selv eller med en jurist; denne artikel beskriver, hvornår spørgsmålet bliver relevant, og hvad du kan være opmærksom på.
Hvad undtagelsen præcist betyder
GDPR fastslår i artikel 30, stk. 5, at pligten til at føre en fortegnelse over behandlingsaktiviteter ikke gælder for organisationer med færre end 250 medarbejdere, medmindre den behandling, de udfører, indebærer en risiko for de registreredes rettigheder og frihed, ikke er af engangskarakter, eller vedrører særlige kategorier af personoplysninger såsom helbredsoplysninger. Alle disse undtagelser fra undtagelsen er der en grund til: lovgiveren ønskede ikke at fritage små organisationer for at holde øje med tingene, kun fra den formelle registreringspligt i specifikke, begrænsede tilfælde.
Ordet "af engangskarakter" er herved mest afgørende. En lønnedsregistrering, der kører hver måned, et kundekartotek, som du opdaterer dagligt, eller kameraer, der kontinuerligt optager billeder, er ikke behandlinger af engangskarakter. Så snart en behandling er en strukturel del af driften, ligger undtagelsen hurtigt uden for rækkevidde.
Hvornår spørgsmålet er relevant for dig
Spørgsmålet "gælder dette for mig" er især relevant for selvstændige uden personale og uden fast kundeadministration, som af og til sender en faktura og ellers registrerer få personoplysninger. For dem kan undtagelsen i teorien gælde. Så snart der kommer personale til, et CRM-system bruges, ansøgninger gemmes, eller et websted indsamler besøgersoplysninger via cookies eller en kontaktformular, er der næsten altid tale om strukturel behandling, og undtagelsen er ikke længere relevant.
En installatørvirksomhed med en personaleadministration, et planlægningssystem med kundedata og måske et kamera ved værkstedet falder dermed uden for undtagelsen. En HR-leder, der administrerer ansøgningsoplysninger, fravær-dossier og løndata, behandler helt klart strukturelt. For disse virksomheder er en fortegnelse over behandlingsaktiviteter ikke blot et juridisk spørgsmål, men også praktisk nyttigt: det giver på et øjeblik overblik over, hvilke systemer der indeholder hvilke data, hvem der må det, og hvor længe data opbevares.
Hvorfor registret også uden pligt er brugbart
Uanset om undtagelsen præcist gælder, spørger kunder, forsikringsselskaber og ansættende myndigheder i stigende grad, hvordan organisationen påviser at have kontrol over sine personoplysninger. En fortegnelse over behandlingsaktiviteter er det første dokument, man spørger efter. Hvis du skal forklare, hvilke SaaS-værktøjer der bruges, hvilke databehandleraftaler der hørerer til, og hvem der er ansvarlig for hvad, har du fordel af et register, der allerede føres, i stedet for at opstille et i sidste øjeblik.
Det pågældende overblik behøver ikke at være kompliceret. Det handler om pr. behandling at registrere, hvilke data det drejer sig om, hvilket formål de behandles for, hvem der har adgang til dem, om der er en tredjepartsinvolveret, og hvor længe dataene opbevares. I videnbanken med GDPR-emner pr. situation viser hvad der konkret skal indgå for hver type databehandling, sammen med kildehenvisningen i den officielle tekst.
Hvordan du vurderer dette for din egen situation
Om dit firma falder under undtagelsen, afhænger af den præcise karakter og hyppighed af de databehandlinger, du gennemfører, og det er en vurdering, der varierer fra organisation til organisation. Datatilsynet offentliggør retningslinjer om registerforpligtelsens anvendelsesområde, og for en vurdering af din specifikke situation anbefales det at konsultere disse eller at inddrage en jurist. Det, vi gør på gdpria.eu, er at skabe struktur: forklare hvad reglen betyder, med kilder, så du selv kan vurdere, hvor du står. På siden om hvor vores informationer kommer fra kan du læse præcis hvordan denne sammenkoblingen med lovteksten og retningslinjerne fungerer.
Hyppigt forekommende tvivlsituationer, såsom en selvstændig med én fast kunde eller en fond med kun frivillige, gentages i de hyppigt stillede spørgsmål om GDPR i praksis. Det viser sig ofte, at diskussionen om undtagelsen er mindre vigtig end antaget, fordi et overskueligt register alligevel hjælper med at besvare spørgsmål fra kunder eller håndtere anmodninger fra registrerede.
Kort opsummeret
GDPR gælder for næsten enhver organisation, der behandler persondata. Undtagelsen fra registerforpligtelsen er snæver og gælder kun, hvis databehandlingen er tilfældig, ikke medfører risiko og ikke vedrører følsomme data. For de fleste små og mellemstore virksomheder med personale, kunder eller et websted ligger denne undtagelse uden for rækkevidde, og et overblik over egen databehandling er især praktisk.
Vil du hurtigt se, hvor din egen situation står? Foretag den gratis hurtigkontrol eller gennemse emnerne på oprette en forretningskonto og kom i gang selv.