Η σύντομη απάντηση
Ο Κανονισμός (EU) 2016/679 ισχύει για σχεδόν κάθε οργανισμό που επεξεργάζεται δεδομένα προσώπων, ανεξάρτητα από το μέγεθός του. Αυτό σημαίνει ότι ακόμη και μια εταιρεία εγκατάστασης με τέσσερις υπαλλήλους, μια μεμονωμένη επιχείρηση με πελάτες ή ένας φορέας με εθελοντές υπάγονται κατ' αρχήν στον κανονισμό μόλις καταγράφονται ονόματα, διευθύνσεις ηλεκτρονικού ταχυδρομείου, δεδομένα μισθοδοσίας ή άλλα δεδομένα προσώπων. Για τη διατήρηση ενός μητρώου δραστηριοτήτων επεξεργασίας, ο Κανονισμός (EU) 2016/679 προβλέπει εξαίρεση για οργανισμούς με λιγότερους από 250 υπαλλήλους, αλλά η εξαίρεση αυτή ισχύει μόνο εάν πληρούνται ταυτόχρονα αρκετές προϋποθέσεις.
Στην πράξη, λίγες μικρές και μεσαίες επιχειρήσεις πληρούν όλες αυτές τις προϋποθέσεις, απλώς επειδή μια διαχείριση προσωπικού, ένα αρχείο πελατών ή μια εγγραφή κάμερας θεωρείται γρήγορα ως συστηματική επεξεργασία. Ακριβώς εάν η εξαίρεση ισχύει για τον οργανισμό σας είναι κάτι που μπορείτε να εξακριβώσετε καλύτερα με βάση τον ίδιο το νόμο ή με τη βοήθεια ενός δικηγόρου. αυτό το άρθρο περιγράφει πότε η ερώτηση γίνεται σχετική και σε τι πρέπει να δώσετε προσοχή.
Τι ακριβώς σημαίνει η εξαίρεση
Ο Κανονισμός (EU) 2016/679 ορίζει στο άρθρο 30, παράγραφος 5, ότι η υποχρέωση διατήρησης ενός μητρώου δραστηριοτήτων επεξεργασίας δεν ισχύει για οργανισμούς με λιγότερους από 250 υπαλλήλους, εκτός εάν η επεξεργασία που διενεργούν ενέχει κίνδυνο για τα δικαιώματα και τις ελευθερίες των υποκειμένων δεδομένων, δεν είναι περιστασιακή ή αφορά ευαίσθητες κατηγορίες δεδομένων όπως δεδομένα υγείας. Όλες αυτές οι εξαιρέσεις της εξαίρεσης είναι εκεί για έναν λόγο: ο νομοθέτης ήθελε να μην απαλλάξει τους μικρούς οργανισμούς από το να διατηρούν επιστήμη, μόνο από την τυπική υποχρέωση μητρώου σε συγκεκριμένες, περιορισμένες περιπτώσεις.
Η λέξη "περιστασιακή" είναι η πλέον καθοριστική. Μια διαχείριση μισθοδοσίας που τρέχει κάθε μήνα, ένα αρχείο πελατών που ενημερώνετε καθημερινά ή κάμερες που καταγράφουν συνεχώς εικόνες δεν είναι περιστασιακές επεξεργασίες. Μόλις μια επεξεργασία γίνει δομικό μέρος της λειτουργίας της επιχείρησης, η εξαίρεση βγαίνει γρήγορα από το εύρος.
Πότε η ερώτηση σας ενδιαφέρει
Η ερώτηση "ισχύει αυτό για μένα" είναι ιδιαίτερα σχετική για μεμονωμένες επιχειρήσεις χωρίς προσωπικό και χωρίς σταθερό αρχείο πελατών, που κατά καιρούς στέλνουν ένα τιμολόγιο και δεν καταγράφουν πολλά δεδομένα προσώπων. Για αυτούς, η εξαίρεση μπορεί θεωρητικά να ισχύει. Μόλις προστεθεί προσωπικό, χρησιμοποιηθεί σύστημα CRM, διατηρηθούν αιτήσεις θέσης εργασίας ή ένας ιστότοπος συλλέγει δεδομένα επισκεπτών μέσω cookies ή φόρμας επικοινωνίας, υπάρχει σχεδόν πάντα συστηματική επεξεργασία και η εξαίρεση δεν ισχύει πλέον.
Μια εταιρεία εγκατάστασης με διαχείριση προσωπικού, ένα σύστημα προγραμματισμού με δεδομένα πελατών και ίσως μια κάμερα στο χώρο εργασίας δεν εμπίπτει στην εξαίρεση. Ένας διευθυντής ανθρώπινου δυναμικού που διαχειρίζεται δεδομένα αιτήσεων, αρχεία απουσιών και δεδομένα μισθοδοσίας ήδη επεξεργάζεται συστηματικά. Για αυτές τις επιχειρήσεις, ένα μητρώο δραστηριοτήτων επεξεργασίας δεν είναι μόνο θέμα νόμιμης τάξης, αλλά και πρακτικά χρήσιμο: παρέχει με μια ματιά επισκόπηση των συστημάτων που περιέχουν τα δεδομένα, ποιος έχει πρόσβαση και για πόσο καιρό παραμένουν τα δεδομένα.
Γιατί το μητρώο είναι χρήσιμο ακόμη και χωρίς υποχρέωση
Ανεξάρτητα από το εάν η εξαίρεση ισχύει ακριβώς, οι πελάτες, οι ασφαλιστές και οι φορείς διενέργειας δημοπρασιών ζητούν όλο και πιο συχνά να αποδείξουν ότι ένας οργανισμός έχει έλεγχο των δεδομένων προσώπων του. Ένα μητρώο δραστηριοτήτων επεξεργασίας είναι το πρώτο έγγραφο που ζητούν. Αυτός που πρέπει να εξηγήσει ποια εργαλεία SaaS χρησιμοποιούνται, ποιες συμφωνίες επεξεργασίας συνοδεύουν αυτά και ποιος είναι υπεύθυνος για τι, ωφελείται από ένα μητρώο που ήδη συντηρείται, αντί να το συντάξει στην τελευταία στιγμή.
Η επισκόπηση αυτή δεν χρειάζεται να είναι περίπλοκη. Πρόκειται για την καταγραφή, για κάθε επεξεργασία, των δεδομένων που εμπλέκονται, του σκοπού για τον οποίο επεξεργάζονται, ποιος έχει πρόσβαση σε αυτά, εάν εμπλέκεται τρίτος και για πόσο καιρό τα δεδομένα διατηρούνται. Σε η τράπεζα γνώσης με θέματα Κανονισμού (EU) 2016/679 ανά κατάσταση περιγράφει αναλυτικά τι ακριβώς περιλαμβάνεται για κάθε τύπο επεξεργασίας, με την αναφορά στο επίσημο κείμενο.
Πώς αξιολογείτε αυτό για τη δική σας κατάσταση
Το αν το επιχείρησή σας εμπίπτει στην εξαίρεση εξαρτάται από τη λεπτομερή φύση και τη συχνότητα των επεξεργασιών που διενεργείτε, και αυτή είναι μια αξιολόγηση που διαφέρει ανά οργανισμό. Η Αρχή Προστασίας Δεδομένων Προσώπων δημοσιεύει κατευθυντήριες γραμμές σχετικά με το εύρος της υποχρέωσης τήρησης μητρώου, και για μια αξιολόγηση της ειδικής σας κατάστασης συνιστάται να τις συμβουλευθείτε ή να ζητήσετε τη συμβουλή ενός νομικού. Αυτό που κάνουμε στο gdpria.eu είναι να δώσουμε δομή: να εξηγήσουμε τι σημαίνει ο κανόνας, με πηγή, ώστε να μπορείτε να αξιολογήσετε μόνοι σας πού στέκεστε. Στο σελίδα σχετικά με το πού προέρχονται τα στοιχεία μας μπορείτε να δείτε πώς ακριβώς λειτουργεί αυτή η σύνδεση με το νομικό κείμενο και τις κατευθυντήριες γραμμές.
Συχνά προβληματικές περιπτώσεις, όπως ένας αυτοεργοδοτούμενος με έναν μόνο σταθερό αναθέτοντα ή ένας φορέας με μόνο εθελοντές, εμφανίζονται στο συχνές ερωτήσεις σχετικά με το GDPR στην πράξη. Συχνά αποδεικνύεται ότι η συζήτηση σχετικά με την εξαίρεση είναι λιγότερο σημαντική από ό,τι νομίζαμε, επειδή ένα σαφές μητρώο σε κάθε περίπτωση βοηθά στην απάντηση ερωτήσεων από πελάτες ή στην αντιμετώπιση ενός αιτήματος από ένα υποκείμενο των δεδομένων.
Εν ολίγοις
Το GDPR ισχύει για σχεδόν κάθε οργανισμό που επεξεργάζεται προσωπικά δεδομένα. Η εξαίρεση από την υποχρέωση τήρησης μητρώου είναι στενή και ισχύει μόνο αν η επεξεργασία είναι περιστασιακή, δεν ενέχει κίνδυνο και δεν αφορά ειδικές κατηγορίες δεδομένων. Για τις περισσότερες μικρές και μεσαίες επιχειρήσεις με προσωπικό, πελάτες ή ιστότοπο, αυτή η εξαίρεση είναι εκτός εμβέλειας, και μια επισκόπηση των δικών σας επεξεργασιών είναι κυρίως πρακτικής χρησιμότητας.
Θέλετε να δείτε γρήγορα πού βρίσκεται η δική σας κατάσταση; Κάντε το δωρεάν γρήγορο έλεγχο ή περιηγηθείτε στα θέματα σε δημιουργία επιχειρηματικού λογαριασμού και έναρξη εργασίας.