pean ma ette nägema andmekaitse järelevalveinimese

Enamiku väike- ja keskmise suurusega ettevõtete ja iseseisva ettevõtja puhul kohalduvat kohustust ei ole

Andmekaitsealane spetsialist (lühendatult AKS) ei ole tavaliste väike- ja keskmise suurusega ettevõtete ja enamiku iseseisvate ettevõtjate jaoks tavaliselt kohustuslik. GDPR-i tekst nimetab hulga spetsiifilisi olukordi, kus AKS on kohustuslik, ja väljaspool neid on organisatsioonidel vabadus ise üks määrata ilma seaduse sundimiseta. Praktikas kehtib kohustuslik AKS eelkõige avaliku sektori organisatsioonide puhul ja ettevõtete puhul, kelle põhitegevus koosneb inimeste ulatuslikust, süstemaatilisest jälgimisest või eriliigitunnuste massiivsel töötlemisel, nagu tervisealased andmed.

Veebikauplus, nõuandeamet, ehitaja või iseseisev ettevõtja raamatupidamisprogrammi ja paari SaaS-teenusega jäävad enamikul juhtudel väljaspool neid kategooriaid. See ei tähenda, et pole midagi tegemist: ka ilma AKS-ta kehtib kohustus näidata, millised isikuandmed töödeldakse ja millise eesmärgiga, näiteks andmetöötluse registri, ja see kohustus kehtib ühtmoodi ka ühe inimese ettevõtete puhul. Kes kahtleb, kas oma tegevused kuuluvad tõepoolest kategooriasse "ulatuslik" või "süstemaatiline", leiab rohkem abi küsimuse kaudu millal on vajalik andmekaitse mõju hindamine, sest sama riskihindamine kerkib tihti esile koos AKS-i küsimusega.

Millel see põhineb: GDPR-i artiklid 2 ja 30

GDPR määrab artikli 2 alusel määruse materiaalse kohaldamisala ja artikkel 30 reguleerib personaalseid andmeid käsitlev register koos sellele kehtivate eranditega — AKS-i kohustus ise asub määruse teises kohas, kuid töötlemise ulatus ja iseloom, millel on seal roll, järgivad samu kriteeriume kui register ja andmekaitse mõju hindamise kohustus. Osa sellest hinnangust on faktiline: kui palju inimesi jälgitakse, kui süstemaatiliselt ja mis andmete osas on tegemist. Andmekaitse Amet avaldab selle kohta täiendavat juhtnööri Eesti praktiski, samas kui küsimus, kas AKS on kohustuslik, tugineb kõigis ELi riikides samale määrusele — siiski võib riiklik järelevalvija, Eestis Andmekaitse Amet ja teistes liikmesriikides selle riigi järelevalvija, kasutada oma teavitamist või täiendavaid registreerimise nõudeid AKS-i nimetamise ümber.