Mis peab isikuandmete töötlemise registris olema?

Mis sisaldub töötlemise registris

Töötlemise register kirjeldab organisatsiooni iga töötlemist, mida see teeb isikuandmetega, määratluses, kes on milleks vastutav ja mis andmetega juhtub. Praktiliselt on tegemist organisatsiooni nime ja kontaktandmetega (ja andmekaitse juhataja kontaktandmetega, kui selline on olemas), eesmärkidega, millel andmeid töödeldakse, andmesubjektide ja isikuandmete kategooriatega, mis on tegemist, andmete saajate kategooriatega, kellele andmeid edastatakse, kas andmed satuvad väljaspool ELi ja kui jah, siis milliste garantiidega, jäetavate andmete säilitamise tähtaegadega või kriteeriumiga, mille järgi need määratakse, ja üldise kirjeldusega tehnilistest ja organisatorilistest turvameetmetest.

Organisatsioon, kes tegutseb ise andmetöötlejana — seega teise osapoole tellimusel isikuandmeid töötleb — peab pidama sarnast, kuid pisut piiratum registrit, mis on suunatud iga tellija jaoks tehtavate töötlemiste kategooriates. Väiksematest organisatsioonidest näeb GDPR artiklis 30 ette erandi: kellel on vähem kui kakssada viiskümmend töötajat, ei pea seda registrit pidama, välja arvatud juhul, kui töötlus kujutab endast riski andmesubjektide õiguste ja vabaduste suhtes, ei ole juhusliku iseloomuga või puudutab andmete erinevaid kategooriaid või andmeid kriminaalkonviktsioonidest. Praktikas puudutab see erand vähem väikeettevõtteid, kui see näib lubavat, sest regulaarne klientide või töötajate andmete töötlemine ei loeta rutiin- ja juhuslikuks.

Kust see välja tuleb: GDPR artikkel 30

Need osad on loetletud GDPR artikli 30 esimeses ja teises lõikes, väiksematest organisatsioonidest käiv erand samas artiklis viiendas lõikes; Andmekaitse Amet selgitab oma veebisaidil, kuidas ta seda Eesti praktikas käsitleb.