Lühike vastus
GDPR kehtib praktiliselt igale organisatsioonile, mis töötleb isikuandmeid, olenemata suurusest. See tähendab, et ka neljaliikmelise paigaldusettevõtte, iseseisva ettevõtja klientidega või vabatahtlikest koosneva sihtasutuse puhul kehtib määrus põhimõtteliselt niipea, kui registreeritakse nimed, e-posti aadressid, palgaandmed või muud isikuandmed. Andmete töötlemise registri pidamise kohustusest teab GDPR erandit vähem kui 250 töötajaga organisatsioonide jaoks, kuid see erand kehtib ainult siis, kui korraga täidetakse rida tingimusi.
Praktikas vastavad vähesed VKEd kõikidele nendele tingimustele, lihtsalt sellepärast, et personaliarvestus, klientuuribaas või kaamerahälved loetakse juba kiiresti süsteemseteks andmete töötlusteks. See, kas erand täpselt teie organisatsioonile kehtib, on midagi, mida saate parimini kontrollida seaduse teksti või juristiga; see artikkel kirjeldab, millal küsimus muutub asjakohaseks ja millele saate tähelepanu pöörata.
Mis erand täpselt tähendab
GDPR määrab artiklis 30, viiendas lõigus, et andmete töötlemise registri pidamise kohustus ei kehti vähem kui 250 töötajaga organisatsioonidele, välja arvatud juhul, kui nende poolt tehtav andmete töötlemine sisaldab riski isikute õigustele ja vabadusele, ei ole juhusliku iseloomuga või puudutab erinevaid isikuandmete kategooriaid nagu tervishoiuandmeid. Kõik need erandid erandist on olemas põhjusega: seadusandja ei tahtnud väikeorganisatsioonide mahakandmist ülevaate hoidmisest, ainult formaalse registrite pidamise kohustusest konkreetsetel, piiratud juhtudel.
Sõna "juhuslik" on seejuures kõige määravaem. Palgaarvestus, mis käib iga kuu, klientuuribaas, mida te iga päev värskendates, või kaameraid, mis pidevalt pildistavad, ei ole juhuslikud andmete töötlused. Niipea, kui andmete töötlemine on ettevõtte tegevuse struktuuriline osa, on erand kiiresti kaugele.
Millal küsimus teie jaoks asjakohaseks muutub
Küsimus "kas see kehtib minule" on eriti oluline iseseisvatele ettevõtjatele, kellel puudub personal ja püsiv klientuuribaas, kes aeg-ajalt arved saadavad ja muutes vähe isikuandmeid registreerivad. Nende puhul võib erand teoreetiliselt kehtida. Niipea, kui personal lisandub, CRM-süsteem võetakse kasutusele, kandideerimised säilitatakse või veebisait kogub külastajate andmeid küpsiste või kontaktivormi kaudu, on peaaegu alati tegemist süsteemse andmete töötlusega ja erand ei kehti enam.
Paigaldusettevõte koos personaliarvestusega, plaanimissüsteemiga klientandmete ja võibolla kaamera töökoha juures jääb seega erandist välja. HR-juht, kes haldab kandideerimisandmeid, haigestumise kirjeid ja palgaandmeid, töötleb igaksjuhul süsteemselt. Nendele ettevõtetele on andmete töötlemise register mitte ainult seaduslik küsimus, vaid ka praktiline kasu: see annab ülevaate sellest, millised süsteemid millised andmed sisaldavad, kes nende juurde pääseda saavad ja kui kaua andmeid säilitatakse.
Miks register ka ilma kohustuseta kasulik on
Sõltumata sellest, kas erand täpselt kehtib, paluvad kliendid, kindlustusfirmad ja hankijad järjest rohkem tõestada, et organisatsioonil on kontrolli isikuandmete üle. Andmete töötlemise register on see esimene dokument, mida inimesed küsivad. Kes peab selgitama, missuguseid SaaS-vahendeid kasutatakse, millised andmete töötlemise lepingud sellega kaasnevad ja kes millest vastutab, saab abi registrist, mis juba pidamisel on, selle asemel, et selle viimasel hetkel koostada.
See ülevaade ei pea olema keeruline. Tegemist on sellega, et kirjeldada iga töötlemist: milliste andmetega on tegemist, mis eesmärgil neid töödeldakse, kellel on neile juurdepääs, kas osaleb kolmas osapool, ja kui kaua andmeid säilitatakse. Aadressil teadusbaas GDPR-teemadega iga olukorra järgi on välja töötatud, mis iga töötlemistüübi puhul konkreetselt kuulub, koos viitega ametliku teksti asukohale.
Kuidas te oma olukorra jaoks otsuse langetate
Kas teie ettevõtte suhtes kehtib erand, sõltub teie poolt teostatud töötlemiste täpsest iseloomust ja sagedusest, ning see on hinnang, mis erineb organisatsiooni kaupa. Andmekaitse Amet avaldab suuniseid registreerimiskohustuse ulatuse kohta, ja oma konkreetse olukorra kohta soovitavad me neid suuniseid konsulteerida või juristiga ühendust võtta. Eelistame gdpria.eu-l struktuuri luua: selgitada, mida reegel tähendab, koos allikaga, et saaksite ise hinnata, kus te seisate. Aadressil lehel meie teabe allike kohta leiate, kuidas see seos seaduse tekstiga ja suunistega täpselt toimib.
Sagedased kahtlusjuhud, nagu ühest kliendist sõltuv füüsiline isik või ainult vabatahtlikest koosnev sihtasutus, on ülal GDPR-i praktilisest rakendustest sageli küsitud küsimused. Sageli selgub, et arutelu erandist on vähem oluline, kui arvati, sest selge töötlemiste ülevaade aitab niikuinii vastata klientide küsimustele või käsitleda isiku taotlusi.
Lühidalt öeldes
GDPR kehtib peaaegu igale organisatsioonile, kes töötleb isikuandmeid. Registreerimiskohustuse erand on kitsas ja kehtib ainult siis, kui töötlemine on juhusliku iseloomuga, ei kaasa ohtu ja ei hõlma erilisi andmeid. Enamiku personali, kliente või veebisaiti omavate väikeettevõtete jaoks on see erand kättesaamatule, ja oma töötlemiste ülevaade on eelkõige praktiliselt kasulik.
Kas soovite kiiresti näha, kus teie olukord seisab? Tehke tasuta kiirk kontrollimine või lehitse teemasid aadressil äriarvet luua ja alustada ise.