Mitä rekisteröityjen tietojen käsittelyluettelossa on oltava?

Mitä käsittelyrekisteriin merkitään

Käsittelyrekisteri kuvaa organisaation jokaista henkilötietojen käsittelyä varten, kuka on vastuussa mistäkin ja mitä tiedoille tapahtuu. Käytännössä se sisältää organisaation nimen ja yhteystiedot (sekä tietosuojavaltuutetun yhteystiedot, jos sellainen on), tarkoitukset joille tietoja käsitellään, rekisteröityjen luokat ja henkilötietojen luokat, joita käsittelyä koskevat, vastaanottajien luokat joille tietoja luovutetaan, tieto siitä päätyvätö tiedot EU:n ulkopuolelle ja jos kyllä, mitä vakuutuksia noudatetaan, noudatettavat säilytysajat tai kriteeri, jonka perusteella ne määritetään, sekä yleinen kuvaus tekniikasta ja organisatorisista tietoturvallisuustoimista.

Organisaatio, joka itse toimii käsittelijänä — eli käsittelee henkilötietoja toisen osapuolen toimeksiannosta — ylläpitää vertailukelpoista mutta hieman rajallisempaa rekisteriä, joka kohdistuu kunkin toimeksiantajan suorittamien käsittelyjen luokkiin. Pienemmille organisaatioille GDPR:n 30. artiklassa on poikkeus: jolla on alle 250 henkilöä palveluksessaan, ei tarvitse ylläpitää tätä rekisteriä, ellei käsittely aiheuta riskiä rekisteröityjen oikeuksille ja vapauksille, ole satunnaista tai käsittelyyn sisälly erityisiä tietoluokkia tai rikostuomioita koskevia tietoja. Käytännössä poikkeus koskee harvempia pienyritysten joukkoa kuin mitä vaikuttaisi, koska asiakkaiden tai henkilöstötietojen säännöllinen käsittely ei useimmiten katsota satunnaiseksi.

Mistä tämä seuraa: GDPR:n 30. artikla

Nämä osat on lueteltu GDPR:n 30. artiklan 1. ja 2. kappaleessa, ja poikkeus pienemmille organisaatioille samaan artiklaan sisältyvässä 5. kappaleessa; Tietosuojavirasto selventää verkkosivuillaan, miten se soveltaa tätä Suomen käytännössä.