Koskeeko GDPR-asetus minun yritystäni, jos minulla ei ole henkilökuntaa?
Yleinen tietosuoja-asetus ei tee eroa yrityksen koon perusteella. Laissa ei ole missään asetettu alarajaa henkilökunnan määrälle tai liikevaihdolle, jonka alapuolella säännöt eivät olisi voimassa. Ratkaiseva on yksi kysymys: käsitteletkö henkilötietoja? Heti kun tallennat asiakkaan nimen, sähköpostiosoitteen, osoitteen laskua varten tai hakijan tietoja, olet käsittelemässä tietoja GDPR:n merkityksessä, vaikka olisit ainoa yrityksen työntekijä.
Käytännössä tämä tarkoittaa, että lähes jokainen yritys, yksityisestä ammatinharjoittajasta suureen yritykseen, kuuluu jollain tavalla GDPR:n soveltamisalaan. Ero ei ole siinä, koskeeko laki sinua vai ei, vaan siinä, mitä ja kuinka paljon käsittelet: itsenäinen ammatinharjoittaja, joka lähettää laskun kolmelle asiakkaalle vuodessa, kohtaa eri käytännön haasteen kuin verkkokauppa, jolla on tuhansia asiakasprofiileja. Velvoitteet kasvavat mitä riskialttiimmin tai laajemmin käsittely tapahtuu, mutta lähtökohtana pysyy sama kaikille.
Mikä todella määrää, kuinka paljon GDPR sinua koskee
GDPR:ssä on yksi konkreettinen poikkeus, joka liittyy yrityksen kokoon: velvoite pitää rekisteriä käsittelytoiminnoista ei pääsääntöisesti koske organisaatioita, joissa on alle 250 työntekijää, ellei käsittely ole satunnaista, aiheuta riskiä rekisteröidyn oikeuksille tai koskea erityisiä henkilötietoja kuten terveystietoja. Käytännössä useimmat PK-yritykset kuuluvat silti jonkin poikkeuksen piiriin, yksinkertaisesti siksi, että asiakastietoja käsitellään säännöllisesti eikä satunnaisesti. Poikkeus on siis kapeampi kuin mitä se ensi silmäyksellä näyttää.
Tärkeämpää kuin tuo yksi poikkeus on sen datan luonne, jota käsittelet. Jos käsittelet vain muiden yritysten liiketoimintakontaktitietoja, riski on yleensä rajallinen. Jos käsittelet kuluttajien, henkilöstön, hakijoiden tai kameramateriaalin tietoja, samat velvoitteet koskevat sinua kuin suurta yritystä: käsittelyn oikeusperusta, selkeys rekisteröidylle, sopimukset osapuolten kanssa, jotka käsittelevät tietoja puolestasi, ja suunnitelma varmuuden varalta.
Tilanteet, joissa GDPR on selvästi sinulle sovellettava
Jos sinulla on verkkokauppa, käsittelet asiakastietoja, tilaus- ja maksutietoja ja usein tietoja maksupalveluntarjoajan tai kuljettajan kautta. Jos sinulla on henkilökunta, käsittelet palkkatietoja, poissaolojen tietoja ja joskus sosiaaliturvatunnuksen. Jos työskentelet hakijoiden kanssa, käsittelet ansioluetteloita ja motivaatiokirjeitä. Jos käytät kameravalvontaa kiinteistön tiloissa, käsittelet vierailijoiden ja työntekijöiden kuvamateriaalia. Kaikissa näissä tapauksissa GDPR on soveltamisalansa kannalta epäilemättä sinulle sovellettava, riippumatta siitä, työskenteletkö yksin vai kymmenen henkilön kanssa.
Tilanteet, joissa se on vähemmän rasittavaa, mutta ei katoa
Itsenäinen ammatinharjoittaja, joka laskuttaa vain yritysasiakkailta eikä omaa henkilökuntaa tai asiakkaita, käsittelee tavallisesti vähemmän arkaluonteisia tietoja ja pienemmissä määrissä. Se tekee käytännön tehtävästä hallittavamman, mutta ei tarkoita, että laki ei olisi voimassa. Sinun on myös pystyttävä selittämään, miksi tietoja säilytetään, kuinka kauan, ja kenen kanssa ne mahdollisesti jaetaan, esimerkiksi kirjanpitoohjelmiston tai pilvipalvelun välityksellä. EDPB:n ohjeistus ja Tietosuojavaltuutetun selitykset korostavat jatkuvasti, että velvoitteet vastaavat riskiä, eikä se, että pienet toimijat olisivat niistä vapaa.
Kuinka arvioida tilannettasi itse
Hyödyllisin kysymys ei ole "olenks minä tarpeeksi iso" vaan "mitä henkilötietoja käsittelen, keneltä ja miksi". Käy läpi tärkeimmät liiketoimintaprosessit: laskutus, asiakasyhteydenpito, henkilöstöhallinto, markkinointi, turvallisuus. Jokaisessa prosessissa, jossa esiintyy nimi, sähköpostiosoite tai muu tunnistettava tieto, GDPR on voimassa. Joilla ei ole vielä selvää käsitystä, löytävät tietopankki, jossa on selityksiä eri tilanteisiin lähtökohta sen määrittämiseksi, mitkä velvollisuudet liittyvät mihin tyyppisen käsittelyyn.
Myös muiden yrittäjien usein esittämät kysymykset antavat hyvän kuvan siitä, missä epäilyt yleensä liittyvät; ne on koottu sivulle, jossa on vastauksia kysymyksiin, joita PK-yrityksen yrittäjät usein esittävät. Jos haluat tietää, miten gdpria.eu:n tiedot ovat syntyneet ja mistä lähteestä kukin vastaus tulee, voit lukea sen sivulta, joka selittää mistä käytetyt tiedot tulevat.
Lopullinen arvio omasta tilanteestanne on teillä itsellänne, tarvittaessa oikeustoimijan kanssa tai Tietosuojaviranomaiselta yleisten selvitysten suhteen. Mitä tarjoamme näillä sivuilla, on rakenne kyseisen arvion tekemiseksi, ei itse neuvonta.
Jos haluat nopeasti ja sitovattomasti nähdä, mitkä velvollisuudet liittyvät yrityksesi tyyppiin, voit luoda liikeyrityksen tilin ja rakentaa omaan tilanteeseesi sopivan yleiskatsauksen. Ensimmäinen kartoitus, mukaan lukien kunkin vastauksen lähde, on ja pysyy ilmaisena.