Voitte periaatteessa pitää käsittelytoimintaa koskevaa rekisteriänne kokonaan itse. AVG ei määrää tiettyä ohjelmaa tai muotoa: hyvin ylläpidetty asiakirja tai taulukkolaskenta kelpaa, kunhan se on täydellinen, oikea ja ajantasainen. Tärkeää ei ole väline, vaan sisältö: mitä henkilötietoja käsittelette, mihin tarkoitukseen, kuka pääsee niihin käsiksi, kuinka kauan ne säilytätte ja mitkä muut osapuolet näkevät ne.
Käytännöllinen kysymys ei siis ole, saako sitä tehdä, vaan pysyykö se hallinnassa teissä. Kun käsittelytoimintoja on vain muutamia ja ne ovat vakiintuneet — kirjanpitoohjelma, palkanlaskenta, asiakkuudenhallintajärjestelmä — itse tehty yhteenveto on usein helppo ylläpitää. Kun työkalujen määrä kasvaa, toimittajat vaihtuvat tai työntekijät hankkivat itse ohjelmistoja, ylläpito muuttuu toistuvaksi tehtäväksi, jota on helppo lykätä.
Mitä on oltava rekisterissä
Rekisterissä kuvataan kunkin käsittelytoiminnon tarkoitus, tietojen ja rekisteröityjen kategoriat, säilytysaika tai osoitus siitä sekä osapuolet, joille tietoja jaetaan. Kun käsittelytoiminto tapahtuu ulkoisen osapuolen kautta, siitä on käytävä ilmi, onko siihen liittyvää käsittelijän kanssa tehtävää sopimusta. Tarkat vaatimukset ja niihin liittyvät poikkeukset löytyvät AVG:stä itsestään ja on laadittu yksityiskohtaisesti Suomen tietosuojaviranomaisen ja EDPB:n ohjeissa. Jos haluatte nähdä tämän kussakin tilanteessa selvitettynä, löydätte sen tietopankista, jossa tämä selvitetään kussakin tilanteessa.
Miksi paperin kanssa tulee vaikeuksia
Ongelma ei yleensä ole perustaminen, vaan ylläpito. MKB-yritys solmii vuoden kuluessa uusia pilvipalvelusopimuksia, lopettaa toisista, ja niihin liittyvä käsittelijän kanssa tehtävä sopimus muuttuu joskus ilman, että kukaan huomaa. Taulukkolaskenta, joka aluksi oli oikein, on muutaman kuukauden kuluttua usein vain tilannekuva. Se tulee näkyviin vasta silloin, kun sillä on merkitystä: kun rekisteröity esittää pyynnön, hankinnassa tai kun valvontaviranomainen kysyy sitä.
Tässä on todellinen ero itse tekemisen ja tuen saamisen välillä. Rekisterin pitäminen itse ei ole ongelma, kunhan joku omaa säännöllisesti aikaa tarkistaa ja täydentää sitä. Monissa pienissä yrityksissä aikaa on aluksi, mutta se katoaa, kun päivän kiire ottaa vallan.
Itse tekeminen, työkalun käyttäminen tai ulkoistaminen
Täysin itse tekemisen ja täysin ulkoistamisen välissä on välimuoto: järjestelmä, joka täyttää rekisterin tunnettujen työkalujen kirjastosta ja varoittaa, jos jotain puuttuu tai muuttuu. Se ei säästä ajattelua siitä, mitä rekisteriin on laitettava — se jää teille — mutta se vähentää riskiä, että muutos jää huomaamatta. Se, onko se yrityksellenne vaivan arvoista, riippuu käsittelytoimintojen määrästä ja siitä, kuinka usein määrä muuttuu. Yhteenveto siitä, mitä siihen kuuluu ja mitä se maksaa, löytyy järjestelmän hinnoittelun sivulta.
Jotka haluavat ensin kokeilla itse, voivat sen tehdä. AVG ei velvoita maksettuun järjestelmään. Se, mitä laki edellyttää, on että rekisteri on kaikilla hetkillä oikea kuva todellisuudesta — ei vain päivänä, jolloin se on laadittu.
Mitä ette voi ulkoistaa
Riippumatta siitä, piteliittekö rekisteriä taulukkolaskentana vai antaako järjestelmän täyttää sen: vastuu oikeellisuudesta jää organisaatiolle, ei välineelle. Järjestelmä voi varoittaa, että käsittelijän kanssa tehtävä sopimus on vanhentunut tai että uutta pilvipalvelua ei ole vielä lisätty, mutta päätös siitä, mitä teette asialle ja onko käsittelytoiminto todella tarpeellinen, jää teille. Oman tilanteenne sisällyttämiseen on hyvä käydä keskustelu juristi kanssa tai epäillyissä lainsäädäntöä koskevissa asioissa Suomen tietosuojaviranomaisen kanssa.
Haluatteko ensin nähdä, miten tämä toimii käytännössä ennen kuin päätätte, teettekö sen itse vai ottakaa tukea, voitte lukea usein kysytyt kysymykset rekisteristä tai rekisteröintisivun kautta avata liiketoiminnan tilin ja nähdä itse eron.
Jos haluatte tietää, missä yrityksenne tällä hetkellä on, ilmainen pika-arvio on hyvä lähtökohta: ei velvoitetta, vain osoitus siitä, mikä on relevanttia tilanteellenne.