Lyhyt vastaus
GDPR-asetus koskee käytännössä jokaista organisaatiota, joka käsittelee henkilötietoja, riippumatta organisaation koosta. Tämä tarkoittaa sitä, että myös neljän työntekijän asennusyritys, yhden henkilön yritys asiakkaineen tai vapaaehtoisista koostuva säätiö kuuluvat säännöstön piiriin, kun vain nimiä, sähköpostiosoitteita, palkkatietoja tai muita henkilötietoja tallennetaan. Käsittelytoimintojen luettelon pitämistä varten GDPR-asetuksessa on poikkeus organisaatioille, joissa on alle 250 työntekijää, mutta poikkeus koskee vain, jos samalla täytetään useita edellytyksiä.
Käytännössä harva pienistä ja keskisuurista yrityksistä täyttää kaikkia näitä edellytyksiä, yksinkertaisesti siksi, että henkilöstöhallinto, asiakaskanta tai kameran kuvaus jo pian katsotaan jatkuvaksi käsittelyksi. Se, päteekään poikkeus täsmälleen organisaatioosi, on jokin asia, jonka voit parhaiten selvittää säännöstötekstin perusteella tai oikeusavustajan kanssa; tässä artikkelissa kuvataan, milloin kysymys muuttuu oleelliseksi ja mihin kiinnittää huomiota.
Mitä poikkeus tarkalleen ottaen sisältää
GDPR-asetus määrää 30 artiklan 5 kohdassa, että käsittelytoimintojen luettelon pitämisen velvoite ei koske organisaatioita, joissa on alle 250 työntekijää, jollei niiden suorittama käsittely aiheuta riskiä aiheille kuuluvien oikeuksien ja vapauksien kannalta, ole satunnaista tai koske erityisiä henkilötietoryhmia, kuten terveystietoja. Kaikki nämä poikkeukset poikkeukselle ovat olemassa syystä: lainsäätäjä halusi vapauttaa pieniä organisaatioita vain muodollisesta rekisteröintivelvoitteesta hyvin tietyissä, rajoitetuissa tapauksissa, ei yleensä tietojen seurannasta.
Sana "satunnainen" on tässä yhteydessä ratkaisevinta. Jokaisen kuukauden alussa käytössä oleva palkkaluettelo, päivittäin päivitettävä asiakaskanta tai jatkuvasti kuvaa tallentavat kamerat eivät ole satunnaisia käsittelyjä. Heti kun käsittely on liiketoiminnan rakenteellinen osa, poikkeus on nopeasti saavuttamattomissa.
Milloin kysymys on sinulle ajankohtainen
Kysymys "päteekö tämä minulle" on erityisen ajankohtainen freelancereille, joilla ei ole henkilöstöä eikä kiinteää asiakasrekisteriä ja jotka lähettävät ajoittain laskun eivätkä tallenna muuten juuri henkilötietoja. Heille poikkeus voi teoriassa päteä. Kun henkilöstö tulee mukaan, otetaan käyttöön CRM-järjestelmä, säilytetään hakemuksia tai verkkosivut keräävät vieraita koskevia tietoja evästeiden tai yhteydenottolomakkeen kautta, kyseessä on lähes aina jatkuva käsittely, eikä poikkeus ole enää mahdollinen.
Asennusyritys, jolla on henkilöstöhallinto, planointijärjestelmä asiakastietoineen ja ehkä kamera työpajalla, kuuluu siten poikkeuksen ulkopuolelle. HR-päällikkö, joka hallinnoi hakemustietoja, poissaolokansiota ja palkkatietoja, käsittelee jo täysin jatkuvasti. Näille yrityksille käsittelytoimintojen luettelo ei ole vain lainmukainen asia, vaan myös käytännöllisesti hyödyllinen: se antaa silmäyksellä käsityksen siitä, mitä tietoja mitkä järjestelmät sisältävät, keillä on oikeus niihin ja kuinka kauan tietoja säilytetään.
Miksi rekisteri on hyödyllinen myös ilman velvoitetta
Riippumatta siitä, päteekö poikkeus täsmälleen sinulle, asiakkaat, vakuutusyhtiöt ja hankintakriteerit pyytävät yhä useammin näyttöä siitä, että organisaatiolla on henkilötietojensa hallinnan kanssa kunnossa. Käsittelytoimintojen luettelo on ensimmäinen asiakirja, jota ihmiset pyytävät. Kun sinun on selitettävä, mitä SaaS-työkaluja käytetään, mitä käsittelyä koskevia sopimuksia niihin liittyy ja kuka mistä vastaa, hyödyt siitä, että rekisteri on jo olemassa, sen sijaan että tekisit sen viime hetkellä.
Tuo yleiskuva ei tarvitse olla monimutkainen. Se koskee kunkin käsittelyn osalta sen kirjaamista, mitä tietoja on kyseessä, mihin tarkoitukseen niitä käsitellään, keillä on niihin pääsy, onko kolmas osapuoli mukana ja kuinka kauan tietoja säilytetään. Tiedot- tietovarastoon GDPR-asioista tilanteen mukaan siitä selitetään, mitä kukin käsittelytyyppi käytännössä sisältää, ja lisätään viittaus virallisen tekstin kohteeseen.
Kuinka arvioit tämän omassa tilanteessasi
Se, soveltuuko yrityksellesi poikkeus, riippuu käsittelyjen täsmällisestä luonteesta ja tiheydestä, joita suoritat, ja kyseinen arviointi vaihtelee organisaatioittain. Henkilötietojen suojaviranomainen julkaisee ohjeita rekisterointivelvollisuuden soveltamisalasta, ja sinun on suositeltavaa tutustua niihin tai ottaa asiaan oikeusneuvoja, jos haluat lausunnon omasta erityistilanteestasi. Mitä teemme gdpria.eu-sivustolla, on rakentaa järjestelmä: selittää mitä sääntö tarkoittaa, lähteenään, jotta voit itse arvioida tilanteesi. Sivulla jossa kerromme, mistä tietomme tulevat voit lukea, kuinka tämä yhteys lainsäädäntöön ja ohjeisiin toimii täsmälleen.
Usein esiin nousevat epävarmuustapauksissa, kuten itsenäinen ammatinharjoittaja yhdellä kiinteällä asiakkaalla tai säätiö, jossa on vain vapaaehtoisia, ovat mukana usein kysytyt kysymykset GDPR:stä käytännössä. Usein käy ilmi, että keskustelu poikkeuksesta on vähemmän tärkeä kuin aluksi luulee, koska selkeä käsittelyjen rekisteri auttaa joka tapauksessa asiakkaiden kysymyksiin vastaamisessa tai rekisteröidyn pyynnön käsittelemisessä.
Lyhyesti sanottuna
GDPR koskee lähes jokaista organisaatiota, joka käsittelee henkilötietoja. Rekisterointivelvollisuuden poikkeus on kapea ja koskee vain sitä, että käsittely on satunnaista, ei aiheuta riskiä ja ei koske erityisiä tietoja. Useimmille pienille ja keskisuurille yrityksille, joilla on henkilöstöä, asiakkaita tai verkkosivustoa, tämä poikkeus on saavuttamattomissa, ja omien käsittelyjen selvittäminen on ennen kaikkea käytännöllistä hyötyä.
Haluatko nopeasti nähdä, kuinka omaa tilannettasi arvioidaan? Tee ilmainen pika-arviointi tai selaa aiheita luo liiketaloudellinen tili ja aloita itse.