Vastaus lyhyesti
Yleisin virhe henkilötietojen käsittelyä koskevan rekisterin kohdalla ei ole se, että se puuttuu, vaan se, että se täytetään kerran eikä sitä päivitetä enää sen jälkeen. Rekisterin tulee olla elävä yhteenveto siitä, mitä yrityksessäsi tapahtuu henkilötiedoille. Heti kun hankit uuden työkalun, vaihdat palkkiojärjestelmän toimittajaa tai laitat kameran ovelle, kuvaus muuttuu – mutta käytännössä näin ei usein tapahdu.
Lisäksi näemme kolme muuta virhettä, jotka toistuvat jatkuvasti: vain ilmeiset järjestelmät otetaan mukaan, tarkoitus ja säilytysaika muotoillaan liian epämääräisesti, ja rekisteri sekoitetaan tietojen käsittelijän sopimukseen, vaikka kyse on eri asiasta. Alla selvennämme kutakin virhettä ja näytämme, kuinka voit välttää sen käytännössä.
Virhe 1: rekisteristä tulee ajankohdan kuva sen sijaan, että se olisi elävä asiakirja
Monet yritykset täyttävät rekisterin sillä hetkellä, kun aloittavat sen – usein asiakkaan tai kirjanpitäjän pyynnön seurauksena – ja pitävät sitä sen jälkeen valmiina. Mutta tämän päivän käsittely näyttää usein hyvin erilaiselta vuoden päästä: uusi kirjanpito-ohjelma tulee käyttöön, HR-työkalua vaihdetaan tai aletaan lähettää uutiskirjettä eri alustan kautta. Jos rekisteri ei muutu, syntyy ero sen välille, mitä paperilla sanotaan, ja mitä todellisuudessa tapahtuu. Ero huomataan yleensä vasta sitten, kun rekisteri tarvitaan: kun otetaan vastaan henkilön tietopyyntö, kilpailutuksessa tai tietovuodon jälkeen.
Tämän virheen ydin on se, että rekisteriin suhtaudutaan usein projektina, vaikka kyse on prosessista. Sille ei ole määritetty tarkastusajankohtaa, eikä kukaan ole rakenteellisesti vastuussa siitä. lue, kuinka tällainen rekisteri pysyy automaattisesti ajantasaisena kun se linkitetään jo käyttämiinne työkaluihin sen sijaan, että sitä säilytettäisiin erillisenä Word-asiakirjassa.
Virhe 2: vain näkyvät järjestelmät päätyvätkään rekisteriin
Toinen yleinen virhe on, että vain "suuret" käsittelyt kirjataan: CRM-järjestelmä, palkanlaskenta, mahdollisesti verkkokauppe. Pienemmät tai vähemmän näkyvät käsittelyt jäävät huomiotta, vaikka ne kuuluvat yhtä lailla GDPR:n piiriin. Ajattele esimerkiksi Excel-listaa asiakastiedoista, jota ylläpidetään CRM:n rinnalla, WhatsApp-ryhmää, jossa ovat myös asiakkaiden puhelinnumerot, tai erillistä näyttelytilan varausjärjestelmää. Myös laajalti käytetyt SaaS-työkalut, kuten aikataulutussovellus, sähköisen allekirjoituksen palvelu tai tuntikirjaamistyökalu, kuuluvat rekisteriin, vaikka ne olisi "vain nopeasti" otettu käyttöön.
Tämä virhe syntyy yleensä ei huolimattomasta työstä, vaan tietämyksen puutteesta: monet yrittäjät eivät tarkalleen tiedä, mitkä heidän organisaationsa työkalut käsittelevät henkilötietoja. Luettelo tunnetuista SaaS-työkaluista auttaa kaventamaan tämän sokean pisteen; tietovarastossa on selitetty aiheittain, milloin työkalu kuuluu GDPR:n soveltamisalaan.
Virhe 3: tarkoitus ja säilytysaika muotoillaan liian epämääräisesti
Kolmas yleinen virhe on itse rekisterin sisällössä. Jokaisen käsittelyn kohdalla on oltava konkreettinen tarkoitus, oikeusperusta ja ilmoitus siitä, kuinka kauan tietoja säilytetään. Käytännössä tämä täytetään usein muotoiluilla, kuten "liiketoiminta" tai "niin kauan kuin on tarpeellista". Se ei ole virhe siinä mielessä, että rekisteri muuttuisi pätemättömäksi, mutta se tekee rekisteristä vähemmän hyödyllistä: se ei vastaa kysymykseen, miksi tietoja säilytetään ja milloin ne tulisi poistaa.
GDPR itse perustuu oikeudellisen perustan ja säilytysrajoituksen periaatteelle, eikä se määrää kiinteitä säilytysaikoja — nämä ajanjaksot vaihtelevat tietotyypistään ja sektorista riippuen. Rekisteri, joka konkretisoi tämän kunkin käsittelyn osalta, on siten arvokkaampi kuin rekisteri, joka käyttää samanlaista yleistä muotoilua kaikkialla.
Kuinka ehkäistä tämä käytännössä
Näiden virheiden takana oleva yhteys on, että rekisteriä pidetään kertaluonteisena tehtävänä sen sijaan, että se olisi osa liiketoiminnan johtamista. Hyvä käytäntö on yhdistää rekisteri tapahtumiin, jotka tapahtuvat joka tapauksessa: uuden työkalun hankkiminen, toimittajan vaihtaminen tai vuosittainen keskustelu kirjanpitäjän kanssa. Näillä hetkillä on järkevää tarkistaa myös, pitääkö rekisteri paikkansa.
Se auttaa myös, jos määrität etukäteen, kuka organisaatiossanne on vastuussa sen päivittämisestä, vaikka se olisi yksi henkilö muiden tehtävien rinnalla. Ilman omistajaa päivittäminen jää sattuman varaan. Jos juutut johonkin tiettyyn tilanteeseen, esimerkiksi siihen, kuuluuko tietty työkalu rekisteriin vai ei, löydät usein kysytyt kysymykset usein lyhyen ja konkreettisen vastauksen sekä viittauksen viralliseen tekstiin.
Haluatko nähdä, miltä omasi rekisteri näyttäisi käyttämiesi työkalujen perusteella ilman, että sinun tarvitse ensin selvittää kaikkea manuaalisesti? Suorita ilmainen quick-scan tai luo liikeyrityksen tili nähdäksesi, mitä rekisteriin tulisi tilanteessasi.