Kratak odgovor
Uredba o zaštiti podataka primjenjuje se na gotovo svaku organizaciju koja obrađuje osobne podatke, bez obzira na veličinu. To znači da se instalacijska tvrtka s četiri zaposlena, jednoosobni obrt s klijentima ili udruga s volonterima u načelu podvode pod uredbu čim se zabilježe imena, e-adrese, podaci o plaćama ili drugi osobni podaci. Za vođenje registra obrada podataka, Uredba o zaštiti podataka ima iznimku za organizacije s manje od 250 zaposlenih, ali ta se iznimka primjenjuje samo ako se istovremeno ispune određeni uvjeti.
U praksi malo malih i srednje velikih poduzeća ispunjava sve te uvjete, jednostavno jer se administracija osoblja, baza klijenata ili snimanje kamerom brzo smatra redovnom obradom. Je li ta iznimka točno primjenjiva na vašu organizaciju, najbolje je provjeriti prema samom zakonu ili s pravnikom; ovaj članak opisuje kada je to pitanje relevantno i na što trebate obratiti pažnju.
Što iznimka točno znači
Uredba o zaštiti podataka u članku 30, stavku 5, određuje da obaveza vođenja registra obrada podataka ne vrijedi za organizacije s manje od 250 zaposlenih, osim ako obrada koju izvršavaju predstavlja rizik za prava i slobode osoba na koje se odnose podaci, nije povremena ili se tiče posebnih kategorija osobnih podataka kao što su zdravstveni podaci. Sve te iznimke na iznimku postoje s razlogom: zakonodavac je želio da male organizacije imaju uvid u podatke, ali ih ne obvezuje na formalni registar u specifičnim, ograničenim slučajevima.
Riječ "povremena" je pri tome najznačajnija. Administracija plaća koja se vodi svakog mjeseca, baza klijenata koju dnevno ažurirate ili kamere koje neprekidno bilježe slike nisu povremene obrade. Čim je obrada redoviti dio poslovanja, iznimka brzo prestaje biti dostupna.
Kada je ovo pitanje relevantno za vas
Pitanje "odnosi li se to na mene" posebno je relevantno za samozaposlene osobe bez osoblja i bez redovite baze klijenata, koje povremeno pošalju fakturu i dalje malo obrađuju osobnih podataka. Za njih iznimka teoretski može vrijediti. Čim se pojavi osoblje, koristi se CRM-sustav, čuvaju se molbe za posao ili web-stranica prikuplja podatke o posjetiteljima putem kolačića ili obrasca za kontakt, gotovo je uvijek riječ o redovnoj obradi i iznimka više ne dolazi u obzir.
Instalacijska tvrtka s administracijom osoblja, sustavom planiranja s klijentskim podacima i eventualno kamerom na radilištu tako ne spada pod iznimku. HR-menadžer koji upravlja podacima o kandidatima, dosijima bolovanja i podacima o plaćama obrađuje definitivno redovno. Za ta poduzeća registar obrada podataka nije samo pravna nego i praktična potreba: daje brz pregled koji sustavi sadržavaju koje podatke, tko ima pristup i koliko dugo se podaci čuvaju.
Zašto je registar koristan čak i bez obveze
Neovisno o tome je li iznimka točno primjenjiva, klijenti, osiguratelji i naročitelji sve se više trebaju dokazi da organizacija ima nadzor nad svojim osobnim podacima. Registar obrada podataka je pri tome prvi dokument koji se traži. Tko mora objasniti koje SaaS-alate koristi, koji ugovori o obradi podataka s njima dolaze u obzir i tko je odgovoran za što, ima koristi od registra koji je već vođen umjesto da ga se sastavi u zadnji trenutak.
Taj pregled ne mora biti kompliciran. Trebate zabilježiti za svaku obradu koje podatke se tiče, u koju svrhu se obrađuju, tko ima pristup, je li treća strana uključena i koliko dugo se podaci čuvaju. U baza znanja s temama Uredbe o zaštiti podataka po situaciji navodi što se konkretno treba uključiti za svaku vrstu obrade, s navođenjem mjesta u službenoj tekstu.
Kako to procijeniti za vašu situaciju
Primjenjuje li se iznimka vašemu poduzeću ovisi o točnoj naravi i učestalosti obrade koju obavljate, a to je procjena koja se razlikuje od organizacije do organizacije. Tijelo za zaštitu podataka objavljuje smjernice o opsegu obveze vođenja registra, a za mišljenje o vašoj specifičnoj situaciji preporučuje se da ih konzultirate ili angažirate pravnika. Ono što činimo na gdpria.eu je da donosimo strukturu: objašnjavamo što pravilo znači, s izvorom, tako da sami možete procijeniti gdje stojite. Na stranici o izvoru naših informacija možete vidjeti kako ta povezanost s tekstom zakona i smjernicama točno funkcionira.
Česta spora pitanja, poput samozaposlenika s jednim stalnim nalogodavcem ili zaklade sa samo volonterima, ponavljaju se na često postavljanim pitanjima o GDPR-u u praksi. Često se pokazuje da je rasprava o iznimci manje važna nego što se mislilo, jer će jasniji pregled i tako pomoći pri odgovaranju na pitanja korisnika ili rješavanju zahtjeva subjekta podataka.
Ukratko
GDPR se primjenjuje na gotovo svaku organizaciju koja obrađuje osobne podatke. Iznimka od obveze vođenja registra je uska i primjenjuje se samo ako je obrada sporedna, ne nosi rizik i ne uključuje posebne kategorije podataka. Za većinu malih i srednjih poduzeća s osobljom, korisnicima ili web-sjedištem ta je iznimka nedostižna, a pregled vlastitih obrada prije svega je od praktičnog značaja.
Želite li brzo vidjeti gdje stoji vaša situacija? Obavite besplatnu brzu provjeru ili pregledajte teme na otvoriti poslovni račun i početi sami.