A rövid válasz
A GDPR szinte minden szervezetre vonatkozik, amely személyes adatokat kezel, függetlenül a mérettől. Ez azt jelenti, hogy egy négy alkalmazottal rendelkező szerelő vállalkozás, egy egyéni vállalkozó ügyfelekkel, vagy egy önkéntes alapítvány alapvetően a rendelet hatálya alá esik, amint olyan adatok rögzítésre kerülnek, mint nevek, e-mail címek, béradatok vagy egyéb személyes adatok. A feldolgozási tevékenységek nyilvántartásának vezetéséhez a GDPR kivételt ismer el a 250-nél kevesebb alkalmazottal rendelkező szervezetek számára, de ez a kivétel csak akkor alkalmazható, ha számos feltétel egyidejűleg teljesül.
A gyakorlatban kevés KKV-vállalkozás teljesíti mindezeket a feltételeket, egyszerűen azért, mert a munkaadó-nyilvántartás, az ügyfélkör vagy a kamerarendszer gyakran strukturált feldolgozásnak tekintendő. Az Ön szervezete számára pontosan milyen mértékben érvényes a kivétel, ezt a magát a jogszöveggel vagy egy jogásszal legcélszerűbb ellenőrizni; ez a cikk azt ismerteti, hogy mikor válik a kérdés relevanssá és mire kell ügyelnie.
Mit jelent pontosan a kivétel
A GDPR a 30. cikk ötödik bekezdésében úgy rendelkezik, hogy a feldolgozási tevékenységek nyilvántartásának vezetésére vonatkozó kötelezettség nem vonatkozik a 250-nél kevesebb alkalmazottal rendelkező szervezetekre, feltéve, hogy az általuk végzett feldolgozás nem jelent kockázatot az érintett személyek jogaira és szabadságaira vonatkozóan, nem eseti jellegű, vagy nem érinti az olyan személyes adatok különleges kategóriáit, mint az egészségügyi adatok. Ezek a kivételek a kivételre érdemben megindokoltak: a törvényhozó nem akarta mentesíteni a kis szervezeteket az áttekintés megtartása alól, csak a formális nyilvántartási kötelezettség alól bizonyos, korlátozott esetekben.
Az "eseti jellegű" kifejezés ennek során a legfontosabb. Egy havonta futó bérszámfejtés, egy napi szinten frissített ügyfélkör, vagy olyan kamerák, amelyek folyamatosan rögzítenek, nem eseti jellegű feldolgozások. Amint a feldolgozás strukturáltan válik az üzlet részévé, a kivétel hamar elérhetetlen lesz.
Mikor merül fel az Ön számára ez a kérdés
A "vonatkozik-e erre rám" kérdés különösen a munkaadott nem foglalkoztatók és fix ügyfél-nyilvántartással nem rendelkező egyéni vállalkozók számára releváns, akik alkalmanként számlát küldnek, és egyéb módon kevés személyes adatot rögzítenek. Számukra az elvben a kivétel alkalmazható. Amint munkaadottak érkeznek, CRM-rendszert használnak, önéletrajzokat tárolnak, vagy egy weboldal látogatási adatokat gyűjt sütik vagy kapcsolatfelvételi formanyomtatvány útján, szinte mindig strukturált feldolgozásról van szó, és a kivétel már nem aktuális.
Egy munkaadó-nyilvántartással, az ügyfélgegevenseket tartalmazó tervező rendszerrel és talán a munkahelynél egy kamerával rendelkező szerelő vállalkozás nem esik a kivételre. Az olyan HR-menedzser, aki önéletrajz-adatokat, betegszabadság-dossziékat és béradatokat kezel, szinte biztosan strukturáltan feldolgoz. Ezen vállalkozások számára a feldolgozási tevékenységek nyilvántartása nemcsak jogi kérdés, hanem gyakorlatban is hasznos: egyetlen pillantásban áttekintést ad arról, mely rendszerek mely adatokat tartalmazzák, ki férhet hozzájuk, és meddig maradnak az adatok.
Miért hasznos a nyilvántartás kötelezettség nélkül is
A kötelezettség teljesülésétől függetlenül az ügyfelek, biztosítók és közbeszerzési szervezetek egyre gyakrabban kérik annak igazolását, hogy egy szervezet uralommal bír személyes adatai felett. A feldolgozási tevékenységek nyilvántartása ebben az első olyan dokumentum, amely utáni kutatnak. Akinek meg kell magyaráznia, mely SaaS-eszközöket használ, mely feldolgozó megállapodások tartoznak hozzájuk, és ki miért felelős, számára hasznos egy már vezetett nyilvántartás, ahelyett, hogy az utolsó pillanatban kellene elkészítenie.
Ez az áttekintés nem kell bonyolultnak lennie. Feldolgozásonként rögzítendő, mely adatokról van szó, milyen céllal dolgozzák fel azokat, kinek van hozzáférése, harmadik fél szerepe és az adatok megtartásának időtartama. Az AVG-témák tudásbázisa helyzetenkénti alapon részletezi, hogy az egyes feldolgozások típusaiban konkrétan mi tartozik bele, a hivatkozással az officális szöveghez.
Hogyan értékelheti ezt a saját helyzetében
Az, hogy vállalkozása az alól a kivétel alá tartozik-e, attól függ, hogy pontosan milyen jellegű és gyakorisággal végez feldolgozásokat, és ezt az értékelést szervezetenként eltérően kell végezni. A Hatóság iránymutatásokat tesz közzé az adatkezelési nyilvántartási kötelezettség hatálya tekintetében, és a saját helyzete értékeléséhez javasolt ezeket megtekinteni vagy jogtanácsost bevonni. A gdpria.eu-n azt tesszük, hogy struktura hozunk: elmagyarázzuk, mit jelent a szabály, forrással, hogy Ön maga eldönthesse, hol áll. A az információink forrásáról szóló oldalon megtudhatja, hogyan működik pontosan a jogszabályi szöveggel és az iránymutatásokkal való összekapcsolódás.
A gyakran vitatott esetek, mint például egy egyéni vállalkozó egyetlen állandó megbízójával vagy egy szervezet, amelynek csak önkéntesei vannak, visszatérnek az AVG gyakorlatban felmerülő gyakori kérdésekben. Gyakran kiderül, hogy a kivételről folytatott vita kevésbé fontos, mint gondolnák, mivel az áttekinthető nyilvántartás mindenképpen segít az ügyfelek kérdéseire válaszolni vagy a betartott személy kérelmét kezelni.
Röviden összegezve
Az AVG szinte minden, személyes adatokat feldolgozó szervezetre vonatkozik. Az adatkezelési nyilvántartási kötelezettség alól való kivétel szűk, és csak akkor érvényes, ha a feldolgozás eseti jellegű, nem járul kockázattal, és nem érinti a különleges kategóriájú adatokat. A legtöbb KKV-vállalkozat, amelyiknek van munkavállalója, ügyfelei vagy weboldala, ezen a kiváltságos helyzeten kívül van, és a saját feldolgozások áttekintése elsősorban gyakorlati hasznossággal jár.
Szeretné gyorsan megtudni, hol áll a saját helyzetében? Végezze el az ingyenes gyors felmérést, vagy lapozzon végig a témákon a üzleti fiók létrehozása és az önálló kezdés.