Trumpas atsakymas
GDPR taikomas beveik kiekvienai organizacijai, kuri teikia asmens duomenų paslaugą, neatsižvelgiant į jos dydį. Tai reiškia, kad net ir keturių darbuotojų montavimo įmonė, savivaldė įmonė su klientais arba savanoriais vadinama asociacija, iš principo priklauso reglamentui, kai tik registruojami vardai, el. pašto adresai, atlyginimų duomenys arba kiti asmens duomenys. Pagal GDPR duomenų apdorojimo registrą tvarkyti privaloma visoms organizacijoms, kuriose dirba daugiau nei 250 darbuotojų, tačiau šio išimčių galiojimo sąlygos yra griežtos.
Praktikoje nedaugelis KMU atitinka visas tas sąlygas, tiesiog todėl, kad žmogiškųjų išteklių administracija, klientų duomenų bazė arba kamerų vaizdo įrašas greitai laikomi nuolatine apdorojimo veikla. Konkrečiai, ar ši išimtis taikoma jūsų organizacijai, geriausiai patikrinti pasitikrint pačiu įstatymo tekstu arba pasikonsultavę su teisininku; šis straipsnis aprašo, kada šis klausimas tampa aktualus ir į ką reikėtų atkreipti dėmesį.
Ką išimtis iš tikrųjų reiškia
GDPR 30 straipsnio penktoje dalyje nurodyta, kad įpareigojimas tvarkyti duomenų apdorojimo registrą netaikomas organizacijoms, kuriose dirba mažiau nei 250 darbuotojų, išskyrus atvejus, kai jų atliekamas duomenų apdorojimas kelia riziką betroktiesiems arba nėra laikinas, arba apima ypatingu kategoriju asmens duomenis, pavyzdžiui, sveikatos duomenis. Visos šios išimčių išimtys nustatytos dėl svarios priežasties: įstatymo leidėjas norėjo neapleidinėti mažų organizacijų turėti duomenų priežiūrą, tik išleisti iš forminio registro vedimo pareigos specifiniuose, ribotiems atvejams.
Žodis "laikinas" yra čia pats svarbiausia. Atlyginimų administracija, kurie atliekama kiekvieną mėnesį, klientų duomenų bazė, kurią kasdien atnaujinate, arba kameros, kurios nuolat vaizduoja, nėra laikinasis apdorojimas. Kai apdorojimas yra nuolatinė verslo veiklos dalis, išimtis greitai nebeigalioja.
Kada šis klausimas yra aktualus jums
Klausimas "ar tai taikoma man" yra ypač svarbus savivaldžioms įmonėms be darbuotojų ir be nuolatinės klientų administracijos, kurios kartais pateikia sąskaitą faktūrą ir iš esmės registruoja nedaug asmens duomenų. Joms išimtis teoriškai gali būti taikoma. Kai tik pridedamas personalas, naudojamas CRM sistema, saugomi paraiškymai arba interneto svetainė renka lankytojų duomenis naudojant slapukus arba kontaktinę formą, beveik visada yra nuolatinio apdorojimo ir išimtis daugiau netaikoma.
Montavimo įmonė su žmogiškųjų išteklių administracija, planavimo sistema su klientų duomenimis ir galbūt kamera prie darbo vietos, todėl nepatenka į išimtį. Personalo vadovas, kuris valdo paraiškymo duomenis, nebuvimo failus ir atlyginimų duomenis, apdoroja iš tikrųjų nuolat. Šiems verslo modeliams duomenų apdorojimo registras yra ne tik teisinė suma, bet ir praktiškai naudingas: jis suteikia iš pirmo žvilgsnio apžvalgą, kurie sistemų turiniai duomenis, kas jais gali naudotis ir kiek ilgai duomenys saugomi.
Kodėl registras yra naudingas, net jei jis nėra privalomas
Nepriklausomai nuo to, ar ši išimtis jums konkrečiai taikoma, klientai, draudikai ir sudarantys viešuosius pirkimus reikalauja vis dažniau pademonstruoti, kad organizacija turi kontrolę virš savo asmens duomenų. Duomenų apdorojimo registras yra pirmasis dokumentas, kurį žmonės prašo. Kas turi paaiškinti, kokie SaaS įrankiai naudojami, kokios duomenų apdorojimo sutartys su jais susijusios ir kas už ką atsakingas, turi naudą iš registryno, kuris jau vedamas, užuot jį kurtas paskutinę akimirką.
Tas apžvalga neturi būti sudėtinga. Речь идет о записи для каждой обработки, какие данные yra apie tai, kokiam tikslui jie yra apdorojami, kas turi prieigą, ar yra trečioji šalis ir kiek laiko duomenys laikomi. In žinių bankas su BDAR temomis pagal situaciją nurodoma, kas iš tikrųjų turėtų būti įtraukta kiekvieno tipo apdorojimui, su nuorodomis į oficialų tekstą.
Kaip jūs tai vertinate savo situacijoje
Tai, ar jūsų verslas patenka į išimtį, priklauso nuo tikslaus apdorojimo pobūdžio ir dažnumo, kurį atliksite, o tai yra vertinimas, kuris skiriasi kiekvienai organizacijai. Duomenų apsaugos valdyba skelbia gaires dėl registro pareigos apimties, o norint gauti nuomonę apie jūsų konkrečią situaciją, rekomenduojama jas peržiūrėti arba pasikonsultuoti su teisininku. Ką mes darėme gdpria.eu, tai struktūra: paaiškinti, ką taisyklė reiškia, iš šaltinio, kad jūs sami galėtumėte įvertinti, kur jūs esate. On puslapyje apie tai, iš kur mūsų informacija gaunama perskaitysite, kaip tiksliai veikia ryšys su teise ir gaidomis.
Dažni dviprasmiški atvejai, pvz., zzp'er su vienu pastoviu užsakovu arba fondacija su tik savanoriais, yra prisiminti dažnai užduodami klausimai apie BDAR praktikoje. Dažnai pasirodo, kad diskusija apie išimtį yra mažiau svarbi nei galvojama, nes suprantamas registras vis tiek padeda atsakyti į klientų klausimus arba tvarkyti betrokoto prašymą.
Trumpai pasakius
BDAR taikoma beveik kiekvienai organizacijai, apdorojančiai asmens duomenis. Išimtis iš registro pareigos yra siaura ir taikoma tik tuo atveju, jei apdorojimas yra nuolatinis, jei jis nešioja jokio riziko ir jei jis nekeičia specialių duomenų. Daugeliui MKB įmonių su personalu, klientais ar svetaine ši išimtis yra nepasiekiama, o savų apdorojimų apžvalga yra daugiausia praktinio naudingumo.
Norite greitai pamatyti, kur yra jūsų situacija? Atlikite nemokamą greitą skenavimą arba naršykite per temas sukurti verslo sąskaitą ir pradėti patys.