Īss atbilde
GDPR attiecas uz gandrīz katru organizāciju, kas apstrādā personas datus, neatkarīgi no tās lieluma. Tas nozīmē, ka arī instalācijas uzņēmums ar četriem darbinikiem, vienpersonu saimniecība ar klientiem vai labdarības organizācija ar brīvprātīgajiem principā ietilpst regulā, tiklīdz tiek reģistrēti vārdi, e-pasta adreses, algas dati vai citi personas dati. Attiecībā uz datu apstrādes reģistra pienākumu GDPR paredz izņēmumu organizācijām, kurām ir mazāk nekā 250 darbinieku, taču šis izņēmums galiur tikai tad, ja vienlaicīgi tiek izpildīti vairāki nosacījumi.
Praksē maz MKB uzņēmumu atbilst visiem šiem nosacījumiem, vienkārši tāpēc, ka personāla administrācija, klientu dati vai kameras ieraksti tiek uzskatīti par pastāvīgu apstrādi. Tas, vai izņēmums precīzi attiecas uz jūsu organizāciju, vislabāk ir pārbaudīt pēc paša normatīvā akta vai konsultējoties ar jurista palīdzību; šis raksts apraksta, kad šis jautājums kļūst aktuāls un uz ko jāpievērš uzmanība.
Kas tieši ir iekļauts izņēmumā
GDPR 30. panta piektajā punktā noteikts, ka datu apstrādes reģistra pienākums neattiecas uz organizācijām, kurām ir mazāk nekā 250 darbinieku, izņemot gadījumus, kad apstrāde rada risku datu subjektu tiesībām un brīvībām, nav incidentiāla vai attiecas uz speciālas kategorijas personas datiem, piemēram, veselības datiem. Visiem šiem izņēmumiem no izņēmuma ir iemesli: likumdevējs vēlējās, lai mazas organizācijas neuzskatītu par atbrīvotām no kontroles pienākuma, bet tikai no formāla reģistra pienākuma ļoti specifiskas un ierobežotas situācijās.
Vārds "incidentiāla" šeit ir visnotveicīgākais. Algu administrācija, kas rit katru mēnesi, klientu dati, kurus jūs katru dienu atjauniniet, vai kameras, kas nepārtraukti piefiksē attēlus, nav incidentiāla apstrāde. Tiklīdz apstrāde kļūst par pastāvīgu uzņēmuma darbības daļu, izņēmums tiek izslēgts.
Kad šis jautājums jums svarīgs
Jautājums "vai tas attiecas uz mani" ir jo īpaši aktuāls pašnodarbinātajiem bez darbinieku un bez pastāvīga klientu reģistra, kas laiku pa laikam nosūta rēķinus un minimāli reģistrē personas datus. Viņiem teorētiski var piemērot izņēmumu. Tiklīdz tiek pievienoti darbinieki, izmantots CRM sistēma, uzglabātas pieteikuma anketas vai tīmekļa vietne savāc apmeklētāju datus caur sīkdatnēm vai kontaktu formu, gandrīz vienmēr ir pastāvīga apstrāde un izņēmums vairs neatbilst.
Instalācijas uzņēmums ar personāla administrāciju, plānošanas sistēmu ar klientu datiem un iespējams kameru darbnīcā tāpēc ietilpst ārpus izņēmuma. HR vadītājs, kurš pārvalda pieteikuma anketas, slimības lapas un algas datus, apstrādā patiešām pastāvīgi. Šiem uzņēmumiem datu apstrādes reģistrs ir ne tikai juridisks jautājums, bet arī praktiski naudīgs: tas sniedz skaidru pārskatu par to, kādas sistēmas satur kādus datus, kam ir piekļuve un cik ilgi dati tiek paturēti.
Kāpēc reģistrs ir noderīgs arī bez pienākuma
Neatkarīgi no tā, vai izņēmums precīzi attiecas uz jūsu gadījumu, klienti, apdrošinātāji un iepirkuma organizācijas arvien biežāk pieprasa pierādīt, ka organizācijai ir kontrole pār saviem personas datiem. Datu apstrādes reģistrs ir pirmais dokuments, ko vaicā. Ja jums ir jāskaidro, kādus SaaS rīkus izmanto, kādi datu apstrādes līgumi ar tiem ir saistīti un kas par ko atbild, tas ir noderīgi, ja reģistrs jau tiek uzturēts, nevis tas jāsastāda pēdējā mirklī.
Šis pārskats nav jābūt sarežģītam. Tas ir par katras apstrādes ierakstīšanu — kādi dati ir iesaistīti, kādam nolūkam tos apstrādā, kam ir pieeja, vai ir iesaistīta trešā puse, un cik ilgi datus glabā. Šajā zināšanu bankā ar GDPR tēmām katrā situācijā ir izstrādāts, kas konkrēti katrā apstrādes veidā ietilpst, ar atsauci uz oficiālo tekstu.
Kā to novērtēt savai situācijai
Tas, vai jūsu uzņēmums ietilpst izņēmumā, ir atkarīgs no apstrādes operāciju precīzā rakstura un biežuma, ko jūs veiciet, un tas ir novērtējums, kas atšķiras katrai organizācijai. Personīgo datu pārvaldības iestāde publicē pamatnostājas par reģistru pienākuma jomu, un, lai iegūtu viedokli par jūsu konkrēto situāciju, ieteicams tās konsultēt vai iesaistīt juristu. Tas, ko mēs darām gdpria.eu, ir ieviest struktūru: skaidrot, ko noteikums nozīmē, ar avotu, lai jūs paši varētu novērtēt savu pozīciju. Šo var redzēt lapā par mūsu informācijas avotiem kā precīzi darbojas saite ar normatīvo aktu tekstu un pamatnostājām.
Bieži apšaubāti gadījumi, piemēram, patstāvīgais darbinieks ar vienu pastāvīgu klientu vai fonds tikai ar brīvprātīgajiem, parādās biežāk uzdotajos jautājumos par GDPR praksē. Bieži izrādās, ka diskusija par izņēmumu ir mazāk svarīga nekā gaidīts, jo pārskatāms reģistrs jebkurā gadījumā palīdz atbildēt uz klientu jautājumiem vai apstrādāt betona puses pieprasījumu.
Īsumā
GDPR attiecas uz gandrīz katru organizāciju, kas apstrādā personīgos datus. Izņēmums no reģistru pienākuma ir šaurs un attiecas tikai tad, ja apstrāde ir gadījuma, nav saistīta ar risku un neskar īpašu kategoriju datus. Lielākajai daļai MKB uzņēmumu ar personālu, klientiem vai vietni šis izņēmums nav pieejams, un pašas apstrādes pārskats ir īpaši praktiski noderīgs.
Vai vēlaties ātri redzēt, kur atrodas jūsu situācija? Veiciet bezmaksas ātro skenēšanu vai pārlūkojiet tēmas izveidojiet biznesa kontu un sāciet patstāvīgi.