Krótka odpowiedź
RODO ma zastosowanie do praktycznie każdej organizacji, która przetwarza dane osobowe, niezależnie od jej wielkości. Oznacza to, że zarówno przedsiębiorstwo instalacyjne zatrudniające czterech pracowników, działalność jednoosobowa z klientami, jak i fundacja z волontariuszami w zasadzie podlegają rozporzadzeniu natychmiast po rozpoczęciu rejestrowania imion, adresów e-mail, danych wynagrodzeń lub innych danych osobowych. Jeśli chodzi o prowadzenie rejestru operacji przetwarzania, RODO przewiduje wyjątek dla organizacji zatrudniających mniej niż 250 pracowników, ale wyjątek ten obowiązuje tylko wtedy, gdy spełnione są jednocześnie określone warunki.
W praktyce niewiele firm MŚP spełnia wszystkie te warunki, po prostu dlatego, że administracja kadrowa, baza klientów lub nagranie z kamery są szybko postrzegane jako przetwarzanie ciągłe. To, czy wyjątek ma dokładnie zastosowanie w Twojej organizacji, najlepiej sprawdzić na podstawie samego tekstu ustawy lub z prawnikiem; artykuł ten opisuje, kiedy pytanie staje się istotne i na co warto zwrócić uwagę.
Co dokładnie wyjątek obejmuje
RODO stanowi w artykule 30 ust. 5, że obowiązek prowadzenia rejestru operacji przetwarzania nie ma zastosowania do organizacji zatrudniających mniej niż 250 pracowników, chyba że przetwarzanie, które przeprowadzają, wiąże się z ryzykiem dla praw i wolności osób, których dane dotyczą, nie ma charakteru okazjonalnego lub dotyczy szczególnych kategorii danych osobowych, takich jak dane dotyczące zdrowia. Wszystkie te wyjątki od wyjątku mają swój powód: ustawodawca chciał zwolnić małe organizacje z formalnego obowiązku rejestrowania w określonych, ograniczonych przypadkach, ale nie z samego utrzymywania przeglądu.
Słowo "okazjonalne" jest przy tym najważniejsze. Administracja wynagrodzeń, która działa co miesiąc, baza klientów, którą aktualizujesz codziennie, lub kamery, które stale nagrywają obraz, nie są przetwarzaniem okazjonalnym. Gdy przetwarzanie jest stałą częścią operacyjną biznesu, wyjątek szybko się nie stosuje.
Kiedy pytanie jest dla Ciebie istotne
Pytanie "czy to dotyczy mnie" jest szczególnie istotne dla osób prowadzących działalność jednoosobową bez pracowników i bez stałej bazy klientów, które od czasu do czasu wystawiają fakturę i niewiele rejestrują danych osobowych. W ich przypadku wyjątek może teoretycznie obowiązywać. Gdy pojawi się personel, zostanie użyty system CRM, będą przechowywane podania, lub witryna internetowa zbiera dane odwiedzających za pośrednictwem plików cookie lub formularza kontaktowego, prawie zawsze mamy do czynienia z przetwarzaniem ciągłym i wyjątek nie ma już zastosowania.
Przedsiębiorstwo instalacyjne z administracją kadrową, systemem planowania z danymi klientów i być może kamerą przy warsztacie zostaje tym samym wyłączone z wyjątku. Menedżer HR, który zarządza danymi z aplikacji, aktami nieobecności i danymi wynagrodzeń, przetwarza je na pewno na stałej podstawie. Dla tych firm rejestr operacji przetwarzania to nie tylko kwestia prawna, ale także praktycznie przydatny: daje przegląd na pierwszy rzut oka, które systemy zawierają które dane, kto ma do nich dostęp i jak długo dane są przechowywane.
Dlaczego rejestr jest przydatny nawet bez obowiązku
Niezależnie od tego, czy wyjątek dokładnie ma zastosowanie, klienci, ubezpieczyciele i zamawiający coraz częściej proszą o wykazanie, że organizacja ma kontrolę nad swoimi danymi osobowymi. Rejestr operacji przetwarzania jest tu pierwszym dokumentem, o który się prosi. Jeśli musisz wyjaśnić, które narzędzia SaaS są używane, które umowy przetwarzania się do nich wiążą i kto za co jest odpowiedzialny, skorzystasz na rejestrze, który jest już prowadzony, zamiast tworzyć go w ostatniej chwili.
Ten przegląd nie musi być skomplikowany. Chodzi o rejestrowanie dla każdej operacji przetwarzania, które dane ją dotyczą, w jakim celu są przetwarzane, kto ma do nich dostęp, czy zaangażowana jest trzecia strona, i jak długo dane są przechowywane. W banku wiedzy z tematami RODO na sytuację zawiera szczegóły dotyczące tego, co konkretnie powinno być uwzględnione dla każdego typu przetwarzania, wraz ze wskazaniem źródła w oficjalnym tekście.
Jak ocenić to w swojej własnej sytuacji
To, czy Twoja firma kwalifikuje się do zwolnienia, zależy od dokładnego charakteru i częstotliwości przetwarzania danych, które przeprowadzasz, a ocena ta różni się w zależności od organizacji. Urząd Ochrony Danych Osobowych publikuje wytyczne dotyczące zakresu obowiązku prowadzenia rejestru, a jeśli chcesz mieć pewność co do swojej konkretnej sytuacji, warto się z nimi zapoznać lub zasięgnąć porady prawnika. To, co robimy na gdpria.eu, to wprowadzanie struktury: wyjaśniamy, co dana reguła oznacza, wraz ze źródłem, abyś mógł sam ocenić, gdzie się znajdujesz. Na stronie wyjaśniającej źródła naszych informacji możesz przeczytać, jak dokładnie działa to powiązanie z tekstem ustawy i wytycznymi.
Częste przypadki budzące wątpliwości, takie jak samozatrudniony z jednym stałym zleceniodawcą lub fundacja wyłącznie z wolontariuszami, pojawiają się w często zadawanych pytaniach na temat RODO w praktyce. Często okazuje się, że dyskusja na temat zwolnienia jest mniej ważna niż się wydaje, ponieważ przejrzysty rejestr i tak pomaga w odpowiadaniu na pytania klientów lub obsługiwaniu wniosków osób, których dane dotyczą.
Krótko mówiąc
RODO dotyczy praktycznie każdej organizacji, która przetwarza dane osobowe. Zwolnienie z obowiązku prowadzenia rejestru jest wąskie i dotyczy wyłącznie sytuacji, gdy przetwarzanie jest okazjonalne, nie wiąże się z ryzykiem i nie dotyczy kategorii danych szczególnych. Dla większości małych i średnich przedsiębiorstw z pracownikami, klientami lub witryną internetową zwolnienie to jest poza zasięgiem, a przegląd własnego przetwarzania danych ma przede wszystkim praktyczną wartość.
Chcesz szybko sprawdzić, jak wygląda Twoja sytuacja? Wykonaj bezpłatną szybką ocenę lub przejrzyj tematy na utwórz konto biznesowe i zacznij samodzielnie.