Krátka odpoveď
GDPR sa vzťahuje na takmer každú organizáciu, ktorá spracováva osobné údaje, bez ohľadu na veľkosť. To znamená, že aj inštalačná spoločnosť so štyrmi zamestnancami, jednoosobový podnik s klientmi alebo nadácia s dobrovoľníkmi v podstate podľa nariadenia podliehajú, akonáhle sa zaznamenajú mená, e-mailové adresy, údaje o plate alebo iné osobné údaje. Pokiaľ ide o vedenie registra spracovateľských činností, GDPR pozná výnimku pre organizácie s menej ako 250 zamestnancami, ale táto výnimka platí len vtedy, ak sú splnené viaceré podmienky súčasne.
V praxi len málo malých a stredných podnikov spĺňa všetky tieto podmienky, jednoducho preto, že spracovanie miezd, zoznam klientov alebo nahrávanie kamerou sa rýchlo posudzuje ako štruktúrované spracovanie. Či sa výnimka vzťahuje presne na vašu organizáciu, je najlepšie skontrolovať na základe samotného textu zákona alebo s právnikom; tento článok popisuje, kedy sa otázka stáva relevantnou a na čo môžete dať pozor.
Čo presne výnimka znamená
GDPR ustanovuje v článku 30, odsek 5, že povinnosť viesť register spracovateľských činností sa nevzťahuje na organizácie s menej ako 250 zamestnancami, pokiaľ spracovanie, ktoré vykonávajú, nevytvára riziko pre práva a slobody dotknutých osôb, nie je príležitostného charakteru alebo sa týka osobitných kategórií osobných údajov, ako sú údaje o zdraví. Všetky tieto výnimky z výnimky sú tam z určitého dôvodu: zákonodarca chcel malé organizácie oslobodiť nie od zachovania prehľadu, ale len od formálnej povinnosti viesť register v špecifických, obmedzených prípadoch.
Slovo "príležitostného charakteru" je pritom najrešujúcejšie. Spracovanie platov, ktoré prebieha každý mesiac, zoznam klientov, ktorý denne aktualizujete, alebo kamery, ktoré nepretržite zaznamenávajú záber, nie sú príležitostnými spracovaniami. Akonáhle sa spracovanie stáva štruktúrovanou súčasťou podnikania, výnimka sa rýchlo vymyká dosahu.
Kedy je pre vás táto otázka aktuálna
Otázka "vzťahuje sa to na mňa" je obzvlášť relevantná pre samostatne zárobkovo činné osoby bez personálu a bez trvalej správy klientov, ktoré čas od času odošlú faktúru a ďalej si zaznamenávajú málo osobných údajov. Pre nich môže byť výnimka teoreticky platná. Akonáhle sa pridá personál, používa sa CRM systém, uchovávajú sa žiadosti o zamestnanie alebo webová stránka zbiera údaje o návštevníkoch prostredníctvom súborov cookie alebo formulára kontaktu, je tu takmer vždy štruktúrované spracovanie a výnimka už neprichádza do úvahy.
Inštalačná spoločnosť so spracovaním miezd, plánovacím systémom s údajmi o klientoch a možno kamerou v dielni sa teda vymyká výnimke. HR manažér, ktorý spravuje údaje z žiadostí o prácu, spisy o neprítomnosti a údaje o platoch, spracováva určite štruktúrovaným spôsobom. Pre tieto spoločnosti nie je register spracovateľských činností len právnou záležitosťou, ale aj prakticky užitočný: poskytuje na prvý pohľad prehľad o tom, ktoré systémy obsahujú ktoré údaje, kto k nim má prístup a ako dlho sa údaje uchovávajú.
Prečo je register užitočný aj bez povinnosti
Nezávisle od otázky, či sa výnimka presne vzťahuje, klienti, poisťovatelia a obstarávateľské subjekty čoraz viac žiadajú preukazovať, že organizácia má prehľad nad svojimi osobnými údajmi. Register spracovateľských činností je pritom prvým dokumentom, o ktorý pýtajú. Kto musí vysvetliť, ktoré SaaS nástroje sa používajú, ktoré zmluvy so spracovateľom k nim patria a kto za čo nescháva, má prospech z registra, ktorý sa už vedie, namiesto toho, aby sa pokúšal poslednú chvíľu vypracovať.
Tento prehľad nemusí byť komplikovaný. Ide o to zaznamenať si pre každé spracovanie, ktoré údaje ide, s akým účelom sa spracovávajú, kto k nim má prístup, či sa na tom podieľa tretia strana a ako dlho sa údaje uchovávajú. V poznatkovej základni s témami GDPR podľa situácie vysvetľuje, čo konkrétne patrí do jednotlivých typov spracovania, s odkazom na miesto v oficiálnom texte.
Ako to posúdite pre vašu vlastnú situáciu
To, či vaša spoločnosť spadá pod výnimku, závisí od presnej povahy a frekvencie spracovateľských činností, ktoré vykonávate, a toto posúdenie sa líši podľa organizácie. Úrad na ochranu osobných údajov zverejňuje pokyny týkajúce sa rozsahu povinnosti vedenia záznamu, a na posúdenie vašej špecifickej situácie je vhodné tieto pokyny konzultovať alebo zapojiť právnika. To, čo robíme na gdpria.eu, je vnášanie štruktúry: vysvetlenie, čo pravidlo znamená, s údajom o zdroji, aby ste mohli sami posúdiť, kde stojíte. Na stránke o tom, odkiaľ pochádzajú naše informácie si môžete prečítať, ako presne funguje toto prepojenie s právnym textom a pokynmi.
Česte diskutované sporne prípady, ako napríklad osoba samostatne zárobkovo činná s jedným stálym objednávateľom alebo nadácia len s dobrovoľníkmi, sú uvedené v často kladených otázkach k GDPR v praxi. Často sa ukazuje, že diskusia o výnimke je menej dôležitá, ako sa zdá, pretože prehľadný záznam v každom prípade pomáha pri odpovedaní na otázky zákazníkov alebo vybavovania žiadosti osoby, na ktorú sa údaje vzťahujú.
Stručne zhrnúť
GDPR sa vzťahuje na prakticky každú organizáciu, ktorá spracúva osobné údaje. Výnimka z povinnosti vedenia záznamu je úzka a vzťahuje sa len na prípad, ak je spracovanie príležitostné, nie je spojené s rizikom a nespracúvajú sa špeciálne kategórie osobných údajov. Pre väčšinu MKB-podnikov s personálom, zákazníkmi alebo webom je táto výnimka mimo dosahu, a prehľad vlastného spracovania má predovšetkým praktický prínos.
Chcete rýchlo vidieť, ako stojí vaša situácia? Vykonajte bezplatnú rýchlu kontrolu alebo prelistujte témy na vytvorenie firemného účtu a začiatok na vlastnú päsť.