Kratek odgovor
Splošna uredba o varstvu podatkov (GDPR) se uporablja za skoraj vsako organizacijo, ki obdeluje osebne podatke, ne glede na velikost. To pomeni, da tudi inštalacijsko podjetje s štirimi zaposlenimi, samostojni podjetnik s strankami ali zveza s prostovoljci v načelu podlegajo uredbi, takoj ko se zbirajo imena, e-poštni naslovi, podatki o plačah ali drugi osebni podatki. Pri vzdrževanju registra obdelav ima GDPR izjemo za organizacije z manj kot 250 zaposlenimi, vendar se ta izjema uporablja samo, če so izpolnjeni številni pogoji hkrati.
V praksi malo podjetij z manjšo zaposlenostjo izpolnjuje vse te pogoje, preprosto zato, ker se kadrovska ureditev, bazo podatkov strank ali posnetke s kamer šteje za sistematično obdelavo. Ali se izjema natančno uporablja za vašo organizacijo, je najbolje preveriti s pregledom samega besedila zakona ali s pravnikom; ta članek opisuje, kdaj je vprašanje relevantno in na kaj morate biti pozorni.
Kaj natančno izjema pomeni
GDPR v členu 30, odstavku 5, določa, da se obveznost vzdrževanja registra obdelav ne uporablja za organizacije z manj kot 250 zaposlenimi, razen če obdelava, ki jo izvajajo, predstavlja tveganje za pravice in svoboščine posameznikov, ni priložnostna ali se nanša na posebne kategorije osebnih podatkov, kot so zdravstveni podatki. Vse te izjeme od izjeme so tu z razlogom: zakonodajalec ni želel razbremeniti manjših organizacij od nadzora, ampak samo od formalne obveznosti vzdrževanja registra v specifičnih, omejenih primerih.
Beseda »priložnostna« je pri tem najbolj odločilna. Kadrovska ureditev, ki se izvaja vsak mesec, bazo podatkov strank, ki jo dnevno posodabljate, ali kamere, ki neprekinjeno zajemajo posnetke, niso priložnostne obdelave. Takoj ko je obdelava sistematičen del poslovanja, je izjema hitro zunaj dosega.
Kdaj je to vprašanje za vas relevantno
Vprašanje »ali se to nanaša name« je posebej relevantno za samostojne podetnike brez zaposlenih in brez rednega registra strank, ki občasno pošljejo račun in sicer malo zbirajo osebnih podatkov. Zanje se izjema teoretično lahko uporablja. Takoj ko dodate zaposlene, uporabite sistem upravljanja odnosov s strankami, shranjujete vloge za zaposlitev ali spletna stran zbira podatke obiskovalcev prek piškotkov ali obrazca za stik, je skoraj vedno govora o sistematični obdelavi in izjema ni več vprašanje.
Inštalacijsko podjetje s kadrovsko ureditvijo, sistemom načrtovanja z podatki strank in morda kamerami na delovnem mestu tako ne spada pod izjemo. Vodja kadrovske službe, ki upravlja podatke iz vlog za zaposlitev, dosjejev o bolniški odsotnosti in podatke o plačah, obdeluje že sploh sistematično. Za ta podjetja register obdelav ni le pravno vprašanje, temveč tudi praktično koristen: omogoča pogled na to, kateri sistemi vsebujejo katere podatke, kdo ima dostop, in kako dolgo se podatki hranijo.
Zakaj je register koristen tudi brez obveznosti
Ne glede na to, ali se izjema natančno uporablja, stranke, zavarovalnice in naročniki vse bolj pogosto zahtevajo, da se dokaže, da ima organizacija nadzor nad svojimi osebnimi podatki. Register obdelav je pri tem prvi dokument, ki ga zahtevajo. Kdor mora razložiti, kateri programski paketi se uporabljajo, katere pogodbe o obdelavi podatkov z njimi spadajo skupaj in kdo je za kaj odgovoren, ima koristi od registra, ki se že vodi, namesto da bi ga na zadnji moment pripravil.
Ta pregled ni nujno zapleten. Gre za to, da za vsako obdelavo zabeležite, katere podatke gre, s kakšnim namenom se obdelujejo, kdo ima dostop, ali je vključena tretja oseba, in kako dolgo se podatki hranijo. V bazi znanja s temami GDPR glede na situacijo pojasnjuje, kaj je treba vključiti za vsako vrsto obdelave podatkov, s sklicevanjem na uradni besedilo.
Kako to ocenite za vašo situacijo
Ali se vaš podjetjem na podlagi izjeme oprostitve, je odvisno od natančne narave in pogostosti obdelav podatkov, ki jih izvajate, in to je ocena, ki se razlikuje od organizacije do organizacije. Nadzorni organ za varstvo podatkov objavlja smernice o obsegu obveznosti vesti register, in za oceno vaše specifične situacije je priporočljivo, da si jih ogledate ali da se posvetujete s pravnikom. Kar počnemo na gdpria.eu, je vzpostaviti strukturo: razložiti, kaj pravilo pomeni, s virjem, da si sami lahko ogledate, kje ste. Na strani o tem, od kje prihajajo naši podatki si ogledate, kako ta povezava z besedilom zakona in smernicami deluje.
Pogosti dvomljivi primeri, na primer zzp'er z enim stalnim naročnikom ali fundacija samo s prostovoljci, se pojavljajo v pogosto postavljanih vprašanjih o GDPR v praksi. Pogosto se izkaže, da je razprava o izjemi manj pomembna, kot se zdi, ker pregledljiv register vsekakor pomaga pri odgovarjanju na vprašanja strank ali pri obravnavanju zahteve osebe.
Na kratko
GDPR se uporablja za skoraj vsako organizacijo, ki obdeluje osebne podatke. Izjema pri obveznosti vodenja registra je ozka in velja samo, če je obdelava naključna, ne predstavlja tveganja in ne vključuje posebnih kategorij podatkov. Za večino podjetij MKB s kadrom, strankami ali spletnim mestom je ta izjema izven dosega, in pregled lastnih obdelav je predvsem praktičen.
Ali želite hitro videti, kje je vaša situacija? Opravite brezplačno hitro oceno ali si oglejte teme na ustvariti poslovni račun in začeti.