Det korta svaret
Dataskyddsförordningen gäller för i princip varje organisation som behandlar personuppgifter, oavsett storlek. Det betyder att även ett installationsföretag med fyra anställda, en enskild näringsidkare med kunder eller en stiftelse med volontärer i princip omfattas av förordningen så snart namn, e-postadresser, löneinformation eller andra personuppgifter registreras. För upprätthållande av ett behandlingsregister finns det ett undantag i dataskyddsförordningen för organisationer med färre än 250 anställda, men detta undantag gäller endast om ett antal villkor är uppfyllda samtidigt.
I praktiken uppfyller få små och medelstora företag alla dessa villkor, helt enkelt för att en personalpersonalregistrering, en kundbas eller en kameraupptagning snart anses utgöra regelbunden behandling. Huruvida undantaget exakt gäller för er organisation är något som ni bäst kan kontrollera genom själva lagstexten eller med hjälp av en jurist; denna artikel beskriver när frågan blir relevant och vad ni bör uppmärksamma.
Vad undantaget exakt innebär
Dataskyddsförordningen stadgar i artikel 30, femte stycket, att skyldigheten att upprätthålla ett behandlingsregister inte gäller för organisationer med färre än 250 anställda, såvida inte behandlingen som de utför innebär en risk för den registrerades rättigheter och friheter, inte är tillfällig eller avser särskilda kategorier av personuppgifter såsom hälsouppgifter. Alla dessa undantag från undantaget finns där av ett skäl: lagstiftaren ville inte frihälla små organisationer från övervakning, endast från den formella registreringsskyldigheten i specifika, begränsade fall.
Ordet "tillfällig" är därmed det mest avgörande. En lönepersonalregistrering som körs varje månad, en kundbas som du uppdaterar dagligen eller kameror som kontinuerligt registrerar bilder är inte tillfällig behandling. Så snart behandlingen är en regelbunden del av verksamheten ligger undantaget snart bortom räckhåll.
När frågan är relevant för er
Frågan "gäller detta för mig" är främst relevant för egenföretagare utan personal och utan fast kundregister som ibland skickar en faktura och i övrigt registrerar få personuppgifter. För dem kan undantaget teoretiskt gälla. Så snart personal läggs till, ett CRM-system används, ansökningar sparas eller en webbplats samlar in besöksuppgifter via cookies eller ett kontaktformulär, är det i princip alltid fråga om regelbunden behandling och undantaget gäller inte längre.
Ett installationsföretag med en personalpersonalregistrering, ett schemaläggningssystem med kunduppgifter och kanske en kamera vid verkstaden faller därmed utanför undantaget. En HR-chef som hanterar ansökningsuppgifter, frånvaroakter och löneinformation behandlar redan helt regelbundna uppgifter. För dessa företag är ett behandlingsregister inte bara en juridisk fråga utan också praktiskt användbart: det ger en omedelbar överblick över vilka system som innehåller vilka uppgifter, vem som får tillgång och hur länge uppgifter sparas.
Varför registret är användbart även utan lagkrav
Oavsett om undantaget exakt gäller frågar kunder, försäkringsbolag och upphandlande parter allt oftare efter bevis på att en organisation har kontroll över sina personuppgifter. Ett behandlingsregister är då det första dokument som efterfrågas. Den som måste förklara vilka SaaS-verktyg som används, vilka behandlingsavtal som hör till dem och vem som är ansvarig för vad, har nytta av ett register som redan upprätthålls, i stället för att improvisa ett i sista stund.
Den överblicken behöver inte vara komplicerad. Det handlar om att för varje behandling registrera vilka uppgifter det gäller, för vilket syfte de behandlas, vem som har tillgång till dem, om en tredje part är inblandad och hur länge uppgifterna sparas. I kunskapsdatabasen med dataskyddsförordningsämnen per situation det preciseras vad som konkret ingår för varje typ av behandling, tillsammans med källhänvisningen i den officiella texten.
Hur du bedömer detta för din egen situation
Huruvida ditt företag omfattas av undantaget beror på den exakta karaktären och frekvensen av de behandlingar du utför, och det är en bedömning som skiljer sig mellan organisationer. Myndigheten för dataskydd publicerar riktlinjer om registerpliktens omfattning, och för ett ställningstagande om din specifika situation rekommenderas det att konsultera dessa eller att anlita en jurist. Det vi gör på gdpria.eu är att skapa struktur: förklara vad regeln innebär, tillsammans med källan, så att du själv kan bedöma var du står. På sidan om var vår information kommer ifrån kan du läsa hur denna koppling till lagstiftningen och riktlinjerna fungerar.
Vanliga tveksamma fall, till exempel en egenföretagare med en fast uppdragsgivare eller en stiftelse med endast frivilliga, återkommer i de vanliga frågorna om GDPR i praktiken. Ofta visar det sig att diskussionen om undantaget är mindre viktig än man trodde, eftersom ett tydligt register i alla fall hjälper till att svara på kundfrågor eller hantera en begäran från en registrerad.
Kort sammanfattat
GDPR gäller för nästan varje organisation som behandlar personuppgifter. Undantaget från registerplikten är snävt och gäller endast om behandlingen är tillfällig, inte medför någon risk och inte gäller särskilda kategorier av uppgifter. För de flesta små och medelstora företag med personal, kunder eller en webbplats ligger det undantaget utanför räckhåll, och en överblick över de egna behandlingarna är framför allt praktiskt användbar.
Vill du snabbt se var din egen situation står? Gör den kostnadsfria snabbkontrollen eller bläddra igenom ämnena på skapa ett affärskonto och börja själv.