Kas väikeettevõtted vajavad isikuandmete kaitse üldmääruse kohast töötlemistoimingute registrit?

Isikuandmete kaitse üldmääruse artikkel 30 nõuab, et vastutavad ja volitatud töötlejad peaksid oma töötlemistoimingute registrit. Artikli 30 lõige 5 vabastab sellest alla 250 töötajaga organisatsioonid, mistõttu paljud väikeettevõtted eeldavad, et neil pole midagi vaja. Erandil on aga kolm erandit, mis võtavad selle enamikult ettevõtetelt ära.

Millal erand ei kehti

Alla 250 töötajaga organisatsioon peab registrit siiski pidama, kui tema töötlemine:

• kujutab tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele;
• ei ole juhuslik või
• hõlmab isikuandmete eriliike (näiteks terviseandmeid) või süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmeid.

Mida see praktikas tähendab

Palgaarvestus tehakse iga kuu, kliendihaldussüsteemi kasutatakse iga päev. Peaaegu iga ettevõte töötleb isikuandmeid korrapäraselt, seega ei ole töötlemine juhuslik ja erand nende tegevuste puhul ei kehti. Järelevalveasutused tõlgendavad seda üldjuhul just nii.

Mida register sisaldab

Vastutavate töötlejate puhul loetleb art 30 lg 1 registri sisu:

• vastutava töötleja ja asjakohasel juhul andmekaitseametniku nimi ja kontaktandmed;
• töötlemise eesmärgid;
• andmesubjektide ja isikuandmete liigid;
• vastuvõtjate kategooriad, sealhulgas vastuvõtjad kolmandates riikides;
• edastamine kolmandatesse riikidesse ja kasutatavad kaitsemeetmed;
• võimaluse korral andmete kustutamise tähtajad;
• võimaluse korral turvameetmete üldine kirjeldus.

Miks see on siiski kasulik

Register on kõige muu alus: Teie privaatsusteade, vastused juurdepääsutaotlustele, rikkumiste hindamine ja vastused klientide hoolsuskohustuse küsimustikele. Meie isikuandmete kaitse üldmääruse hindamine koostab Teie vastuste põhjal eeltäidetud registri, sealhulgas volitatud töötleja osa, kui töötlete andmeid klientide nimel.