TL;DR
30 artiklan 5 kohta vapauttaa alle 250 työntekijän organisaatiot — paitsi jos käsittely todennäköisesti aiheuttaa riskin, TAI ei ole satunnaista, TAI sisältää erityisiä henkilötietoryhmiä tai rikostuomioita koskevia tietoja. Kolme ehtoa ovat vaihtoehtoja. Palkanlaskenta ei ole satunnaista ja sisältää terveystietoja: kaksi täyttyy kerralla.
Virhe piilee sanassa «tai»
30 artiklan 5 kohta vapauttaa selostevelvoitteesta organisaatiot, joiden palveluksessa on alle 250 työntekijää, «paitsi jos suoritettu käsittely todennäköisesti aiheuttaa riskin rekisteröidyn oikeuksille ja vapauksille, käsittely ei ole satunnaista tai käsittely kohdistuu 9 artiklan 1 kohdassa tarkoitettuihin erityisiin henkilötietoryhmiin tai 10 artiklassa tarkoitettuihin rikostuomioita ja rikkomuksia koskeviin henkilötietoihin». Kolme ehtoa, yhdistettynä sanalla «tai». Tietosuojatyöryhmä täsmensi tämän nimenomaisesti 19. huhtikuuta 2018 antamassaan kannanotossa: ne ovat vaihtoehtoja, ja yhdenkin täyttyminen poistaa vapautuksen.
«Ei satunnaista» ratkaisee asian lähes aina
Satunnaista on käsittely, joka ei tapahdu säännöllisesti, ei kuulu tavanomaiseen toimintaan eikä ole luonteeltaan pysyvää. Palkat lasketaan joka kuukausi. Asiakashallinta ei keskeydy. Hakemuksia tulee ympäri vuoden. Mikään näistä ei ole satunnaista, ja vapautus on jo pudonnut riippumatta työntekijämäärästä. Jos mukaan tulevat sairauslomatodistukset, täyttyy lisäksi erityisiä tietoryhmiä koskeva 9 artiklan 1 kohdan varauma.
- Vapautus ei ole koskaan täydellinen: se kattaisi korkeintaan ne käsittelytoimet, jotka eivät täytä yhtäkään kolmesta ehdosta. Kaikkien muiden osalta seloste on edelleen pakollinen — organisaatio pitää siis joko osittaista tai täydellistä selostetta.
- 30 artiklan 1 kohta luettelee vähimmäissisällön: nimi ja yhteystiedot, tarkoitukset, rekisteröityjen ja tietojen ryhmät, vastaanottajaryhmät, siirrot kolmansiin maihin suojatoimineen, poistamisen määräajat sekä yleinen kuvaus 32 artiklan 1 kohdan toimenpiteistä.
- Myös henkilötietojen käsittelijä pitää omaa selostettaan (30 artiklan 2 kohta), jonka sisältö on eri: siinä mainitaan rekisterinpitäjät, joiden lukuun toimitaan, ei tarkoituksia.
- 30 artiklan 4 kohta: seloste on pyynnöstä saatettava valvontaviranomaisen saataville. Käytännössä se on ensimmäinen pyydetty asiakirja.
Mitä malli ei tee
Malli antaa sarakkeet, ei sisältöä. Kahta kenttää, joissa selosteet säännönmukaisesti kaatuvat, ei voi kopioida: säilytysaikaa, joka vaihtelee tietoryhmittäin ja oikeusjärjestyksittäin, ja 32 artiklan toimenpiteitä, joiden on vastattava tosiasiassa käytettyä tekniikkaa. Seloste, jossa lukee kaikkialla «lakisääteiset määräajat», ei vastaa kysymykseen — se väistää sen.
Käytännön neuvo neuvonantajalle: älä avaa keskustelua 250:stä lainkaan. Se maksaa puoli tuntia ja päättyy aina samoin. Hyödyllisempi on kysymys siitä, mitä käsittelytoimia on ja kuinka kauan tiedot säilyvät — sillä juuri siitä vastaus puuttuu, ja juuri sitä viranomainen kysyy.
Etsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta
