Seloste ei ole luettelo järjestelmistä
Yleisin virhe on kirjata ohjelmistoja käsittelytoimien sijaan. Artikla 30 kysyy tarkoitusta, ei työkalua: sama järjestelmä palvelee usein montaa tarkoitusta, joilla on eri oikeusperuste ja eri säilytysaika. Järjestelmäkohtainen seloste näyttää siistiltä eikä vastaa yhteenkään kysymykseen, jonka valvontaviranomainen esittää.
Mitä rekisterinpitäjän selosteessa on oltava
- Rekisterinpitäjän ja mahdollisen tietosuojavastaavan nimi ja yhteystiedot
- Käsittelyn tarkoitukset
- Kuvaus rekisteröityjen ryhmistä ja henkilötietoryhmistä
- Vastaanottajaryhmät, myös kolmansissa maissa olevat
- Mahdolliset siirrot kolmansiin maihin ja niiden suojatoimet
- Eri tietoryhmien suunnitellut poistamisen määräajat, jos mahdollista
- Yleinen kuvaus artiklan 32 mukaisista teknisistä ja organisatorisista turvatoimista, jos mahdollista
Taulukko vai jäsennelty seloste
Säilytysaika on selosteen vaikein kohta
"Tarpeellisen ajan" ei ole säilytysaika. DPO Workspacessa jokaisen käsittelytoimen säilytysaika kirjataan yhdessä sen perusteen kanssa — säännös, sopimus tai perusteltu päätös — ja perusteet ovat luettavissa myös jälkikäteen.
Kokeile maksuttaUsein kysyttyä
Mitä eroa on selosteella käsittelytoimista ja tietosuojaselosteella?
Ne ovat eri asiakirjoja eri yleisölle. Seloste käsittelytoimista on artiklan 30 mukainen sisäinen dokumentti, joka esitetään valvontaviranomaiselle pyynnöstä. Tietosuojaseloste on artiklojen 13 ja 14 mukainen informointi rekisteröidylle, ja se on julkinen. Sama sisältö ei kelpaa molempiin: informointi ei sisällä säilytysaikojen perusteluja eikä käsittelijäluetteloa, seloste taas ei ole kirjoitettu rekisteröidyn luettavaksi.
Vapauttaako alle 250 työntekijän raja selosteesta?
Käytännössä lähes ei koskaan. Artiklan 30 kohta 5 poistaa poikkeuksen heti, jos käsittely voi aiheuttaa riskin rekisteröidyn oikeuksille, jos se ei ole satunnaista, tai jos se koskee erityisiä henkilötietoryhmiä tai rikostuomioita. Palkanlaskenta on säännöllistä, ei satunnaista; työterveystiedot ovat erityisiä ryhmiä. Kymmenen hengen yritys täyttää yleensä ainakin yhden ehdon.
Tarvitseeko henkilötietojen käsittelijä oman selosteen?
Kyllä, ja sisällöltään erilaisen. Artiklan 30 kohta 2 määrää käsittelijälle oman selosteen: rekisterinpitäjien ryhmät joiden lukuun toimitaan, käsittelyryhmät, siirrot kolmansiin maihin ja turvatoimien kuvaus. Se ei ole kopio rekisterinpitäjän selosteesta.
Missä muodossa seloste on pidettävä?
Kirjallisessa muodossa, myös sähköisessä. Muotoa ei ole säädetty: taulukko kelpaa. Merkitystä on sillä, että seloste on ajan tasalla ja saatettavissa valvontaviranomaisen saataville pyynnöstä — ja että se vastaa sitä, mitä organisaatiossa oikeasti tehdään.
Kuinka usein seloste on päivitettävä?
Asetus ei anna väliä, vaan vaatii ajantasaisuutta. Käytännössä seloste vanhenee tapahtumista, ei kalenterista: uusi järjestelmä, uusi käsittelijä, uusi tarkoitus vanhalle aineistolle. Määrävälein tehtävä katselmus on hyödyllinen, mutta se ei korvaa päivitystä silloin kun jokin muuttuu.
Seloste, joka kestää kysymyksen
Tarkoitus, oikeusperuste, säilytysaika ja perustelu — käsittelytoimen sisällä, ei erillisessä muistiossa.
Aloita maksutta