TL;DR
Art. 30 nr. 5 fritar virksomheter med færre enn 250 ansatte — med mindre behandlingen kan medføre en risiko, ELLER ikke er leilighetsvis, ELLER omfatter særlige kategorier eller opplysninger om straffedommer. De tre vilkårene er alternativer. Lønnskjøring er ikke leilighetsvis og inneholder helseopplysninger: to slår inn samtidig.
Feilen ligger i ordet «eller»
Art. 30 nr. 5 fritar virksomheter med færre enn 250 ansatte fra protokollplikten, «med mindre behandlingen de utfører sannsynligvis vil medføre en risiko for de registrertes rettigheter og friheter, behandlingen ikke er leilighetsvis, eller behandlingen omfatter særlige kategorier av opplysninger som nevnt i artikkel 9 nr. 1 eller personopplysninger om straffedommer og lovovertredelser som nevnt i artikkel 10». Tre vilkår, bundet sammen med «eller». Artikkel 29-gruppen presiserte dette uttrykkelig i sitt standpunkt av 19. april 2018: de er alternativer, og ett av dem er nok til at fritaket faller bort.
«Ikke leilighetsvis» avslutter diskusjonen nesten hver gang
Leilighetsvis er en behandling som ikke skjer regelmessig, ikke inngår i den ordinære driften og ikke har varig karakter. Lønn kjøres hver måned. Kundebehandlingen stopper aldri. Søknader kommer hele året. Ingen av dem er leilighetsvise, og fritaket er allerede falt bort, uansett antall ansatte. Kommer sykmeldinger i tillegg, slår også forbeholdet om særlige kategorier etter art. 9 nr. 1 inn.
- Fritaket er aldri fullstendig: det ville i høyden omfatte de behandlingene som ikke oppfyller noen av de tre vilkårene. For alle andre består protokollplikten — en virksomhet fører altså enten en delvis eller en fullstendig protokoll.
- Art. 30 nr. 1 lister minsteinnholdet: navn og kontaktopplysninger, formål, kategorier av registrerte og av opplysninger, kategorier av mottakere, overføringer til tredjeland med garantier, slettefrister og en generell beskrivelse av tiltakene etter art. 32 nr. 1.
- Databehandleren fører også sin egen protokoll (art. 30 nr. 2), med annet innhold: der står de behandlingsansvarlige den opptrer på vegne av, ikke formålene.
- Art. 30 nr. 4: protokollen skal gjøres tilgjengelig for tilsynsmyndigheten på forespørsel. I praksis er det det første dokumentet som etterspørres.
Hva en mal ikke gjør
En mal gir kolonnene, ikke innholdet. De to feltene der protokoller regelmessig svikter, lar seg ikke kopiere: lagringstiden, som varierer med opplysningskategori og rettsorden, og tiltakene etter art. 32, som må svare til teknikken som faktisk brukes. En protokoll der det overalt står «lovbestemte frister», svarer ikke på spørsmålet — den unngår det.
Det praktiske rådet til rådgiveren: ikke åpne diskusjonen om de 250 i det hele tatt. Den koster en halvtime og ender alltid likt. Mer nyttig er spørsmålet om hvilke behandlinger som finnes og hvor lenge opplysningene blir liggende — for det er der svaret mangler, og det er nøyaktig det tilsynsmyndigheten spør om.
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
