TL;DR
Art. 30.5 undantar organisationer med färre än 250 anställda — om inte behandlingen sannolikt medför en risk, ELLER inte är tillfällig, ELLER omfattar särskilda kategorier eller uppgifter om lagöverträdelser. De tre villkoren är alternativ. Lönehanteringen är inte tillfällig och innehåller hälsouppgifter: två slår till samtidigt.
Felet sitter i ordet «eller»
Art. 30.5 undantar organisationer med färre än 250 anställda från skyldigheten att föra registerförteckning, «såvida inte den behandling som utförs sannolikt kan medföra en risk för registrerades rättigheter och friheter, behandlingen inte är tillfällig eller behandlingen omfattar särskilda kategorier av uppgifter som avses i artikel 9.1 eller personuppgifter om lagöverträdelser som avses i artikel 10». Tre villkor, sammanbundna med «eller». Artikel 29-gruppen klargjorde detta uttryckligen i sitt ställningstagande av den 19 april 2018: de är alternativ, och ett enda räcker för att undantaget ska falla.
«Inte tillfällig» avgör diskussionen nästan varje gång
Tillfällig är den behandling som inte sker regelbundet, inte ingår i den ordinarie verksamheten och saknar varaktig karaktär. Lönerna körs varje månad. Kundhanteringen upphör aldrig. Ansökningar kommer in hela året. Ingen av dem är tillfällig, och undantaget har redan fallit, oavsett antalet anställda. Läggs sjukintyg till gäller dessutom förbehållet om särskilda kategorier enligt art. 9.1.
- Undantaget är aldrig fullständigt: det skulle på sin höjd omfatta de behandlingar som inte uppfyller något av de tre villkoren. För alla övriga kvarstår skyldigheten — en organisation för alltså antingen en ofullständig eller en fullständig förteckning.
- Art. 30.1 anger minimiinnehållet: namn och kontaktuppgifter, ändamål, kategorier av registrerade och av uppgifter, kategorier av mottagare, överföringar till tredjeland med skyddsåtgärder, raderingsfrister och en allmän beskrivning av åtgärderna enligt art. 32.1.
- Även personuppgiftsbiträdet för en egen förteckning (art. 30.2), med annat innehåll: där anges de personuppgiftsansvariga för vars räkning det agerar, inte ändamålen.
- Art. 30.4: förteckningen ska på begäran göras tillgänglig för tillsynsmyndigheten. I praktiken är det det första dokument som efterfrågas.
Vad en mall inte gör
En mall ger kolumnerna, inte innehållet. De två fält där förteckningar regelmässigt havererar går inte att skriva av: lagringstiden, som skiljer sig åt mellan uppgiftskategorier och rättsordningar, och åtgärderna enligt art. 32, som måste motsvara den teknik som faktiskt används. En förteckning där det överallt står «lagstadgade tider» besvarar inte frågan — den undviker den.
Det praktiska rådet till rådgivaren: öppna inte ens diskussionen om de 250. Den kostar en halvtimme och slutar alltid likadant. Mer användbart är att fråga vilka behandlingar som finns och hur länge uppgifterna stannar — för det är där svaret saknas, och det är precis vad myndigheten frågar efter.
Söker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
