GDPR – Töötlemistegevuste arvestus

Isikuandmete kaitse üldmäärus kohustab vastavalt GDPR artiklile 30 pidama kirjalikku dokumentatsiooni ja ülevaadet isikuandmete töötlemise protseduuridest. Töötlemistegevuste registreeringud peavad sisaldama olulist teavet andmetöötluse kohta, sealhulgas andmekategooriaid, andmesubjektide gruppe, töötlemise eesmärki ja andmesaadetisi. See peab olema täielikult kättesaadav ametiasutustele nõudmise korral.

Töötlemistoimingute üle arvestuse pidamise kohustus ei lasu mitte ainult vastutaval töötlejal ja tema esindajal, vaid ka volitatud töötlejal ja tema esindajatel, nagu on sätestatud GDPR-i artiklis 30 lõikes 2. Erandina on alla 250 töötajaga ettevõtted või asutused vabastatud arvestuse pidamisest, kui töötlemine ei pruugi seada ohtu andmesubjekti õigusi ja vabadusi, kui ei töödelda eri andmekategooriaid või kui töötlemine toimub ainult aeg-ajalt, nagu on märgitud GDPR-i artiklis 30 lõikes 5. Praktikas rakendatakse seda erandit harva. Peale raskuste, mis tekivad “ainult aeg-ajalt” käsitlemisel, toimub enamikus ettevõtetes – isegi selle termini laiahaardelise tõlgendamise korral – andmete regulaarne töötlemine, sealhulgas andmete töötlemine veebisaidi, nende veebipoe, palgaarvestuse või kliendihaldussüsteemide jaoks. Tuleb märkida, et dokumenteerimise kohustus ja seega töötlemistoimingute üle arvestuse pidamine on ametivõimude tähelepanu keskmes isikuandmete kaitse üldmääruse rakendamise kontrollimisel.

Kui ettevõte ei pea töötlemistegevuste üle arvestust ja/või ei esita ametivõimudele täielikku indeksit, siis nende suhtes kohaldatakse trahve vastavalt GDPR-i artiklile 83 (4) (a). Võimalikud trahvid võivad ulatuda kuni 10 miljoni euroni või 2% nende aastakäibest. Seda summat hindavad ametivõimud reeglina ainult erandjuhtudel. Selleks julgustatakse ametivõime, nagu on sätestatud põhjenduses 13, “arvesse võtma mikro-, väikeste ja keskmise suurusega ettevõtete erilisi vajadusi käesoleva määruse kohaldamisel.”