GDPR – Käsittelytoimien selosteet

Yleinen tietosuoja-asetus velvoittaa, GDPR:n 30 artiklan mukaisesti, kirjallisen dokumentaation ja yleiskuvan menettelytavoista, joilla henkilötietoja käsitellään. Käsittelytoimien luetteloiden on sisällettävä merkittäviä tietoja tietojenkäsittelystä, mukaan lukien tietoluokat, rekisteröityjen ryhmä, käsittelyn tarkoitus ja tietojen vastaanottajat. Tämä on toimitettava viranomaisille täysin pyynnöstä.

Velvollisuus luoda käsittelytoimien selosteita ei koske ainoastaan rekisterinpitäjää ja heidän edustajaansa, vaan myös suoraan käsittelijää ja heidän edustajiaan, kuten GDPR:n 30 artiklan 2 kohdassa säädetään. Poikkeuksena yritykset tai laitokset, joilla on alle 250 työntekijää, voivat olla vapautettuja selosteen pitämisestä, jos käsittely ei todennäköisesti aiheuta riskiä rekisteröidyn oikeuksille ja vapauksille, jos erityisiä tietoryhmiä ei käsitellä tai jos käsittely tapahtuu vain satunnaisesti, kuten GDPR:n 30 artiklan 5 kohdassa mainitaan. Käytännössä tämä poikkeus soveltuu harvoin. Lukuun ottamatta ongelmia, joita esiintyy tulkittaessa, mikä katsotaan ’vain satunnaiseksi’, useimmissa yrityksissä – jopa laajalla tulkinnalla termistä – tietoja käsitellään yksiselitteisesti säännöllisesti, mukaan lukien verkkosivuston, verkkokaupan, palkkalaskennan tai CRM-järjestelmien tietojen käsittely. On huomattava, että dokumentointivelvollisuus ja siten käsittelytoimien selosteet tulevat olemaan valvontaviranomaisten tarkastusten keskiössä tietosuoja-asetuksen toimeenpanossa.

Jos yritys ei ylläpidä käsittelytoimintojen kirjaa ja/tai ei toimita täydellistä luetteloa viranomaisille, heille voidaan määrätä sakkoja GDPR:n 83 artiklan 4 kohdan a alakohdan mukaan. Mahdolliset sakot voivat olla jopa 10 miljoonaa euroa tai 2 % vuotuisesta liikevaihdosta. Tätä kokonaisuutta arvioidaan yleensä viranomaisten toimesta vain poikkeuksellisissa tapauksissa. Tässä yhteydessä viranomaisia kannustetaan, kuten johdanto-osan 13 kappaleessa on esitetty, ”huomioimaan mikro-, pienten ja keskisuurten yritysten erityistarpeet tämän asetuksen soveltamisessa”.