Isikuandmete töötlemise register kirjeldab, milliseid töötlemistoiminguid organisatsioon teeb ja kuidas nende eest vastutatakse. GDPR artikli 30 järgi on vastutava töötleja ja volitatud töötleja registri sisu erinev. Üks organisatsioon võib vajada mõlemat: näiteks teenuseosutaja töötleb oma töötajate andmeid enda eesmärgil ning kliendi andmeid kliendi nimel.
Register aitab siduda eesmärgid, andmeliigid, vastuvõtjad ja kaitsemeetmed tegeliku töökorraldusega. See ei muuda töötlemist iseenesest õiguspäraseks ega asenda turvameetmete rakendamist. Järgnev juhend selgitab kohustuslikke andmeid, väikese organisatsiooni erandi piire ning seda, kuidas koostada kontrollitav kirjeldus. Näidisväljad on lähtekoht, mida tuleb oma tegevuse järgi täiendada, mitte kinnitus organisatsiooni täieliku vastavuse kohta.
Kõigepealt otsusta, kelle rollis andmeid töötled
Vastutav töötleja määrab töötlemise eesmärgid ja vahendid. Volitatud töötleja töötleb isikuandmeid vastutava töötleja nimel. Roll ei tulene ainult lepingu pealkirjast, andmete asukohast ega sellest, kes ostab tarkvara. Vaata konkreetset tegevust: kes otsustab andmete kasutamise eesmärgi ja kes täidab teise poole juhiseid?
Raamatupidamisteenuse osutajal võib olla klientide palgaarvestuse kohta volitatud töötleja register. Sama ettevõtte enda töötajate värbamine ja palgaarvestus kuuluvad tema vastutava töötleja registrisse. Neid kirjeldusi saab hallata samas failis, kuid rollid ja kohustuslikud väljad peavad jääma eristatavaks. Kliendi protsesside kopeerimine enda vastutava töötleja registrisse võib muidu anda eksitava pildi otsustusõigusest.
Kõik tarnijad ei ole automaatselt volitatud töötlejad. Iseseisvalt eesmärke määrav andmesaaja võib olla eraldi vastutav töötleja. Kaasvastutus vajab samuti sisulist hindamist. Kui selgub, et teine pool töötleb andmeid teie nimel, tuleb registri kõrval korraldada artikli 28 kohane suhe. Registrikanne ei asenda kirjalikku, sealhulgas elektroonilist lepingut või muud pooli siduvat liidu või liikmesriigi õigusel põhinevat õigusakti.
Alla 250 töötaja erand ei ole üldine vabastus
GDPR artikli 30 erand puudutab ettevõtteid ja organisatsioone, kus töötab vähem kui 250 inimest. Erandile ei saa asjaomase töötlemise puhul tugineda, kui töötlemine ei ole juhuslik, võib tõenäoliselt ohustada inimeste õigusi ja vabadusi või hõlmab artikli 9 eriliigilisi andmeid või artikli 10 süüdimõistvate kohtuotsuste ja süütegudega seotud andmeid. Piisab ühe välistava tingimuse esinemisest.
Hinda töötlemistoiminguid, mitte üksnes organisatsiooni suurust. Regulaarne palgaarvestus on korduv tegevus ka siis, kui töötajaid on vähe. Samal ajal ei tähenda ühe toimingu registreerimise kohustus automaatselt, et sama erandi hinnang on kõigi võimalike muude toimingute puhul identne. Põhjenduse saab säilitada ka nende tegevuste kohta, mille puhul organisatsioon leiab erandi kohalduvat.
Vabatahtlikult võib register hõlmata rohkem toiminguid kui seaduse miinimum. See on sageli mõistlik töökorralduslik valik, sest killustatud ülevaadet on keerulisem kasutada. Siiski tasub dokumendis eristada õiguslikku kohustust ja organisatsiooni enda otsust pidada terviklikumat kaardistust. Töötajate arv üksi ei tõenda ei täielikku vabastust ega kõigi andmekaitsekohustuste täitmist.
Vastutava töötleja kohustuslikud andmed
Registris peavad olema vastutava töötleja ning vajaduse korral kaasvastutavate töötlejate, esindaja ja andmekaitsespetsialisti nimed ning kontaktandmed. Organisatsiooni puhul kasuta tema õiget nime; füüsilise isiku puhul märgi inimese nimi. Üldine osakonnanimetus ilma nõutava isiku või üksuse tuvastamiseta ei täida kõiki neid välju. Ühised kontaktandmed võivad paikneda registri päises, kui seos toimingutega jääb selgeks.
Iga töötlemise kohta tuleb kirjeldada eesmärke, andmesubjektide kategooriaid ja isikuandmete liike. Samuti tuleb esitada vastuvõtjate kategooriad, sealhulgas kolmandates riikides või rahvusvahelistes organisatsioonides asuvad vastuvõtjad. Eesmärk „äritegevus” on tavaliselt liiga lai, et lugeja mõistaks konkreetse andmekasutuse vajalikkust. Erista näiteks tellimuse täitmist, uudiskirja saatmist ja vaidluse lahendamist.
Vajaduse korral märgitakse edastamised kolmandasse riiki või rahvusvahelisele organisatsioonile ning vastava riigi või organisatsiooni nimi. Võimaluse korral lisatakse eri andmeliikide kavandatud kustutamistähtajad ja tehniliste ning korralduslike turvameetmete üldine kirjeldus. Sõnad „võimaluse korral” kuuluvad artikli 30 sõnastusse; need ei kõrvalda eraldi säilitamise piiramise ega turvalisuse kohustusi.
Vastutava töötleja näidisvormi kasutamine
Järgmine struktuur eristab seaduses loetletud andmeid töökorralduslikest lisaväljadest. Ühtegi näidisvastust ei tohiks üle võtta ilma tegelikku protsessi kontrollimata. Kui vajalik teave on veel selgitamisel, märgi see ausalt koos vastutaja ja lahendamise tähtajaga. „Puudub” peaks tähendama kontrollitud puudumist, mitte seda, et küsimust ei ole kelleltki küsitud.
Vastutava töötleja register — konkreetne töötlemistoiming
Vastutava töötleja nimi ja kontaktandmed:
Kaasvastutavate töötlejate nimed ja kontaktandmed, kui asjakohane:
Esindaja nimi ja kontaktandmed, kui asjakohane:
Andmekaitsespetsialisti nimi ja kontaktandmed, kui asjakohane:
Töötlemise eesmärgid:
Andmesubjektide kategooriad:
Isikuandmete kategooriad:
Vastuvõtjate kategooriad, sh kolmandates riikides / rahvusvahelistes organisatsioonides:
Edastamised ning kolmanda riigi / rahvusvahelise organisatsiooni nimi:
Art 49 lg 1 teise lõigu erandliku edastamise hinnang ja kaitsemeetmete dokumentatsioon:
Võimaluse korral kavandatud kustutamistähtajad andmeliikide kaupa:
Võimaluse korral tehniliste ja korralduslike turvameetmete üldkirjeldus:
Lisaväljad: protsessi omanik, õigusliku aluse analüüs, süsteemid, tõendite viited, ülevaatuse kuupäev.
Väljade olemasolu ei tõenda veel vastuste kvaliteeti. Kui vastuvõtjate lahtris on ainult „partnerid”, ei pruugi sellest saada aru, millist avaldamist mõeldakse. Kui säilitustähtaja asemel seisab „lepingu järgi”, peab seotud dokument võimaldama tähtaja ja selle alguse kindlaks teha. Registri lugeja ei peaks lahenduse leidmiseks teadma koostaja isiklikku taustainfot.
Volitatud töötleja register: mida lisada iga kliendi kohta?
Volitatud töötleja registris peavad olema volitatud töötlejate ja iga vastutava töötleja nimed ning kontaktandmed, kelle nimel tegutsetakse. Vajaduse korral lisatakse vastutava või volitatud töötleja esindaja ja andmekaitsespetsialisti nimi ning kontaktandmed. Üks üldine märge „teenindame ärikliente” ei asenda konkreetsete vastutavate töötlejate tuvastamist ega seost nende jaoks tehtava tööga.
Artikli 30 lõige 2 nõuab iga vastutava töötleja nimel tehtavate töötlemistoimingute kategooriaid. Vajaduse korral kirjeldatakse rahvusvahelisi edastamisi koos riigi või rahvusvahelise organisatsiooni tuvastamisega ja erandliku edastamise kaitsemeetmete dokumentatsiooniga. Võimaluse korral lisatakse turvameetmete üldkirjeldus. Vastutava töötleja registri kõik väljad ei muutu seetõttu automaatselt volitatud töötleja registri kohustuslikeks väljadeks.
Volitatud töötleja register
Volitatud töötlejate nimed ja kontaktandmed:
Iga vastutava töötleja nimi ja kontaktandmed:
Asjakohaste esindajate nimed ja kontaktandmed:
Andmekaitsespetsialisti nimi ja kontaktandmed, kui asjakohane:
Iga vastutava töötleja nimel tehtavate toimingute kategooriad:
Edastamised ning kolmanda riigi / rahvusvahelise organisatsiooni nimi:
Art 49 lg 1 teise lõigu erandliku edastamise hinnang ja kaitsemeetmete dokumentatsioon:
Võimaluse korral tehniliste ja korralduslike turvameetmete üldkirjeldus:
Lisaväljad: kliendileping, juhised, teenuse ulatus, kontakt muudatuste korral.
Ühise teenuse kirjeldust võib siduda mitme kliendiga, kui erinevused jäävad nähtavaks. Näiteks üks klient lubab andmeid töödelda ainult kindlas piirkonnas ning teine kasutab lisateenust. Mõlemale sama üldteksti näitamine varjaks tegelikku ulatust. Registri ja volitatud töötleja lepingu näidise kohandamisel kontrolli seetõttu alati konkreetse teenuse juhiseid ja lubatud alltöötlejaid.
Õiguslik alus on kasulik lisaväli, mitte artikli 30 eraldi nõue
Artikkel 30 ei loetle õiguslikku alust registri kohustusliku väljana. Töötlemisel peab siiski olema kohaldatav alus ning organisatsioon peab suutma oma vastavust näidata. Seetõttu on sageli kasulik lisada registrisse alus või viide seda põhjendavale analüüsile. Nii ei aja registri vormi nõudeid segamini töötlemise sisulise õiguspärasusega.
Ära täida kogu registrit ühe üldise alusega. Kliendilepingu olemasolu ei muuda kõiki kliendiga seotud tegevusi lepingu täitmiseks vajalikuks. Uudiskiri, arvestusdokumendi säilitamine ja tellimuse kohaletoimetamine võivad vajada erinevat põhjendust. Eriliigiliste andmete puhul tuleb lisaks üldisele alusele hinnata artikli 9 erandit; registris olev linnuke „terviseandmed” seda analüüsi ei asenda.
Kui tegevus põhineb nõusolekul, saab lisada viite nõusoleku küsimise ja tõendamise korrale. Registrisse ei pea selleks kopeerima kõigi inimeste nõusolekuavaldusi. Piisab selgest seosest süsteemi või dokumentatsiooniga, kust vastav tõend leitakse. See hoiab ülevaate kasutatavana ja väldib tarbetu isikupõhise andmebaasi tekitamist registri enda sisse.
Kirjelda protsesse, kuid ära kaota süsteeme silmist
Alusta intervjuudest inimestega, kes tööd päriselt teevad. Küsi, millised andmed saabuvad, kust need tulevad, milleks neid kasutatakse ja kellele neid edasi antakse. Võrdle vastuseid lepingute, infosüsteemide ja kasutajaõigustega. Osakonna ametlik kirjeldus võib erineda sellest, kuidas failid e-posti teel või ühiskaustades tegelikult liiguvad.
Üks infosüsteem võib toetada mitut eesmärki ja üks eesmärk võib hõlmata mitut süsteemi. Seetõttu ei ole tarkvaranimede loetelu piisav register. Süsteemid tasub siiski lisada abiväljana, sest ilma nendeta võib kirjeldus muutuda liiga abstraktseks. Hea kanne ühendab eesmärgi ja praktilise teostuse nii, et hiljem on võimalik tegelikku andmevoogu kontrollida.
Ära jaga iga väikest tehnilist sammu eraldi toiminguks, kui eesmärk, inimesed ja peamised reeglid jäävad samaks. Samas ei tohiks ühe nimetuse alla peita tegevusi, mille alused, vastuvõtjad või tähtajad erinevad. Sobiv detailsus sõltub sellest, kas register võimaldab olulisi erinevusi mõista ja nende kohta otsuseid teha, mitte kindlast kohustuslikust ridade arvust.
Näide: tellimuste täitmine ja turundus ei ole sama toiming
Kujutleme väikest e-poodi, mis kasutab tellimussüsteemi, raamatupidamisteenust ja uudiskirjaplatvormi. Tellimuste täitmise kirjeldus hõlmab ostja kontaktandmeid, tellimuse sisu ning kohaletoimetamiseks vajalikke andmeid. Vastuvõtjate kategooriad lähtuvad tegelikust korraldusest. Vedaja või makseteenuse osutaja rolli ei määrata automaatselt selle järgi, et teenus on veebipoega tehniliselt ühendatud.
Uudiskirja jaoks tuleb eraldi selgitada, kelle aadresse kasutatakse, millisel alusel ja kuidas lõpetatakse edasine saatmine. Raamatupidamisega seotud dokumentidel võib olla oma säilitamisreegel, mis ei õigusta kogu kliendiprofiili samaks ajaks alleshoidmist. Näide näitab, miks sama inimese andmed võivad kuuluda mitme toimingu alla, kuid eri eesmärkidel vajada erinevat kohtlemist.
Kui ettevõte lisab hiljem ostukäitumise põhjal soovitusi, tuleb hinnata, kas senine kirjeldus katab uut eesmärki. Võib muutuda andmete kasutamise ulatus, õiguspärasuse põhjendus või risk. Registri uuendamine peaks käima koos nende otsustega, mitte piirduma uue tarkvaranime lisamisega vanasse lahtrisse. Vastasel juhul jääb oluline muutus dokumentatsioonis varjatuks.
Edastamised ja artikli 49 erandlik dokumentatsioon
Andmekeskuse aadress ei pruugi üksi kirjeldada kõiki edastamisi. Uuri ka teenuse tugipääsu, alltöötlejate tegevust ning seda, millisele isikule või organisatsioonile andmeid kättesaadavaks tehakse. Seejärel hinda konkreetse andmevoo järgi, kas kohaldub GDPR V peatükk. Registrisse „Euroopa server” kirjutamine ei asenda tegeliku teenusekorralduse kontrolli ega edastamise õigusliku aluse hindamist.
Artikli 30 eraldi dokumentatsiooninõue viitab artikli 49 lõike 1 teise lõigu kitsale erandile. See ei tähenda lihtsalt kõigi edastamiste puhul ühesuguse faili lisamist. Kõnealune erand eeldab muu hulgas teiste loetletud võimaluste puudumist, mittekorduvat edastamist, piiratud arvu inimesi ning kaalukaid õigustatud huve, mida inimeste huvid või õigused ei kaalu üles.
Kui sellele erandile tuginetakse, tuleb hinnata kõiki asjaolusid, tagada asjakohased kaitsemeetmed ning täita järelevalveasutuse ja inimese teavitamise nõuded. Artikli 49 lõige 6 nõuab hinnangu ja kaitsemeetmete dokumenteerimist artikli 30 registris. Tavapärast korduvat pilveteenuse kasutamist ei saa üksnes selle lahtri täitmisega muuta erandlikuks edastamiseks. Vajaduse korral hoia põhjalik analüüs registriga selgelt seotud lisana.
Tähtaeg peab näitama ka seda, millest aega arvestatakse
Säilitamise piiramise põhimõtte rakendamiseks tuleb eristada andmeliike ja eesmärke. Tähtaeg „viis aastat” ei ole piisavalt selge, kui keegi ei tea selle algushetke. Kirjelda, kas aeg algab lepingu lõppemisest, viimase toimingu kuupäevast või mõnest seaduses määratud sündmusest. Ära kopeeri ühe dokumendiliigi tähtaega kogu personalitoimikule või kliendiprofiilile.
Kui täpset kuupäeva ei saa ette määrata, võib kasutatav reegel sõltuda tuvastatavast sündmusest ja põhjendatud vajaduse hindamisest. Oluline on, et seda oleks võimalik rakendada ja kontrollida. Õigusvaidlusega seotud säilitamisvajadus peaks olema piiritletud asjaomaste andmetega, mitte muutuma põhjuseks kõigi andmete määramata ajaks alleshoidmiseks. Registri kirjeldus ja süsteemi kustutamisreegel peavad teineteisega sobima.
Turvameetmete üldkirjeldus ja riskianalüüs
Registri turvameetmete osa võib kirjeldada näiteks juurdepääsude haldust, taastamist, töötajate juhendamist ja andmevahetuse kaitset. Meetmed peavad vastama tegelikule olukorrale. Kui krüpteerimine on alles plaanis, ei saa seda esitada juba rakendatud kaitsena. Üks ühine turvastandard võib sobida mitmele toimingule, kuid erandid ja olulised erinevused peavad jääma nähtavaks.
Üldkirjeldus ei pea sisaldama paroole, võtmeid või ründamist lihtsustavaid üksikasju. Täpsematele tõenditele saab viidata piiratud juurdepääsuga dokumentatsioonis. Samuti ei asenda register andmekaitsealast mõjuhinnangut, kui selle tegemine on vajalik. Register aitab võimaliku hindamisvajaduse leida; kõrge riski analüüs ja selle maandamine vajavad eraldi sisulist tööd.
Kes registrit uuendab ja millal?
Määra protsessidele inimesed, kes teavad nende tegelikku toimimist. Keskne koordinaator võib kontrollida vormi ühtlust ja puuduvate vastuste lahendamist. Andmekaitsespetsialist saab nõustada ning jälgida nõuete täitmist, kuid vastutava või volitatud töötleja kohustus ei lähe tema määramisega automaatselt spetsialistile üle. Äriotsuste ja andmekaitselise nõustamise rollid tasub selgelt lahus hoida.
GDPR ei kehtesta registrile üldist kohustuslikku iga-aastast uuendamispäeva. Praktikas on kasulik siduda ülevaatus muudatustega: uus eesmärk, uus andmeliik, teenuseosutaja vahetus või oluline säilitamisreegli muutus. Perioodiline kontroll aitab leida märkamata muudatusi, kuid selle sagedus on põhjendatav töökorralduslik otsus. Märgi, kes muudatuse kinnitas ja millise teabe põhjal kanne parandati.
Vorm, AKI nõue ja võimalik vastutus
Register peab olema kirjalik, sealhulgas võib see olla elektrooniline. Kindlat kohustuslikku tarkvara ei ole artiklis 30 ette nähtud. AKI töötlemisülevaate juhis selgitab praktilist kaardistamist; kohustuslike väljade ja erandi täpse ulatuse puhul tuleb lähtuda määrusest. Registrit ei pea artikli 30 alusel rutiinselt ette saatma, kuid see tuleb järelevalveasutuse taotlusel kättesaadavaks teha.
Isikuandmete kaitse seaduse paragrahv 62 käsitleb muu hulgas artikli 30 kohustuse rikkumist. Juriidilise isiku puhul on seal ette nähtud kuni 10 miljoni euro või eelmise majandusaasta ülemaailmse aastase kogukäibe 2% suurune rahatrahv, olenevalt sellest, kumb on suurem. See on ülemmäär, mitte puuduva registri automaatne hind. Ettekirjutuse täitmist tagav paragrahvi 60 sunniraha on karistusest eraldi abinõu.
Kontsern, lõpetatud tegevus ja registri väljavõte
Ühise registrilahenduse kasutamine ei tähenda, et kontserni kõigi ettevõtete vastutus oleks sama. Märgi iga tegevuse juures õige juriidiline isik ja tema roll. Kui üks ettevõte osutab teistele tugiteenust, võib tema jaoks olla asjakohane ka volitatud töötleja register. Ühtne vorm on praktiline, kuid see ei tohiks kaotada erinevusi kohalike teenuste, andmesaajate või säilitamisreeglite vahel.
Kui protsess lõpetatakse, kontrolli enne kirje kõrvaldamist, kas selle andmeid tegelikult enam kusagil ei töödelda. Lepingu lõpp ei kustuta automaatselt arhiivi, varukoopiat ega poolelioleva vaidluse materjale. Vajaduse korral muuda kirje eesmärki ja ulatust, et kirjeldada allesjäänud säilitamist. Varasema versiooni piiratud säilitamine võib aidata otsuseid tõendada, kuid ka registri ajaloo enda säilitamine vajab põhjendatud korraldust.
Registris ei ole tavaliselt vaja loetleda kõiki kliente või töötajaid nimeliselt, sest vastutava töötleja väljad kirjeldavad nende kategooriaid. Hoia isikupõhised toimikud vastavas süsteemis ja selgita registris, kuidas need protsessiga seostuvad. Nii ei muutu ülevaade juhuslikuks koopiaks kõigist organisatsiooni tundlikest andmetest. Registri haldajate juurdepääs peaks lähtuma nende tegelikust ülesandest, eriti kui lisad sisaldavad üksikasjalikke turvaanalüüse.
AKI päringu korral kontrolli, millist ajavahemikku ja töötlemist küsitakse. Esitatav väljavõte peab olema arusaadav ka ilma tarkvarasse sisse logimata ning selles kasutatud viited peavad olema selgitatud. See ei anna alust nõutavat teavet välja jätta: kui asutuse nõue hõlmab kogu registrit, tuleb sellest lähtuda. Hoia alles esitatud versioon ja selgita vajaduse korral, millised muudatused tehti pärast päringut.
Kuidas kontrollida, kas register on päriselt kasutatav?
Vali üks tegelik protsess ja jälgi seda algusest lõpuni. Kas registris nimetatud andmed vastavad vormile, mida inimene täidab? Kas vastuvõtjad kattuvad lepingute ja tegelike kasutajaõigustega? Kas kustutamistähtaja saab süsteemis rakendada? Selline läbivaatus annab rohkem teavet kui kontroll, kas kõik lahtrid sisaldavad vähemalt ühte sõna. Avastatud vastuolud tuleks lahendada koos protsessi eest vastutajaga.
Register aitab leida süsteeme ka andmete ülekandmise taotluse lahendamisel, kuid ei tähenda, et kõik registris kirjeldatud andmed kuuluvad automaatselt ülekandmise õiguse alla. Õiguse kohaldamisala tuleb hinnata eraldi. Samamoodi aitab register rikkumise ulatust selgitada, kuid ei otsusta ise, kas juhtumist tuleb teatada organile või inimesele.
Täiendav töötlemise registri näidis aitab vormi kohandada. Kui probleemiks muutub mitme osakonna muudatuste, kinnituste ja versioonide haldamine, käsitleb ROPA tarkvara valimise juhend sobiva töövahendi hindamist. Siinne põhiküsimus jääb sisuliseks: kas iga nõutav kirjeldus on õige, arusaadav ja tegeliku töötlemisega seostatav? Töövahend toetab seda kontrolli, kuid ei asenda organisatsiooni otsuseid.