Isikuandmete töötlemise toimingute register, DPIA ja ülemineku lõpuleviimine

Moodul 9: Inimesed ja reeglid · Lugemisaeg: 12 minutit

Õpieesmärk: Pärast seda tundi oskad pärast üleminekut uuendada isikuandmete töötlemise toimingute registrit ja privaatsusteavitust, otsustada, kas on vaja teha DPIA, lasta vana teenuse juures oma andmed korrektselt kustutada ning viia üleminek vormikohaselt lõpule, kasutades lõpukontroll-nimekirja.

Põhimõisted: isikuandmete töötlemise toimingute register (artikkel 30), erand alla 250 töötajaga organisatsioonidele, DPIA (artikkel 35), AKI DPIA nimekiri, privaatsusteavitus (artiklid 13 ja 14), vastuvõtjad, edastamine, isikuandmetega seotud rikkumisest teavitamise kohustus (artikkel 33), kustutamine vana teenuse juures, kustutamise kinnitus, hindamine, lõpukontroll-nimekiri

Üleminek on valmis alles siis, kui ka paberid on korras

Kirjavahetus toimib, failid on olemas, kõik töötavad uues keskkonnas. Tehniliselt oled valmis. Aga isikuandmete kaitse üldmääruse (IKÜM) järgi on veel tööd: su dokumentatsioon kirjeldab endiselt vana olukorda. Kui klient küsib midagi, kui tuleb kontroll või kui juhtub andmetega seotud rikkumine, tahad näidata, kuidas asjad praegu on. See tund viib ülemineku lõpule.

See on selgitav tekst, mitte õigusnõustamine.

Isikuandmete töötlemise toimingute register

IKÜM artikli 30 lõige 1 kohustab vastutavat töötlejat pidama töötlemistoimingute registrit. Selles on iga töötlemise kohta (näiteks "kliendi tellimused", "personaliarvestus", "uudiskiri") kirjas:

• vastutava töötleja nimi ja kontaktandmed (ja vajaduse korral andmekaitseametniku andmed);
• töötlemise eesmärgid;
• andmesubjektide ja isikuandmete kategooriad;
• vastuvõtjad, sealhulgas volitatud töötlejad;
• edastamine väljapoole Euroopa Majanduspiirkonda (EMP), koos kaitsemeetmetega;
• säilitustähtajad, kui võimalik;
• üldine kirjeldus turvameetmetest, kui võimalik.

Kas see kehtib ka väikese organisatsiooni kohta?

Artikli 30 lõige 5 näeb ette erandi organisatsioonidele, kus on vähem kui 250 töötajat. Kuid see erand ei kehti, kui töötlemine võib tõenäoliselt kujutada endast riski, kui see ei ole juhuslik, või kui on tegemist eriliiki isikuandmetega (näiteks terviseandmed) või süüteoandmetega. Hollandi andmekaitse järelevalveasutus selgitab, et praktikas on töötlemine harva juhuslik: niipea kui sul on töötajaid või püsikliente, töötled sa andmeid struktuurselt. Pagaritööstusele De Korrel, kellel on palgaarvestus, kliendi tellimused ja haigusteated, see erand seega ei kehti.

Euroopas on tehtud ettepanek leevendada registripidamise kohustust väiksemate organisatsioonide jaoks (nn Omnibus IV pakett; 2026. aasta juunis jõudsid nõukogu ja parlament esialgsele kokkuleppele). Kuni see ei ole jõustunud, kehtib praegune artikkel 30. Ja ka pärast seda on ülevaade kasulik: seda on vaja, et täita oma ülejäänud kohustusi.

Mida muudad pärast üleminekut?

Vaata läbi iga oma registri rida ja kohanda:

Üleminek on hea hetk, et säilitustähtajad lõpuks ometi korda saada. Maksuarvestuse jaoks kehtib Hollandis üldjuhul seitsmeaastane säilitamiskohustus; kandideerimisandmete osas soovitab Hollandi andmekaitse järelevalveasutus üldjuhul nelja nädalat pärast menetluse lõppu. See on Hollandi näide, sinu riigis võivad kehtida teised tähtajad; vaata, millised tähtajad kehtivad sinu valdkonnas.

Kas pead tegema DPIA?

DPIA (data protection impact assessment, IKÜM-is "andmekaitsealane mõjuhinnang") on eelnev struktureeritud riskianalüüs. Artikkel 35 kohustab tegema DPIA-d, kui töötlemine võib tõenäoliselt kujutada endast suurt riski andmesubjektide jaoks, eriti uue tehnoloogia puhul.

Kuidas sa tead, kas see nii on?

1. AP nimekiri. Hollandi andmekaitse järelevalveasutus (Autoriteit Persoonsgegevens) avaldas 2019. aastal nimekirja seitsmeteistkümnest töötlemise liigist, mille puhul on DPIA alati kohustuslik. Seal on muu hulgas suuremahuline terviseandmete töötlemine, kaamerajärelevalve, töötajate jälgimine, sidekandmed, asukohaandmed, profiilianalüüs ja biomeetria. See on konkreetne Hollandi järelevalveasutuse avaldatud nimekiri; igal ELi andmekaitse järelevalveasutusel on oma vastav nimekiri (IKÜM artikli 35 lõige 4), mida tasub samuti kontrollida.
2. Euroopa kriteeriumid. Euroopa andmekaitse järelevalveasutused on koostanud üheksa kriteeriumi (näiteks tundlikud andmed, suur maht, haavatavad andmesubjektid, süstemaatiline jälgimine, uus tehnoloogia). Kui töötlemine vastab kahele või enamale kriteeriumile, on DPIA üldjuhul vajalik.

Pagaritöökojale, kes viib üle e-posti ja faile, ei ole DPIA üldjuhul kohustuslik. Perearstipraksisele, kes viib patsientidega suhtlemise üle uude teenusesse, või koolile õpilasandmetega, on olukord teine. Isegi kui see ei ole kohustuslik, võib lühike riskianalüüs olla kasulik. Tunnis 1.5 tehtud kaalutlus on selleks hea alguspunkt. Kui sul on juba vana teenuse jaoks tehtud DPIA, uuenda seda.

Privaatsusteavitus

Oma privaatsusteavituses räägid andmesubjektidele (klientidele, kandidaatidele, veebisaidi külastajatele), kuidas sa nende andmeid kasutad (artiklid 13 ja 14). Seal on muu hulgas kirjas vastuvõtjad või vastuvõtjate kategooriad ja võimalikud edastamised väljapoole EMP-d. Kui seal seisis "me kasutame Ühendriikides asuvate ettevõtete teenuseid Data Privacy Frameworki alusel", siis muuda see ära. Ära muuda midagi, mis ei vasta tõele: nimeta ainult seda, mida tead kindlalt isikuandmete töötlemise lepingust ja alltöötlejate nimekirjast.

Andmetega seotud rikkumised: tea, kellele helistada

Pärast üleminekut on su teenusepakkuja muutunud, ja seega ka marsruut andmetega seotud rikkumise korral. Lisa oma menetlusse:

• uue teenusepakkuja kontaktaadress turvaintsidentide jaoks;
• tähtaeg, mille jooksul teenusepakkuja sind isikuandmete töötlemise lepingu kohaselt teavitab;
• kes sinu organisatsioonis otsustab, kas tuleb teatada, sest järelevalveasutusele tuleb teatada 72 tunni jooksul pärast avastamist (artikkel 33);
• kus sa pead andmetega seotud rikkumiste registrit: ka rikkumised, millest sa ei pea teatama, tuleb sisemiselt dokumenteerida (artikli 33 lõige 5).

Vana teenuse lõpetamine

Ütle vana teenus üles alles siis, kui kõik on paar nädalat hästi töötanud (tund 3.3). Seejärel:

1. Viimane kontroll: kas kõik on üle viidud? Kas on jagatud kaustu, vorme või seoseid, mis veel vanale teenusele viitavad?
2. Ekspordi viimane arhiiv oma arvestuse jaoks, kui soovid seda säilitada (näiteks e-kirjad, mis kuuluvad säilitamiskohustuse alla). Hoia seda krüpteerituna.
3. Kustuta kontod ja andmed vana teenuse juures, või lase need kustutada. Artikli 28 lõike 3 punkt g kohustab endist volitatud töötlejat andmed pärast lõppu kustutama või tagastama, sinu valikul. Küsi kustutamise kinnitust ja säilita see oma registri juures.
4. Korista seosed ära: "logi sisse kontoga"-seosed teistes teenustes, rakendused, millel on ligipääs, ja kinnituskirjed su DNS-is (tund 4.3).
5. Uuenda oma registrit, privaatsusteavitust ja andmetega seotud rikkumise menetlust (vaata eespool).

Hindamine

Kavanda kuu aega pärast üleminekut lühike hindamine koos saadikutega (tund 9.1). Mis läks hästi, mis mitte, mida teeksid järgmine kord teisiti? Pane kirja ka oma väljumisplaan uue teenuse jaoks (tund 8.2) ja määra kalendrisse kuupäev selle iga-aastaseks testimiseks.

Praktikas: kuidas see välja näeb ühe teenusepakkuja juures

Paljudel teenusepakkujatel on funktsioon oma andmete allalaadimiseks või konto kustutamiseks lasta. WebOké juures on WebOké juhendis kirjas, kuidas oma andmeid alla laadida või need kustutada lasta. Suurte Ameerika teenuste puhul kannab see tavaliselt nime "ekspordi andmed" ja "kustuta konto", ning organisatsioonikonto haldajal on omad ekspordifunktsioonid. Loe eelnevalt, kui kaua teenus säilitab andmeid varukoopiates pärast kustutamist; see on tavaliselt kirjas privaatsusteavituses või isikuandmete töötlemise lepingus.

Lõpukontroll-nimekiri

• [ ] Kõik inventuuri osad (tund 3.1) on uues keskkonnas olemas ja kontrollitud
• [ ] Isikuandmete töötlemise leping(ud) uue teenusepakkuja(te)ga sõlmitud ja säilitatud (tund 9.2)
• [ ] Isikuandmete töötlemise toimingute register uuendatud: vastuvõtjad, edastamised, turvalisus, säilitustähtajad
• [ ] DPIA hinnatud (vajalik või mitte, ja põhjendus dokumenteeritud)
• [ ] Privaatsusteavitus kohandatud
• [ ] Andmetega seotud rikkumise menetlus uuendatud uute kontaktandmetega
• [ ] Vana teenus üles öeldud, andmed kustutatud, kinnitus säilitatud
• [ ] Seosed ja vanad DNS-kirjed korrastatud
• [ ] Uue keskkonna varukoopia seadistatud ja testitud (tund 8.1)
• [ ] Väljumisplaan uue teenuse jaoks dokumenteeritud (tund 8.2)
• [ ] Hindamine toimunud

Kokkuvõte

• Uuenda pärast üleminekut isikuandmete töötlemise toimingute registrit: vastuvõtjad, edastamised, turvalisus ja säilitustähtajad.
• Erand alla 250 töötajaga organisatsioonidele kehtib praktikas harva; ettepanek seda leevendada ei ole veel jõustunud (seisuga 2026. aasta november).
• DPIA on kohustuslik suure riski korral (AKI nimekiri, Euroopa kriteeriumid); tavalise kontoriandmete puhul üldjuhul mitte.
• Kohanda oma privaatsusteavitust ja andmetega seotud rikkumise menetlust.
• Lase vanal teenusel su andmed kustutada ja küsi kinnitust.

Test

Ülesanne

Ülesanne E9.3: Vii üleminek lõpuni. Uuenda oma organisatsiooni kolme töötlemistoimingu read isikuandmete töötlemise toimingute registris (vastuvõtjad, edastamine, turvalisus, säilitustähtaeg), hinda AKI nimekirja ja Euroopa kriteeriumide alusel, kas on vaja teha DPIA, ning täida lõpukontroll-nimekiri.

Lisalugemist

Nende artiklite sammud kehtivad WebOké teenuste kohta; teiste teenusepakkujate puhul töötab see sarnaselt.

• WebOké juhend 11.7: Privaatsus: sinu andmete allalaadimine või kustutamine
• Nextcloudi juhend 16.7: Kolleeg lahkub: failide, kalendri ja jagatud kaustade turvaline ülevõtmine
• Nextcloudi juhend 15.13: Korduma kippuvad küsimused turvalisuse ja privaatsuse kohta
• Määrus (EL) 2016/679 (IKÜM), artiklid 13, 14, 28, 30, 33 ja 35, EUR-Lexis
• Hollandi otsus isikuandmete töötlemise toimingute nimekirja kohta, mille puhul on DPIA kohustuslik (Hollandi andmekaitse järelevalveasutus, Stcrt. 2019), wetten.overheid.nl (BWBR0042812)
• Hollandi andmekaitse järelevalveasutus (Autoriteit Persoonsgegevens), teemad "Register van verwerkingsactiviteiten" ja "DPIA": https://www.autoriteitpersoonsgegevens.nl