Oled kaupleja, pagariäri või lihapoe pidaja, või oled arhitekt, oma ala spetsialistist teenusepakkuja, kelle põhitegevus ei ole andmetöötlus, kuid pead töötlema kas töötajate või klientide ja tarbijate isikuandmeid. Euroopa Komisjoni on kokku pannud praktilise materjali oma andmetöötlusalase tegevuse planeerimisel.
VAADAKE ÜLE, MISSUGUSEID ISIKUANDMEID TE KOGUTE JA TÖÖTLETE, MIS EESMÄRGIL JA MIS ÕIGUSLIKUL ALUSEL TE SEDA TEETE
Teil on töötajad, te töötlete nende isikuandmeid töölepingust tulenevalt ja oma juriidiliste kohustuste täitmiseks (nt maksuasutuste/sotsiaalsüsteemi teavitamiseks).
Võite hallata nimekirja üksikisikutest klientidest, näiteks neile eripakkumiste kohta teavituste või reklaamide saatmiseks, kui olete nendelt klientidelt saanud nõusoleku.
Teil pole alati nõusolekut vaja. On olukordi, kus üksikisikud juba eeldavad oma isikuandmete töötlemist. Näiteks pitsakaupmehena saate te töödelda kättetoimetamise aadressi, et reklaamida mõnda oma uutest toodetest. Seda nimetatakse õigustatud huviks. Te peate üksikisikuid teavitama oma kavandatud kasutusest ja lõpetama nende andmete töötlemise, kui üksikisikud seda teilt paluvad.
Kui haldate varustajate või äriklientide nimekirja, siis teete seda omavaheliste lepingute alusel. Lepingud ei pea tingimata olema kirjalikud.
TEATAGE KLIENTIDELE, TÖÖTAJATELE JA TEISTELE ÜKSIKISIKUTELE, KUI KOGUTE NENDE ISIKUANDMEID
Üksikisikud peavad teadma, et töötlete nende isikuandmeid, ja mis põhjusel te seda teete.
Aga üksikisikuid pole vaja teavitada, kui nad juba teavad, kuidas te andmeid kasutate, näiteks kui klient palub teil kauba koju kätte toimetada.
Samuti peate üksikisikutele nende nõudmisel andma teavet isikuandmetest, mis teil nende kohta on, ning andma neile juurdepääsu oma andmetele. Hoidke oma andmed korras – kui töötaja näiteks küsib, missuguseid isikuandmeid teil tema kohta on, siis saata talle vastata lihtsasti ja ilma endale liigset tüli tegemata.
SÄILITAGE ISIKUANDMEID AINULT NII KAUA KUI VAJA
- Töötajate andmed: nii kaua, kui kestab töösuhe ja sellega seotud juriidilised kohustused.
- Klientide andmed: nii kaua, kui kestab kliendisuhe ja sellega seotud juriidilised kohustused (nt maksudega seotud eesmärgil).
Kustutage andmed, kui neid pole enam vaja eesmärgil, milleks te neid kogusite.
TAGAGE TÖÖDELDAVATE ISIKUANDMETE TURVALISUS
Kui hoiate isikuandmeid mingis IT-süsteemis, piirake juurdepääsu andmeid sisaldavatele failidele näiteks parooli abil. Uuendage regulaarselt oma süsteemi turvaseadistusi.
(Märkus: isikuandmete kaitse üldmäärusega ei nähta ette ühegi konkreetse IT-süsteemi kasutamist.)
Kui hoiate isikuandmeid sisaldavaid füüsilisi dokumente, siis veenduge, et neile ei pääseks ligi volitamata isikud – lukustage dokumendid seifi või kappi.
SÄILITAGE OMA ANDMETÖÖTLUSEGA SEOTUD DOKUMENTATSIOON
Valmistage ette lühike dokument, kus on selgitatud, missugused isikuandmed teie valduses on ja mis eesmärgil te neid hoiate. Teilt võidakse nõuda selle dokumentatsiooni esitamist riiklikule andmekaitseasutusele, kui viimane seda küsib.
Need dokumendid peavad sisaldama allpool loetletud teavet.
- Andmete töötlemise eesmärk
Klientide teavitamine eripakkumistest / kauba koju kättetoimetamine,
tarnijatele maksmine, töötajate palk ja sotsiaalkindlustus.
- Isikuandmete tüübid
Klientide kontaktandmed, tarnijate kontaktandmed, töötajate andmed.
- Asjaomaste andmesubjektide kategooriad
Töötajad, kliendid, tarnijad.
- Vastuvõtjate kategooriad
Tööhõiveasutused, maksuametid.
- Säilitamise perioodid
Töötajate isikuandmed kuni töölepingu (ja seonduvate juriidiliste kohustuste)
lõppemiseni, klientide isikuandmed kuni kliendi-/lepingulise suhte
lõppemiseni.
- Tehnilised ja korralduslikud turvameetmed isikuandmete kaitsmiseks
Regulaarselt uuendatud IT-süsteemi lahendused, lukustatud kapp/seif.
- Kas isikuandmeid edastatakse vastuvõtjatele väljaspool ELi
Väljaspool ELi asuva andmetöötleja kasutamine (nt andmete pilves
hoidmiseks.
VEENDUGE, ET TEIE ALLTÖÖVÕTJA JÄRGIKS EESKIRJU
Kui lasete muul ettevõttel alltöövõtu korras isikuandmeid töödelda, kasutage ainult teenusepakkujat, kes tagab töötlemise vastavuse isikuandmete kaitse üldmäärusega (nt turvameetmed). Enne lepingu sõlmimist kontrollige, kas see ettevõte on juba oma tegevuse üle vaadanud ja seda isikuandmete kaitse üldmääruse nõuetele kohandanud. Pange see lepingusse sisse.
KONTROLLIGE, KAS ALLPOOL TOODUD SÄTTED PUUDUTAVAD TEID
Isikuandmete paremaks kaitsmiseks võib juhtuda, et ettevõtted peavad määrama andmekaitseametniku. Teil pole vaja andmekaitseametnikku määrata, kui isikuandmete töötlemine pole teie ettevõtte põhitegevus, kui tegemist pole riskantse töötlemisega ja kui teie tegevus pole ulatuslik.
Näiteks kui teie ettevõte kogub klientide andmeid ainult kauba koju kättetoimetamise eesmärgil, pole teil vaja andmekaitseametnikku määrata.
Kui siiski peate andmekaitseametnikku kasutama, võib selleks olla olemasolev töötaja, kes tegeleb sellega lisaks oma muudele ülesannetele. Aga selleks võib olla ka väliskonsultant sarnaselt välistele raamatupidajatele, keda paljud ettevõtted kasutavad.
Üldjuhul pole teil vaja teha andmekaitsealast mõjuhinnangut.
Niisugune mõjuhinnang on ettenähtud nendele, kelle isikuandmete töötlemisega kaasnevad suured riskid, näiteks need, kes tegelevad avalike alade ulatusliku jälgimisega (nt videovalve).
Kui olete väike ettevõte, kes haldab töötajate palkasid ja klientide nimekirja, pole teil vaja nendeks töötlustoiminguteks andmekaitsealast mõjuhinnangut läbi viia.
Euroopa Komisjoni teabeleht (PDF)
