Organisaation on ylläpidettävä listaa sen hallinnoimiin tietovarantoihin sisältyvistä tietoaineistoista.

Dokumentaation on sisällettävä vähintään seuraavat tiedot:

• Aineiston käsittelyyn käytetyt tietojärjestelmät ja muut keinot
• Keskeiset tietoryhmät aineistossa (ja sisältääkö henkilötietoja)
• Tietojen säilytysaika (käsitellään tarkemmin erillisessä tehtävässä)
• Tarvittaessa tieto aineistojen arkistoinnista / hävittämisestä (käsitellään tarkemmin erillisessä tehtävässä)

Yksi henkilötietojen laillisen käsittelyn oikeudellisista perusteista on rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttaminen. Sen määrittämiseksi, milloin oikeutettu etu on perusteltu, tehdään niin sanottu tasapainotesti, jossa rekisterinpitäjän tai kolmannen osapuolen etu suhteutetaan rekisteröidyn perusoikeuksiin.

Kun käsittelymme perustuu oikeutettuun etuun, dokumentoimme tasapainotestin toteuttamisen ja sen tulokset, jotta voimme tarvittaessa osoittaa, että toimintamme on sovellettavan tietosuojakehyksen mukaista.

Organisaation on ylläpidettävä dokumentoitua prosessia, jolla arvioidaan ja perustellaan oikeutetun edun käyttö henkilötietojen käsittelyn laillisena perusteena. Ennen käsittelyn aloittamista on suoritettava oikeutetun edun arviointi ja säilytettävä se todisteena vaatimustenmukaisuudesta.

• Määritellään ehdotettu käsittely, sen tarkoitus, kyseessä olevien tietojen tyyppi ja rekisteröityjen ryhmät.
• Vahvista, että tarkoitus on oikeutettu, tarpeellinen ja sovellettavien lakien mukainen.
• Arvioidaan, onko käsittely välttämätöntä aiotun tarkoituksen saavuttamiseksi ja oikeassa suhteessa organisaation tavoitteisiin nähden.
• Arvioidaan mahdollinen haitta tai vaikutus rekisteröidyille ja heidän mahdollisuutensa käyttää oikeuksiaan.
• Tunnistetaan ja toteutetaan toimenpiteitä riskien lieventämiseksi tai mahdollisten haittojen estämiseksi.

Käsittelyä voidaan jatkaa vain, jos arviointi vahvistaa, että se on laillista ja tarpeellista eikä loukkaa yksilöiden oikeuksia tai etuja. Jos arvioinnissa havaitaan, että sääntöjä ei noudateta, että on olemassa riskejä tai että siitä voi aiheutua haittaa, käsittelyä on muutettava, arvioitava uudelleen tai sen on perustuttava vaihtoehtoiseen lailliseen perusteeseen ennen sen jatkamista.

The organisation has determined the legal basis for the purposes for which the personal data it has identified are used, taking into account the rights of the data subject in relation to that processing.

The data subject cannot exercise all his or her rights in all situations. The rights that may be exercised by the data subject depend on the basis on which the personal data in question are processed. An organisation can make use of guidance from data protection authorities on how the basis of processing affects the available rights. There may also be exceptions to these rights in specific legislation governing the organisation, or it may be possible to refuse to exercise them on strong grounds in individual cases.