Organisaation on ylläpidettävä listaa sen hallinnoimiin tietovarantoihin sisältyvistä tietoaineistoista.

Dokumentaation on sisällettävä vähintään seuraavat tiedot:

• Aineiston käsittelyyn käytetyt tietojärjestelmät ja muut keinot
• Keskeiset tietoryhmät aineistossa (ja sisältääkö henkilötietoja)
• Tietojen säilytysaika (käsitellään tarkemmin erillisessä tehtävässä)
• Tarvittaessa tieto aineistojen arkistoinnista / hävittämisestä (käsitellään tarkemmin erillisessä tehtävässä)

Yksi henkilötietojen laillisen käsittelyn oikeudellisista perusteista on rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttaminen. Sen määrittämiseksi, milloin oikeutettu etu on perusteltu, tehdään niin sanottu tasapainotesti, jossa rekisterinpitäjän tai kolmannen osapuolen etu suhteutetaan rekisteröidyn perusoikeuksiin.

Kun käsittelymme perustuu oikeutettuun etuun, dokumentoimme tasapainotestin toteuttamisen ja sen tulokset, jotta voimme tarvittaessa osoittaa, että toimintamme on sovellettavan tietosuojakehyksen mukaista.

The organization must maintain a documented process to evaluate and justify the use of legitimate interest as a lawful basis for processing personal data. Before processing begins, a Legitimate Interest Assessment (LIA) must be conducted and retained as evidence of compliance.

• Identify the proposed processing, its purpose, the type of data involved, and the categories of data subjects.
• Confirm that the purpose is legitimate, necessary, and compliant with applicable laws.
• Assess whether processing is essential to achieve the intended purpose and proportionate to the organization’s objectives.
• Evaluate potential harm or impact on data subjects and their ability to exercise their rights.
• Identify and implement measures to mitigate risks or prevent possible harm.

Processing may proceed only when the assessment confirms that it is lawful, necessary, and does not infringe upon individuals’ rights or interests. If the assessment reveals any noncompliance, risks, or potential harm, the processing must be modified, reassessed, or based on an alternative lawful ground before continuation.

The organisation has determined the legal basis for the purposes for which the personal data it has identified are used, taking into account the rights of the data subject in relation to that processing.

The data subject cannot exercise all his or her rights in all situations. The rights that may be exercised by the data subject depend on the basis on which the personal data in question are processed. An organisation can make use of guidance from data protection authorities on how the basis of processing affects the available rights. There may also be exceptions to these rights in specific legislation governing the organisation, or it may be possible to refuse to exercise them on strong grounds in individual cases.