Evidencija aktivnosti obrade: kako praktično primijeniti član 30 GDPR-a

Evidencija aktivnosti obrade prema članu 30 GDPR-a ne treba biti samo spisak softvera i odjela. Iz nje treba biti jasno koje lične podatke preduzeće obrađuje u koju svrhu, na koja lica se obrada odnosi, kome se podaci otkrivaju i koji su rokovi čuvanja i zaštitne mjere predviđeni.

Ovaj članak objašnjava kako rukovaoci i izvršioci obrade mogu praktično izgraditi i održavati evidenciju. Fokus je obaveza dokumentovanja prema članu 30 GDPR-a. Opšti koncept brisanja, potpuni dokaz tehničkih i organizacionih mjera ili posebna procjena odnosa između rukovaoca i izvršioca obrade nisu zamijenjeni evidencijom.

Član 30 stav 1 GDPR-a uglavnom obavezuje rukovaoce da vode evidenciju svih aktivnosti obrade za koje su odgovorni. Unos počinje konkretnom aktivnošću, a ne nazivom odjela ili aplikacije. „CRM“ ili „ljudski resursi“ još ne objašnjavaju koji se podaci obrađuju i u koju svrhu.

Za rukovaoce član 30 stav 1 GDPR-a između ostalog navodi kontaktne podatke, svrhe, kategorije lica i ličnih podataka, primaoce i eventualne prenose u treće zemlje ili međunarodne organizacije. Kada je moguće, evidencija treba sadržavati i predviđene rokove brisanja i opšti opis tehničkih i organizacionih mjera prema članu 32 stav 1 GDPR-a.

Evidencija se vodi u pisanom obliku, uključujući elektronski format, i na zahtjev se stavlja na raspolaganje nadzornom tijelu. Zato ona nije marketinški tekst ni opšta politika privatnosti, već pregled stvarnih aktivnosti obrade koji se može pratiti.

Rukovaoci evidentiraju aktivnosti obrade za koje su odgovorni. Izvršioci obrade vode evidenciju kategorija obrada koje obavljaju za svakog rukovaoca. Ove evidencije imaju različite perspektive i ne treba ih zamijeniti opštom oznakom uloge.

Ključno je ko određuje svrhu i bitna sredstva. Organizacija može za jednu aktivnost biti rukovalac, a za drugu izvršilac obrade. Agencija ili platforma može dodatno slijediti vlastite svrhe ili učestvovati u zajedničkom odlučivanju prema članu 26 GDPR-a. Provjera uloga pomaže početnoj strukturi, ali ne zamjenjuje pregled stvarnog toka podataka.

Evidencija treba odgovarati ugovorima i stvarnom korištenju. Ugovor koji odnos naziva obradom ne određuje sam po sebi šta se stvarno obrađuje. Za dublje razgraničenje pogledajte praktičnu procjenu zajedničke odgovornosti kod agencija i platformi.

Počnite razumljivim nazivom aktivnosti obrade i njenom konkretnom svrhom. Zatim opišite na koja se lica obrada odnosi, na primjer klijente, zaposlene, kandidate ili učesnike događaja, i koje se kategorije podataka stvarno koriste. Zbirni pojmovi poput „svi podaci klijenata“ otežavaju provjeru.

Primaoce treba evidentirati prema aktivnosti i toku podataka. To mogu biti interne službe, izvršioci obrade, društva u grupi, organi vlasti ili drugi primaoci. Kod prenosa u treće zemlje evidencija treba pokazati zemlju, primaoca i relevantnu dokumentaciju o prenosu. Članak o dokumentovanju prenosa u treće zemlje sa SCC i TIA objašnjava dodatni put provjere.

Za rokove brisanja član 30 GDPR-a traži podatke kada je to moguće. Jedan fiksni rok za sve podatke rijetko je primjeren. Povežite okidač roka, kategoriju podataka i pravilo čuvanja. U evidenciji prema članu 30 dovoljan je opšti opis tehničkih i organizacionih mjera kada se detaljni dokazi vode drugdje i jasno su povezani.

Evidencija najčešće zastari zbog promjene u organizaciji, a ne zbog jednog određenog datuma. Novi CRM, drugi pružalac usluge u oblaku, dodatno sučelje, promijenjena ciljna grupa ili novi primalac mogu izmijeniti postojeći unos. Odredite koji događaji pokreću ažuriranje.

Održavanje ne treba prepustiti samo funkciji zaštite podataka kada poslovne jedinice, IT i nabavka stvaraju promjene. Tačke odobrenja mogu biti korisne kod nabavke, razvoja proizvoda, ljudskih resursa i marketinških kampanja. Evidencija treba sadržavati verziju, datum provjere, otvorena pitanja i odgovorne osobe.

Redovno uporedite evidenciju sa obavijestima o zaštiti podataka, ugovorima o obradi, pravilima brisanja i dokazima sigurnosti. Stranica o upravljanju privatnošću i usklađenosti pomaže da se ove odgovornosti organizuju. Za mjere prema članu 32 koristan je članak o dokumentovanju mjera sigurnosti, ali on ne zamjenjuje evidenciju prema članu 30.

Član 30 stav 5 GDPR-a predviđa izuzetak za organizacije sa manje od 250 zaposlenih. On se ne primjenjuje kada obrada vjerovatno predstavlja rizik za prava i slobode fizičkih lica, kada nije samo povremena ili kada obuhvata posebne kategorije podataka prema članu 9 ili podatke o krivičnim osudama i djelima prema članu 10 GDPR-a.

Sam broj zaposlenih zato ne rješava pitanje. Redovno vođenje klijenata, stalna obrada podataka zaposlenih, ponavljajuća komunikacija ili sistemi sa povećanim rizikom mogu govoriti protiv opšteg oslanjanja na izuzetak. Razmotrite i da li više aktivnosti pripada zajedno i kako bi organizacija obrazložila svoju odluku.

U praksi je sažeta i ažurna evidencija često bolji organizacioni instrument čak i kada se razmatra izuzetak. Ona čini tokove podataka vidljivim i pomaže uskladiti obavijesti, ugovore i zaštitne mjere. Odluku treba dokumentovati relevantnim činjenicama, obimom i rizikom.

Spisak softvera: Nazivi proizvoda ne pokazuju koje svrhe, kategorije podataka i primaoci pripadaju aktivnosti.

Jedan unos za cijelu organizaciju: Različite svrhe, grupe lica i tokovi podataka se miješaju i teško provjeravaju.

Automatska primjena izuzetka: Manje od 250 zaposlenih ne uklanja automatski obavezu prema članu 30 GDPR-a.

Čitanje samo ugovora: Stvarno korištenje može odstupati od oznake uloge ili opisa usluge.

Evidencija se ne ažurira: Novi pružaoci, primaoci, sistemi i svrhe ostaju izvan evidencije iako se tok podataka promijenio.

Miješanje evidencije i detaljnih dokaza: Evidencija može upućivati na dokumentaciju o brisanju, sigurnosti ili prenosu, ali je ne zamjenjuje.

Sa vama provjeravamo stvarne aktivnosti obrade, strukturiramo informacije koje traži član 30 GDPR-a i upoređujemo ih sa ugovorima, obavijestima, pravilima brisanja i dokazima sigurnosti. Obratite nam se sa postojećom evidencijom ili novom aktivnošću obrade kako bi se jasno utvrdili nedostajući podaci, odgovornosti i sljedeći korak provjere.