Obrada

Prema članu 4 tački 2 GDPR-a, obrada je svaki postupak ili niz postupaka koji se obavlja u vezi s ličnim podacima, uz korištenje automatizovanih postupaka ili bez njih. To obuhvata prikupljanje, evidentiranje, organizovanje, strukturiranje, čuvanje, prilagođavanje, preuzimanje, uvid, korištenje, dostavljanje, stavljanje na raspolaganje, ograničavanje, brisanje i uništavanje. I pojedinačni pristup ličnim podacima može predstavljati obradu.

Za preduzeće obrada zato znači mnogo više od trajnog čuvanja podataka. Podaci se obrađuju kada ih preduzeće unese u CRM sistem, vodi evidenciju zaposlenih, koristi kolačiće na web-stranici, otvori zahtjev ili ih dostavi pružaocu usluga. Sama definicija ne znači da je obrada dozvoljena. Za svaku aktivnost potreban je odgovarajući pravni osnov, a za posebne kategorije ličnih podataka i dodatni uslovi iz člana 9 GDPR-a.

Preduzeće bi svaku aktivnost obrade trebalo opisati prema svrsi, kategorijama podataka, licima na koja se podaci odnose, primaocima, mjestu čuvanja i načinu brisanja. Treba razjasniti i uloge. Organizacija koja određuje svrhe i bitna sredstva obično je rukovalac. Pružalac usluga koji podatke obrađuje u ime organizacije može biti izvršitelj obrade. Oblast usklađenosti i upravljanja privatnošću i oblast izvršitelja obrade i pružalaca usluga objašnjavaju ovu procjenu.

Za početnu orijentaciju opišite stvarni tok podataka: koji se podaci prikupljaju i za koju svrhu, ko im može pristupiti, kome se dostavljaju i kada obrada prestaje? Provjera uloga pomaže pri razlikovanju uključenih organizacija. Za kolačiće i praćenje pogledajte oblast marketing, kolačići i praćenje, a za podatke zaposlenih oblast zaštite podataka zaposlenih. Kada je uključen vanjski pružalac usluga, korisna je kontrolna lista za provjeru izvršitelja obrade.