Властите по защита на данни дойдат за проверка — какво трябва да мога да покажа?

Регистърът на обработката е в центъра на проверка

При проверка от Управление за защита на данните в повечето случаи всичко се върти около един документ като отправна точка: регистърът на обработката. Там е записано кои лични данни се обработват, с каква цел, кой има достъп до тях, как дълго се съхраняват и дали се споделят с други. Този регистър не е факултативен — член 30 на GDPR описва какво трябва да бъде в него и за кого задължението се прилага. Освен регистъра надзорен орган обикновено пита и за договорите за обработка с доставчиците, които обработват данни от името на предприятието, и за начина, по който е организирана защитата на тези данни.

Какво още дава проверката, зависи от това, на какво е фокусирано предприятието. Например може да бъдат поискани доказателства за декларацията за конфиденциалност, която се дава на клиентите или посетителите на уебсайта, доказателство, че нарушението на данни е оценено своевременно, или обосновката, направена при рискована обработка. За тези, които трябва да определят точно какво трябва да бъде в регистъра, дава какво трябва да бъде в регистърът на обработката? преглед на компонентите. И тъй като проверката се простира и върху договореностите със SaaS доставчици или други страни, които обработват данни, отговорът на какво трябва да бъде в договора за обработка? е от значение за това, което трябва да бъде представено.

Откъде произтича това: член 30 и член 32 GDPR

Задължението да се поддържа регистър е в член 30 на GDPR, и този регистър е на практика първият документ, който се появява на маса при проверка. Член 32 на GDPR описва задължението да се предприемат подходящи технически и организационни мерки за защита на данните, и надзорен орган може да попита как те са прилагани. Тези два члена се прилагат пряко в цялата Европейска Ю­ния, поради това ядрото на това, което трябва да бъде представено, е еднакво навсякъде. Кой провежда проверката и къде тя е поискана или разрешена, се различава по страни: в Нидерландия е Управление за защита на данните, в други държави-членки е друг национален надзорен орган със своя собствена работна процедура. Повече информация за ролята на холандския надзорен орган има на уебсайта на Управление за защита на данните.