Какво трябва да съдържа регистърът на дейностите по обработка на данни?

Какво съдържа регистърът на обработката на данни

Регистърът на обработката на данни описва, за всяка обработка на личните данни, която организацията извършва, кой е отговорен за какво и какво се случва с данните. Конкретно това включва名и контактните данни на организацията (и на длъжностното лице по защита на данните, ако има такъв), целите, за които се обработват данните, категориите на засегнатите лица и категориите на личните данни, които са в материята, категориите на получателите, на които се передават данните, дали личните данни преминават извън ЕС и ако да, при какви гаранции, сроковете на съхранение, които се спазват, или критерия, по който те се определят, и обща описание на техническите и организационните защитни мерки.

Организация, която сама действа като обработвател — тоест обработва личните данни по поръчка на друга страна — поддържа подобен, но малко по-ограничен регистър, насочен към категориите обработки, които се извършват за всеки поръчител. За по-малките организации член 30 на GDPR предвижда изключение: организациите с по-малко от двеста петдесет служители не са длъжни да поддържат този регистър, освен ако обработката представлява риск за правата и свободите на засегнатите лица, не е периодична, или включва специални категории данни или данни, свързани със съдебни присъди. На практика това изключение засяга по-малко МСП, отколкото изглежда на пръв поглед, защото редовната обработка на данни на клиентите или служителите бързо се счита за непериодична.

Откъде това произтича: член 30 GDPR

Тези елементи са изброени в първия и втория параграф на член 30 на GDPR, с изключението за по-малките организации в петия параграф на същия член; Органът по защита на данните излага на своя уебсайт как преценява това в Нидерландската практика.