За малко предприятие с преглеждаемо количество дейности по обработка на данни — администрация на персонала, счетоводство, база данни на клиенти, няколко SaaS инструмента — първото, грубо преглед често може да бъде направено за няколко часа. Времето за преминаване до регистър, който наистина е пълен и използваем, е на практика по-дълго: очаквайте няколко дни работа, разпределена в две до четири седмици. Това разпределение не е защото попълването само по себе си отнема време, а защото трябва да чакате отговори от други лица.
Законодателството не посочва никакъв срок за съставяне на регистър. Това, което GDPR изисква, е отговорният за обработка на данни да поддържа преглед на дейностите по обработка на данни, които попадат под неговата отговорност, включително целта, категориите на данните и получателите, както и периодите на съхранение. Колко време отнема да се стигне там, не зависи от законодателен срок, а от това колко добре вашата организация знае какво се случва със данните.
Къде отиват първите дни
Първата фаза се занимава с инвентаризация: кои системи използвате, кой има достъп и кои данни се намират в тях. За самостоятелен предприемач или предприятие с няколко служители това често е възможно да се преглед за един поутрин. При организация с множество отделения това бързо расте, просто защото никой не разполага със съответната пълна картина: HR отделът знае кои инструменти използват за набор и болничен, администрацията знае кой счетоводен пакет работи, а ръководството често не знае, че отделът за маркетинг е сключил отделно абонаментно съглашение за CRM. Това фрагментирање е първият и най-голям източник на забавяне, а не самата работа по попълване.
Практичен подход е да започнете с фактурите: всяко месечно абонаментно плащане е добра индикация за дейност по обработка на данни, която трябва да бъде включена в регистър. Библиотека на известни SaaS инструменти може да ускори тази част, защото често използвана софтуер вече е снабдена с обичайните цели и периоди на съхранение, така че не трябва да ги издирвате сами. В в нашата база знания намирате кратък отговор по всяка тема с местонахождението в официалния текст, което е полезно при определяне на това, което трябва и не трябва да бъде включено в регистър.
Къде е проблемът: договорите за обработка на данни
Второто забавяне възниква при свързване на договорите за обработка на данни с дейностите по обработка на данни в регистър. За всеки SaaS доставчик, който обработва персонални данни в ваше име, трябва да съществува ако договор. На практика се оказва, че той не винаги е налице, или никой не е сигурен за последната версия. Това означава, че трябва да се свържете с доставчици, което може да отнеме дни или седмици чакане — не защото съставянето отнема време, а защото сте зависими от скоростта на реакция на друго предприятие.
Затова е по-разумно да не разглеждате регистър и наблюдението на договорите за обработка на данни като два отделни проекта, а като един непрекъснат процес: щом се закупи нов инструмент, договорът трябва да бъде приложен незабавно, вместо да трябва по-късно да реконструирате какво е договорено некога.
Времеви период при растеж и промяна
Един регистър никога не е завършен в смисъл, че след това не се променя повече. Нови инструменти, нови служители, нови процеси с клиенти — всяко от тях отново засяга регистъра. Времетраенето на еднократна инвентаризация следователно говори малко за поддържането след това. Предприятия, които попълват регистъра само при създаване и го оставят след това, рискуват след една година той да не отговаря на действителността. Който позволи регистърът да расте заедно с библиотеката на инструменти и автоматично се сигнализира когато липсва нещо, спестява на себе си повторната инвентаризация, която иначе е необходима при всяка проверка или обществена поръчка.
За онези, които трябва да докажат, че основата е в ред — например пред застраховател или при обществена поръчка — не важи само че съществува регистър, но и колко актуален е. Преглед на половин година, докато междувременно се добавиха три нови инструмента, дава друга картина от регистър, който се актуализира всяка седмица.
Направете го сами или оставете да се развива
Независимо дали поддържате регистъра сами в електронна таблица или го попълвате от система, времетраенето е в двата случая главно в събирането на информация, а не в нейното въвеждане. Разликата е в поддържането: електронната таблица изисква да помните сами кога трябва да се актуализира нещо, докато система, която е свързана с библиотеката на инструменти и с вашите договори с обработвачи, това ви сигнализира. Повече информация как точно работи тази връзка, можете да прочетете на страницата за работата на системата.
Ако искате да знаете какъв разход на време и средства би отнел един пълен, актуален регистър за вашата ситуация, в преглед на цените можете да намерите индикация за това, което е подходящо за размера на вашето предприятие. И ако случайно усъмните дали вашият текущ преглед е достатъчен, в често задаваните въпроси ще намерите отговор на редица практически дилеми.
Окончателната оценка дали вашият регистър отговаря на законовите изисквания е вашата отговорност или на адвокат, и при съмнение на Властите за защита на личните данни. Ако искате първо да придобиете представа къде стойте, направете безплатната бърза проверка или прочетете темите в базата от знания.