Принципно можете да поддържате регистъра си на дейности по обработка напълно самостоятелно. GDPR не предписва специфична програма или формат: добре поддържан документ или електронна таблица е достатъчна, докато е пълна, коректна и актуална. Важното не е инструментът, а съдържанието: какви персонални данни обработвате, с каква цел, кой има достъп до тях, колко дълго ги съхранявате и кои други страни имат достъп до тях.
Практическият въпрос следователно е не дали е позволено, а дали ще остане управляемо в вашата компания. При няколко фиксирани дейности по обработка — счетоводен пакет, администрация на заплати, CRM — самостоятелно направено резюме често е лесно за поддържане. Когато брой инструменти растат, доставчиците се променят или служителите сами закупуват софтуер, поддържането става повтаряща се задача, която лесно се отлага.
Какво трябва да стои вътре
Регистърът описва за всяка дейност по обработка целта, категориите данни и субекти на данни, периода на съхранение или индикация за него, и страните, с които се споделят данни. При дейности по обработка, които се извършват чрез външна страна, трябва също да бъде видно дали между тях е сключена договор за обработка. Точните изисквания и изключенията от тях са във GDPR и са разработени в указания на Autoriteit Persoonsgegevens и EDPB. Ако желаете това разработено за всяка ситуация, можете да го намерите в база със знания, където това е разработено за всяка ситуация.
Защо е трудно на хартия
Проблемът обикновено е не настройката, а поддържането. MKB компания сключва през годината нови SaaS абонаменти, прекратява други, а договорът за обработка, който идва с тях, понякога се променя без никой да го забележи. Електронна таблица, която е била коректна при стартиране, след няколко месеца често е само моментна снимка. Това става видимо само когато е важно: при искане на субект на данни, при обществено поръчване или когато надзорен орган го поиска.
Тук е истинската разлика между самостоятелно управление и получаване на поддръжка. Самостоятелното поддържане на регистър не е проблем, докато има някой, който системно отделя време да го проверява и актуализира. При много малки компании това време има в началото и изчезва, когато ежедневните работи преземат контрола.
Самостоятелно, с инструмент или отдаване на трети лица
Между полното самостоятелно управление и полното отдаване на трети лица има средна опция: система, която попълва регистъра от библиотека на известни инструменти и ви предупреждава, ако нещо липсва или се променя. Това не спестява мисленето какво трябва да стои вътре — това остава при вас — но намалява риска че промяната остане незабелязана. Дали това е полезно за вашата компания, зависи от брой дейности по обработка и колко често се променя броят. Преглед на какво е включено и какво струва, е на страницата с цените на системата.
Които предпочитат да опитат първо самостоятелно, могат да го направят. GDPR не налага платена система. Това, което законът изисква, е регистърът да е в всеки момент правилно отражение на действителността — не само в деня, когато е направен.
Какво никога не можете да отдадете
Независимо дали поддържате регистъра в електронна таблица или го попълвате в система: отговорността за коректността остава при организацията, не при инструмента. Инструмент може да сигнализира че договор за обработка е изтекъл или че нов SaaS инструмент още не е включен, но решението какво да направите с това и дали дейност по обработка е действително необходима, остава при вас. За конкретната ситуация препоръчваме това да обсъдите с юрист или, ако има съмнения за самия закон, с Autoriteit Persoonsgegevens.
Ако искате първо да видите как работи такова нещо на практика, преди да решите между самостоятелно действие и подкрепа, можете да прочетете често задаваните вопроси относно регистъра или чрез страницата за регистрация да създадете служебен акаунт и сами да видите разликата.
Ако искате да знаете където се намира вашето предприятие в този момент, безплатното бързо сканиране е добра отправна точка: без задължение, само индикация за това, което е релевантно за вашата ситуация.