Отговорът накратко
Най-честата грешка при регистър на дейностите по обработка не е, че липсва, а че се попълва един път и след това не се актуализира. Регистърът трябва да бъде актуален преглед на това, което се случва с личните данни във вашата компания. Щом закупите нов инструмент, смените дадохранител на заплати или поставите камера при входа, този преглед се променя — но на практика това често не се случва.
Освен това видяхме три други грешки, които се повтарят постоянно: във регистъра се включват само очевидните системи, целта и периодът на съхранение се формулират твърде неясно, и регистърът се бърка с договор с обработвател, докато това е нещо съвсем различно. По-долу разясняваме всяка грешка и показваме как можете да я избегнете на практика.
Грешка 1: регистърът се превръща в снимка вместо да бъде живо документ
Много компании попълват регистъра в момента, в който започват с него — често поради въпрос на клиент или счетоводител — и го считат за завършен. Но обработката от днес често изглежда различно след година: добавя се нов софтуер за счетоводство, HR инструментът се заменя или се стартира бюлетин чрез друга платформа. Ако регистърът не следва промените, възниква разлика между това, което е написано на хартия, и това, което наистина се случва. Тази разлика обикновено се забелязва едва когато някой трябва да използва регистъра: при въпрос на засегнат, при закупуване, или след нарушение в защитата на данни.
Ядрото на тази грешка е, че регистърът често се третира като проект, докато е процес. Няма определен момент за проверка и никой не е структурно отговорен за него. вижте как такъв регистър остава автоматично актуален когато е свързан с инструментите, които вече използвате, вместо да се води отделно в документ на Word.
Грешка 2: във регистъра попадат само забележимите системи
Втората често повтаряща се грешка е, че във регистъра се включват само "големите" обработки: CRM системата, администрацията на заплатите, може би интернет магазинът. По-малките или по-малко видими обработки се пропускат, докато те са еднакво предмет на GDPR. Помислете на Excel лист с данни на клиентите, който се води паралелно с CRM, WhatsApp група, в която има и телефонни номера на клиентите, или отделна система за резервации за един салон. И широко използвани SaaS инструменти като приложение за планиране, услуга за електронни подписи или инструмент за регистрация на работното време трябва да фигурират в регистъра, дори ако са били внедрени "само бързо".
Тази грешка обикновено възниква не от небрежност, а от незнание: много предприемачи не знаят точно кои инструменти в организацията обработват лични данни. Преглед на познатите SaaS инструменти помага да се намали тази глава пропуск; в банката с познания намирате обяснено по всяка тема кога един инструмент попада под GDPR.
Грешка 3: целта и периодът на съхранение се формулират твърде неясно
Третата често допускана грешка се крие в съдържанието на самия регистър. За всяка обработка трябва да стои конкретна цел, правна основа и указание за това колко дълго данните ще се съхраняват. На практика това често се попълва с формулировки като "управление на дейност" или "докато е необходимо". Това не е грешка в смисъла, че регистърът с това става невалиден, но го прави по-малко полезен: не дава отговор на въпроса защо данните се съхраняват и кога трябва да бъдат изтрити.
Самата GDPR работи с принципа на ограничение на целта и ограничение на съхранението, без да предписва фиксирани периоди — тези периоди се различават в зависимост от вида на данните и сектора. Регистър, който прави това конкретно за всяка обработка, е следователно по-ценен от регистър, който използва еднакъв общ формуляр навсякъде.
Как да избегнете това на практика
Червената нишка зад тези грешки е, че регистърът се разглежда като еднократна задача, а не като част от деловната дейност. Добра практика е да свържете регистъра с моменти, които все пак се случват: закупуване на нов инструмент, смяна на доставчик или годишният разговор с счетоводителя. В тези моменти е логично да проверите и дали регистърът все още е правилен.
Помага също и предварително да определите кой в организацията ви е отговорен за поддържането му, дори ако това е един човек наред с други задачи. Без собственик актуализирането остава зависимо от случайност. Ако се затруднявате с конкретна ситуация, например дали определен инструмент трябва да бъде в регистъра или не, ще намерите в често задавани въпроси често кратък и конкретен отговор, с указанието на място в официалния текст.
Искате ли да видите как би изглеждал вашият собствен регистър въз основа на инструментите, които вече използвате, без да е необходимо предварително да разбирате всичко ръчно? Направете безплатното бързо сканиране или създайте бизнес акаунт за да видите какво би попаднало в регистъра за вашата ситуация.