Úřad pro ochranu osobních údajů přichází na kontrolu – co si musím být schopen předvést

Register zpracování údajů je ústředním bodem kontroly

Při kontrole Úřadu na ochranu osobních údajů jde ve většině případů o jeden dokument jako výchozí bod: register zpracování údajů. Obsahuje, které osobní údaje se zpracovávají, za jakým účelem, kdo má přístup, jak dlouho se uchovávají a zda se sdílejí s ostatními. Tento register není fakultativní — článek 30 GDPR popisuje, co by měl obsahovat a pro koho povinnost platí. Kromě registru kontrolní orgán obvykle požaduje také smlouvy o zpracování údajů s dodavateli, kteří údaje zpracovávají jménem společnosti, a informace o způsobu zabezpečení těchto údajů.

Co kontrola dále přinese, závisí na zaměření společnosti. Například lze požadovat prohlášení o ochraně osobních údajů, které se posílá zákazníkům nebo návštěvníkům webu, důkaz, že únos dat byl včas vyhodnocen, nebo posouzení rizik provedené u citlivého zpracování. Pro ty, kteří musí určit, co by mělo v registru zpracování údajů být, poskytuje co musí být v registru zpracování údajů? přehled součástí. A protože se kontrola vztahuje také na smlouvy s poskytovateli SaaS nebo dalšími stranami zpracovávajícími údaje, je odpověď na co musí být ve smlouvě o zpracování údajů? relevantní pro to, co musí být možné prokázat.

Odkud to vyplývá: článek 30 a článek 32 GDPR

Povinnost vést register je uvedena v článku 30 GDPR a v praxi je tento register prvním dokumentem, který se při kontrole objeví. Článek 32 GDPR popisuje povinnost přijmout vhodná technická a organizační opatření k ochraně údajů a kontrolní orgán se může ptát, jak jsou tato opatření naplňena. Tyto dva články se přímo uplatňují v celé Evropské unii, takže základem toho, co musí být možné prokázat, je všude stejný. Které subjekty kontrolu provádějí a kde se vyžaduje nebo řeší, se liší podle země: v Nizozemsku to je Úřad na ochranu osobních údajů, v jiných členských státech jiný národní kontrolní orgán se svými vlastními postupy. Více informací o roli nizozemského kontrolního orgánu najdete na webu Úřadu na ochranu osobních údajů.