Co musí obsahovat registr zpracování?

Co je v registru zpracování

Registr zpracování popisuje pro každé zpracování, které organizace provádí s osobními údaji, kdo je za co odpovědný a co se s údaji děje. Konkrétně se jedná o jméno a kontaktní údaje organizace (a správce ochrany dat, pokud existuje), účely, pro které se údaje zpracovávají, kategorie subjektů údajů a kategorie osobních údajů, kterých se to týká, kategorie příjemců, kterým jsou údaje poskytnuty, zda údaje přecházejí mimo EU a pokud ano, pod jakými zárukami, dobu uchovávání údajů, kterou se dodržuje, nebo kritérium, podle kterého se určuje, a obecný popis technických a organizačních bezpečnostních opatření.

Organizace, která sama vystupuje jako správce — tedy zpracovává osobní údaje na základě smlouvy jiné strany — vede podobný, ale poněkud omezený registr zaměřený na kategorie zpracování prováděné pro každého pověřeného. Pro menší organizace obsahuje článek 30 nařízení GDPR výjimku: kdo má méně než dvě stě padesát zaměstnanců, nemusí tento registr vést, ledaže by zpracování představovalo riziko pro práva a svobody subjektů údajů, nebylo by příležitostné, nebo by se týkalo zvláštních kategorií údajů nebo údajů o odsouzení za trestné činy. V praxi se tato výjimka vztahuje na méně podniků, než by se mohlo zdát, protože běžné zpracování údajů zákazníků nebo zaměstnanců se obvykle nepovažuje za příležitostné.

Kde to vyplývá: článek 30 nařízení GDPR

Tyto složky jsou uvedeny v článku 30, prvním a druhém odstavci nařízení GDPR, s výjimkou pro menší organizace v pátém odstavci téhož článku; Úřad pro ochranu osobních údajů objasňuje na svých webových stránkách, jak na to nahlíží v české praxi.