Pro malý podnik s přehledným počtem zpracování — správa personálu, účetnictví, seznam zákazníků, několik SaaS nástrojů — je první hrubý přehled často možné vytvořit během několika hodin. Doba průběhu až do registru, který je skutečně úplný a použitelný, je v praxi vyšší: počítejte s několika dny práce, rozprostřenými přes dva až čtyři týdny. Toto rozprostření není kvůli tomu, že vyplnění samotné trvá dlouho, ale proto, že čekáte na odpovědi od ostatních.
Zákon sám neurčuje lhůtu pro zpracování registru. Co GDPR vyžaduje, je, aby správce zpracování vedl přehled zpracování, která se provádějí pod jeho odpovědností, obsahující zejména účel, kategorie údajů a příjemce, a doby uchovávání. Jak dlouho trvá do té doby, v důsledku toho nezávisí na právní lhůtě, ale na tom, jak dobře vaše organizace sama ví, co se vše s údaji děje.
Kam jdou první dny
První fáze se týká inventarizace: které systémy používáte, kdo má přístup a které údaje v nich jsou. Pro OSVČ nebo firmu s hrstkou zaměstnanců je to často přehledné během jednoho dopoledne. V organizaci s více odděleními se to brzy zvyšuje, jednoduše proto, že nikdo sám nemá úplný obraz: HR ví, které nástroje používají pro nábor a absenci, administrativa ví, který účetní balíček běží, a vedení často neví, že oddělení marketingu si pořídilo samostatné předplatné CRM. Tato fragmentace je první a největší zdroj zpoždění, ne samotná práce na vyplnění.
Praktickým přístupem je začít faktury: každé měsíční stržené předplatné je dobrým vodítkem pro zpracování, které by mělo být v registru. Knihovna známých SaaS nástrojů může tuto část urychlit, protože běžný software je již vybaven obvyklými účely a dobami uchovávání, takže je nemusíte sami zjišťovat. V knowledge base najdete ke každému tématu stručnou odpověď s odkazem v oficiálním textu, což je užitečné při určování toho, co patří do registru a co ne.
Kde se zasekne: smlouvy o zpracování
Druhé zpoždění nastane při propojení smluv o zpracování s zpracováním v registru. Pro každého SaaS poskytovatele, který zpracovává osobní údaje vaším jménem, by měla být smlouva. V praxi se ukazuje, že někdy není k dispozici, nebo si nikdo není jistý poslední verzí. To znamená, že musíte oslovit dodavatele, což se může protáhnout na dny nebo týdny čekání — ne proto, že zpracování dlouho trvá, ale proto, že jste závislí na rychlosti reakce jiné firmy.
Proto je rozumnější nevidět register a dohled nad smlouvami o zpracování jako dva samostatné projekty, ale jako jeden průběžný proces: jakmile se pořídí nový nástroj, měla by být smlouva hned součástí, místo aby se později muselo rekonstruovat, co bylo kdy domluveno.
Doba průběhu při růstu a změnách
Registr se nikdy nedokončí v tom smyslu, že se poté nemění. Nové nástroje, noví zaměstnanci, nové procesy zákazníků — každá z těchto věcí se dotýká registru znovu. Doba trvání jednorázového soupisu tedy málo vypovídá o údržbě poté. Společnosti, které registr vyplní pouze při založení a poté ho nechají být, riskují, že po roce již neodpovídá skutečnosti. Kdo nechá registr růst spolu s knihovnou nástrojů a automaticky nechat signalizovat, když něco chybí, ušetří si opakovaný soupis, který by jinak byla potřebný při každé kontrole nebo zadávání veřejných zakázek.
Pro ty, kdo musí prokázat, že je základ v pořádku — například směrem k pojišťovně nebo při zadávání veřejných zakázek — není důležité pouze to, že registr existuje, ale také jak aktuální je. Přehled starý půl roku, zatímco mezitím přibyly tři nové nástroje, podává jiný obraz než registr aktualizovaný týdně.
Dělat to sami nebo nechat běžet
Ať si registr vedete sami v tabulkovém procesoru, nebo jej necháte vyplňovat ze systému, doba trvání se v obou případech týká především sběru informací, ne jejich zadávání. Rozdíl je v údržbě: tabulkový procesor vyžaduje, abyste si sami pamatovali, kdy je třeba něco aktualizovat, zatímco systém propojený s knihovnou nástrojů a vašimi smlouvami s tímto zpracovatelem vás na to upozorní. Více o tom, jak přesně toto propojení funguje, si přečtete na stránka o fungování systému.
Chcete-li vědět, co by pro vaši situaci úplný a aktuální registr stál na čase a prostředcích, podá vám přehled tarifů představu o tom, co se hodí pro vaši skupinu firem. A pokud si nejste jisti, zda váš současný přehled stačí, najdete v často kladené otázky odpovědi na několik praktických nejasností.
Konečné posouzení, zda váš registr splňuje zákonné požadavky, je na vás samých nebo na právníkovi a v případě pochybností na Úřadu pro ochranu osobních údajů. Chcete-li se nejdříve sami orientovat v tom, kde stojíte, proveďte bezplatný rychlý test nebo prohlédněte si témata v naší znalostnější databázi.