Svůj rejstřík zpracování si můžete v zásadě udržovat zcela sami. GDPR nepředepisuje žádný specifický program nebo formát: dobře spravovaný dokument nebo tabulka stačí, pokud je úplný, správný a aktuální. Důležité není nástrojů, ale obsah: jaké osobní údaje zpracováváte, za jakým účelem, kdo k nim má přístup, jak dlouho je uchovávejte a které další strany s nimi budou seznámeny.
Praktická otázka tedy není, zda je to povoleno, ale zda to zůstane zvládnutelné ve vaší společnosti. Pokud máte hrstku pevných zpracování — účetní balíček, mzdovou agendu, CRM — často je vlastnoručně vytvořený přehled snadno udržovatelný. Jakmile počet nástrojů roste, mění se zpracovatelé nebo si zaměstnanci kupují software sami, údržba se stává opakovanou úlohou, která se snadno odkládá.
Co musí být v rejstříku na každý pad
Rejstřík popisuje pro každé zpracování účel, kategorie údajů a subjektů, dobu uchování nebo její индикaci a strany, se kterými jsou údaje sdíleny. U zpracování, která probíhají prostřednictvím externí strany, by mělo být zřejmé, zda je základem dohoda o zpracování. Přesné požadavky a výjimky z nich jsou obsaženy v samotném GDPR a jsou rozvedeny v pokynech Úřadu pro ochranu osobních údajů a EDPB. Pokud si chcete nechat tuto situaci vyjasnit, najdete ji v znalostní bázi, kde je to rozebrané podle situace.
Proč se to na papíře stává problematickým
Problém obvykle není nastavení, ale údržba. Společnost MKB během roku uzavře nová SaaS předplatného, přestane s jinými a smlouva o zpracování, která k ní patří, se někdy změní bez vědomí někoho. Tabulka, která byla správná na začátku, je po pár měsících často pouze snímkem okamžiku. Stane se viditelnou až v okamžiku, kdy na to záleží: při žádosti subjektu, při soutěži nebo když o to požádá dohledový orgán.
Zde je skutečný rozdíl mezi vlastní správou a podporou. Vlastní údržba rejstříku není problém, pokud je někdo, kdo pravidelně věnuje čas jeho kontrole a doplňování. V mnoha malých podnikech je tento čas na začátku, a zmizí poté, co se převezme každodenní honba.
Vlastní správa, použití nástroje nebo outsourcing
Mezi zcela vlastní správou a zcela outsourcingem existuje střední cesta: systém, který vyplní rejstřík z knihovny známých nástrojů a upozorní vás, pokud něco chybí nebo se změnilo. To nezachraňuje úvahu o tom, co by mělo být zahrnuto — to zůstává na vás — ale snižuje riziko, že změna zůstane nepozorována. Zda je to pro vaši společnost užitečné, závisí na počtu zpracování a na tom, jak často se tento počet mění. Přehled toho, co k tomu patří a co to stojí, najdete na stránce s cenami systému.
Kdo by to raději nejdřív vyzkoušel sám, může to samozřejmě udělat. GDPR nezavazuje k platnému systému. Co zákon vyžaduje, je to, že rejstřík je v každém okamžiku správným zobrazením reality — nejen v den, kdy byl vytvořen.
Co nikdy nemůžete outsourcovat
Ať si rejstřík vedete v tabulce nebo ho necháte vyplnit v systému: odpovědnost za správnost zůstává u organizace, ne u nástroje. Nástroj může upozornit, že smlouva o zpracování vypršela nebo že nový SaaS nástroj ještě není zahrnut, ale rozhodnutí, co s tím uděláte a zda je zpracování vůbec nutné, zůstává na vás. Pro konkrétní situaci se o to doporučuje poradit s právníkem nebo, pokud pochybujete o zákonu samotném, s Úřadem pro ochranu osobních údajů.
Pokud si chcete nejdříve prohlédnout, jak něco takového v praxi funguje, než se rozhodnete mezi vlastním řešením a podporou, můžete si přečíst často kladené otázky o registru nebo prostřednictvím stránky registrace si vytvořit obchodní účet a podívat se na rozdíl sami.
Pokud chcete vědět, kde se vaše podnikání v tuto chvíli nachází, je bezplatné rychlé skenování dobrým výchozím bodem: žádná povinnost, pouze orientace, co je relevantní pro vaši situaci.