Odpověď ve zkratce
Nejčastější chyba v evidenci zpracování není v tom, že chybí, ale v tom, že je vyplněna jednou a poté se již neaktualizuje. Evidence by měla být živým přehledem toho, co se v případě osobních údajů ve vaší společnosti děje. Jakmile si pořídíte nový nástroj, změníte poskytovatele mzdové agendy nebo umístíte kameru u vchodu, měl by se tento přehled odpovídajícím způsobem změnit — v praxi se to však často neděje.
Kromě toho vidíme, že se stále opakují tři další chyby: jsou zahrnuta pouze zřejmá zpracování, účel a lhůta pro uchovávání jsou formulovány příliš vágně a evidence se zaměňuje s dohodou o zpracování, ačkoli se jedná o něco jiného. Níže si každou chybu vysvětlíme a ukážeme, jak se jí v praxi vyhnout.
Chyba 1: evidence se stává snímkem v čase místo živého dokumentu
Mnoho společností vyplní evidenci v okamžiku, kdy s ní začínají — často na základě dotazu od klienta nebo účetního — a poté ji považují za uzavřenou. Ale zpracování z dnešního dne vypadá často jinak za rok: přichází nový účetní balík, nástroj HR je nahrazen, nebo se začíná s novinkovým bulletin prostřednictvím jiné platformy. Pokud se evidence nemění, vznikne rozdíl mezi tím, co je napsáno na papíře, a tím, co se skutečně děje. Tento rozdíl obvykle upoutá pozornost pouze v případě, že někdo evidenci potřebuje: při žádosti osoby, kterou se údaje týkají, při zadávání veřejné zakázky, nebo po narušení bezpečnosti osobních údajů.
Podstatou této chyby je, že se s evidencí často zachází jako s projektem, zatímco jde o proces. Není stanoven pevný čas na kontrolu a nikdo za ni není strukturálně odpovědný. přečtěte si, jak taková evidence zůstává automaticky aktuální když je propojena s nástroji, které již používáte, místo aby se vedla odděleně v dokumentu Word.
Chyba 2: do evidence se dostávají pouze znatelná zpracování
Druhou opakující se chybou je, že jsou zahrnuta pouze "velká" zpracování: systém CRM, mzdová agenda, možná internetový obchod. Menší nebo méně viditelná zpracování jsou přehlédnuta, přestože spadají stejně dobře pod GDPR. Mysleme na seznam aplikace Excel s údaji o zákaznících, který se vede vedle CRM, skupinu WhatsApp, která obsahuje také telefonní čísla zákazníků, nebo samostatný rezervační systém pro showroom. Také hojně používané SaaS nástroje, jako je plánovací aplikace, služba elektronického podpisu nebo nástroj pro registraci pracovní doby, patří do evidence, i když byly zavedeny "jen tak rychle".
Tato chyba obvykle nevzniká z nedbalosti, ale z neznalosti: mnozí podnikatelé přesně nevědí, které nástroje v jejich organizaci zpracovávají osobní údaje. Přehled známých SaaS nástrojů pomáhá zmenšit tuto slepou skvrnu; v znalostní bázi najdete vysvětleno podle tématu, kdy nástroj spadá pod GDPR.
Chyba 3: účel a lhůta pro uchovávání jsou formulovány příliš vágně
Třetí běžná chyba je v obsahu samotné evidence. Pro každé zpracování by měl být uveden konkrétní účel, právní základ a údaj o tom, jak dlouho budou údaje uchovávány. V praxi se to často vyplňuje formulacemi jako "vedení podniku" nebo "dokud je to zapotřebí". To není chyba v tom smyslu, že by se evidence tím stala neplatnou, ale činí evidenci méně použitelnou: neodpovídá na otázku, proč se údaje uchovávají a kdy by měly být smazány.
Samotná GDPR pracuje se zásadou účelovosti a omezení uchovávání bez stanovení pevných lhůt — tyto lhůty se liší podle typu údajů a odvětví. Registr, který to konkrétně vyjadřuje pro každé zpracování, je tedy cennější než registr, který všude používá stejnou obecnou formulaci.
Jak tomu v praxi zabránit
Červené vlákno za těmito chybami je, že se na registr nahlíží jako na jednorázovou úlohu místo jako na součást podnikatelské činnosti. Dobrým zvykem je propojit registr s okamžiky, které už tak či tak probíhají: nákup nového nástroje, výměna dodavatele nebo roční rozhovor s účetním. V těchto okamžicích je logické také zkontrolovat, zda je registr stále správný.
Pomáhá také, když si předem ujasníte, kdo je ve vaší organizaci odpovědný za jeho aktualizaci, i když je to jedna osoba vedle dalších úkolů. Bez vlastníka zůstává aktualizace závislá na náhodě. Pokud se zaseknete v konkrétní situaci, například zda by určitý nástroj měl či neměl být v registru, najdete v často kladených otázkách často krátkou a konkrétní odpověď se včetněním místa v oficiálním textu.
Chcete vidět, jak by váš vlastní registr vypadal na základě nástrojů, které už používáte, bez toho, abyste si nejprve musel vše ručně vyhledat? Proveďte bezplatnou rychlou kontrolu nebo vytvořte si obchodní účet abyste viděli, co by pro vaši situaci mělo skončit v registru.