Hvad skal et behandlingsregister indeholde?

Hvad der står i behandlingsregistret

Et behandlingsregister beskriver, for hver behandling af personoplysninger, som en organisation foretager, hvem der er ansvarlig for hvad, og hvad der sker med oplysningerne. Konkret drejer det sig om organisationens navn og kontaktoplysninger (og om den ansvarlige for databeskyttelse, hvis der er en), de formål, som oplysningerne behandles til, de kategorier af registrerede og de kategorier af personoplysninger, der er tale om, de kategorier af modtagere, som oplysningerne videregives til, hvorvidt oplysningerne bliver sendt uden for EU, og i så fald under hvilke garantier, de opbevaringsperioder, der overholdes, eller det kriterium, som disse bestemmes efter, samt en generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger.

En organisation, der selv handler som databehandler — det vil sige, der behandler personoplysninger på vegne af en anden part — fører et sammenlignelig, men lidt mere begrænset register, der fokuserer på de kategorier af behandlinger, som foretages for hver ansvarlig. For mindre organisationer indeholder artikel 30 i GDPR en undtagelse: organisationer med færre end 250 ansatte behøver ikke at føre et sådant register, medmindre behandlingen indebærer en risiko for de registreredes rettigheder og frihedsrettigheder, ikke er lejlighedsvis, eller vedrører særlige kategorier af oplysninger eller oplysninger om straffedomme. I praksis rammer denne undtagelse færre små og mellemstore virksomheder, end det kunne virke til, da regelmæssig behandling af kunde- eller personaleopplysninger hurtigt ikke anses for at være lejlighedsvis.

Hvor dette følger af: artikel 30 GDPR

Disse elementer er opregnet i artikel 30, første og andet stykke i GDPR, med undtagelsen for mindre organisationer i femte stykke i samme artikel; Datatilsynet præciserer på sit websted, hvordan det ser på dette i dansk praksis.