Τι πρέπει να περιέχει ένα αρχείο δεδομένων επεξεργασίας;

Τι περιέχεται στο μητρώο δραστηριοτήτων επεξεργασίας

Ένα μητρώο δραστηριοτήτων επεξεργασίας περιγράφει, για κάθε επεξεργασία που διεξάγει ένας οργανισμός με προσωπικά δεδομένα, ποιος είναι υπεύθυνος για τι και τι συμβαίνει με τα δεδομένα. Συγκεκριμένα, αφορά το όνομα και τα στοιχεία επικοινωνίας του οργανισμού (και του υπεύθυνου προστασίας δεδομένων, εάν υπάρχει), τους σκοπούς για τους οποίους επεξεργάζονται δεδομένα, τις κατηγορίες των υποκειμένων και τις κατηγορίες προσωπικών δεδομένων που σχετίζονται, τις κατηγορίες αποδεκτών στους οποίους αποκαλύπτονται δεδομένα, εάν τα δεδομένα μεταφέρονται εκτός της ΕΕ και εάν ναι, υπό ποιες εγγυήσεις, τις περιόδους διατήρησης που ακολουθούνται ή το κριτήριο με το οποίο καθορίζονται, και μια γενική περιγραφή των τεχνικών και οργανωτικών μέτρων ασφαλείας.

Ένας οργανισμός που ενεργεί ως επεξεργαστής — δηλαδή, επεξεργάζεται προσωπικά δεδομένα κατ' εντολή ενός άλλου μέρους — τηρεί ένα συγκρίσιμο αλλά ελαφρώς πιο περιορισμένο μητρώο, εστιασμένο στις κατηγορίες επεξεργασιών που διεξάγονται για κάθε εντολέα. Για μικρότερους οργανισμούς, το άρθρο 30 του GDPR περιέχει εξαίρεση: όποιος διαθέτει λιγότερο από διακόσια πενήντα υπαλλήλους δεν υποχρεούται να τηρεί αυτό το μητρώο, εκτός εάν η επεξεργασία ενέχει κίνδυνο για τα δικαιώματα και τις ελευθερίες των υποκειμένων, δεν είναι περιστασιακή, ή αφορά ειδικές κατηγορίες δεδομένων ή δεδομένα σχετικά με ποινικές καταδίκες. Στην πράξη, η εξαίρεση αυτή ισχύει για λιγότερες μικρομεσαίες επιχειρήσεις από ό,τι φαίνεται να υπόσχεται, επειδή η τακτική επεξεργασία δεδομένων πελατών ή προσωπικού πολύ σύντομα δεν θεωρείται περιστασιακή.

Από που προκύπτει αυτό: άρθρο 30 GDPR

Αυτά τα στοιχεία αναφέρονται στο άρθρο 30, παράγραφοι πρώτη και δεύτερη, του GDPR, με την εξαίρεση για μικρότερους οργανισμούς στην πέμπτη παράγραφο του ίδιου άρθρου. η Ολλανδική Αρχή Προστασίας Δεδομένων εξηγεί στην ιστοσελίδα της πώς προσεγγίζει αυτό στην ολλανδική πράξη.