Η απάντηση εν συντομία
Το πιο συνηθισμένο λάθος σε έναν κατάλογο δραστηριοτήτων επεξεργασίας δεν είναι ότι λείπει, αλλά ότι συμπληρώνεται μια φορά και δεν ενημερώνεται ποτέ ξανά. Ένας κατάλογος θα πρέπει να είναι μια ζωντανή περίληψη του τι συμβαίνει στην επιχείρησή σας με τα προσωπικά δεδομένα. Μόλις αγοράσετε ένα νέο εργαλείο, αλλάξετε πάροχο υπολογισμού μισθών ή τοποθετήσετε μια κάμερα στην είσοδο, η περίληψη αυτή θα πρέπει να αλλάξει — αλλά στην πράξη αυτό συχνά δεν συμβαίνει.
Επιπλέον, παρατηρούμε τρία άλλα λάθη που επαναλαμβάνονται συχνά: περιλαμβάνονται μόνο τα προφανή συστήματα, ο σκοπός και η περίοδος διατήρησης διατυπώνονται πολύ ασαφώς, και ο κατάλογος συγχέεται με μια σύμβαση επεξεργασίας ενώ πρόκειται για κάτι διαφορετικό. Παρακάτω εξηγούμε κάθε λάθος και δείχνουμε πώς να το αποφύγετε στην πράξη.
Λάθος 1: ο κατάλογος γίνεται στιγμιότυπο αντί για ζωντανό έγγραφο
Πολλές επιχειρήσεις συμπληρώνουν τον κατάλογο τη στιγμή που ξεκινούν — συχνά λόγω ενός αιτήματος από έναν πελάτη ή λογιστή — και το θεωρούν ολοκληρωμένο μετά από αυτό. Αλλά μια δραστηριότητα επεξεργασίας σήμερα μπορεί να φαίνεται διαφορετική σε ένα χρόνο: υπάρχει ένα νέο λογιστικό πακέτο, το εργαλείο HR αντικαθίσταται, ή ξεκινά ένα ενημερωτικό δελτίο μέσω άλλης πλατφόρμας. Εάν ο κατάλογος δεν αλλάξει, θα υπάρχει διαφορά μεταξύ αυτού που αναγράφεται στο χαρτί και αυτού που πραγματικά συμβαίνει. Αυτή η διαφορά συνήθως παρατηρείται μόνο όταν χρειάζεται κάποιος τον κατάλογο: όταν λαμβάνει ένα αίτημα από έναν υποκείμενο, κατά την προμήθεια ή μετά από παραβίαση δεδομένων.
Η ουσία αυτού του λάθους είναι ότι ένας κατάλογος συχνά αντιμετωπίζεται ως έργο ενώ είναι μια διαδικασία. Δεν υπάρχει καθορισμένη στιγμή για να το ελέγξει κανείς και κανένας δεν είναι δομικά υπεύθυνος για αυτό. διαβάστε πώς ένας τέτοιος κατάλογος παραμένει αυτόματα επικαιροποιημένος όταν συνδέεται με τα εργαλεία που χρησιμοποιείτε ήδη, αντί να διατηρηθεί ξεχωριστά σε ένα έγγραφο Word.
Λάθος 2: μόνο τα εμφανή συστήματα περιλαμβάνονται στον κατάλογο
Ένα δεύτερο επαναλαμβανόμενο λάθος είναι ότι περιλαμβάνονται μόνο οι "μεγάλες" δραστηριότητες επεξεργασίας: το σύστημα διαχείρισης σχέσεων με πελάτες, η διαχείριση μισθών, ίσως το διαδικτυακό κατάστημα. Μικρότερες ή λιγότερο ορατές δραστηριότητες επεξεργασίας παραλείπονται, ενώ υπόκεινται εξίσου στο Κανονισμό. Σκεφτείτε μια λίστα Excel με δεδομένα πελατών που διατηρείται παράλληλα με το σύστημα διαχείρισης σχέσεων με πελάτες, μια ομάδα WhatsApp που περιέχει επίσης αριθμούς τηλεφώνων πελατών, ή ένα ξεχωριστό σύστημα κρατήσεων για ένα κατάστημα. Επίσης, τα ευρέως χρησιμοποιούμενα εργαλεία SaaS όπως μια εφαρμογή προγραμματισμού, μια υπηρεσία ηλεκτρονικής υπογραφής ή ένα εργαλείο για καταγραφή ώρας εργασίας θα πρέπει να περιλαμβάνονται στον κατάλογο, ακόμη και αν "εισήχθησαν μόνο γρήγορα".
Αυτό το λάθος συχνά δεν προκύπτει από απροσεξία, αλλά από άγνοια: πολλοί επιχειρηματίες δεν γνωρίζουν με ακρίβεια ποια εργαλεία επεξεργάζονται προσωπικά δεδομένα στο εσωτερικό του οργανισμού τους. Ένα ευρετήριο γνωστών εργαλείων SaaS βοηθά να μειωθεί αυτή η τυφλή κηλίδα. στη γνωσιακή βάση θα βρείτε ανά θέμα εξήγηση του πότε ένα εργαλείο υπόκειται στον Κανονισμό.
Λάθος 3: ο σκοπός και η περίοδος διατήρησης διατυπώνονται πολύ ασαφώς
Το τρίτο συνηθισμένο λάθος είναι στο περιεχόμενο του ίδιου του καταλόγου. Για κάθε δραστηριότητα επεξεργασίας θα πρέπει να υπάρχει ένας συγκεκριμένος σκοπός, ένα νομικό έρεισμα και ένας προσδιορισμός του χρόνου διατήρησης των δεδομένων. Στην πράξη αυτό συχνά συμπληρώνεται με διατυπώσεις όπως "λειτουργία της επιχείρησης" ή "όσο χρειάζεται". Δεν πρόκειται για λάθος με την έννοια ότι ο κατάλογος γίνεται άκυρος, αλλά κάνει τον κατάλογο λιγότερο χρήσιμο: δεν απαντά στο ερώτημα γιατί διατηρούνται τα δεδομένα και πότε θα έπρεπε να διαγραφούν.
Ο GDPR αυτός καθαυτός λειτουργεί με την αρχή του περιορισμού στον σκοπό και του περιορισμού της αποθήκευσης, χωρίς να ορίζει σταθερές προθεσμίες — αυτές οι προθεσμίες διαφέρουν ανάλογα με τον τύπο των δεδομένων και τον τομέα. Ένα αρχείο που το κάνει αυτό συγκεκριμένο ανά επεξεργασία είναι επομένως πιο πολύτιμο από ένα αρχείο που χρησιμοποιεί παντού την ίδια γενική διατύπωση.
Πώς το αποτρέπετε αυτό στην πράξη
Ο κοινός νήμα πίσω από αυτά τα σφάλματα είναι ότι ένα αρχείο θεωρείται ως μια εφάπαξ εργασία και όχι ως μέρος της λειτουργίας της επιχείρησης. Μια καλή συνήθεια είναι να συνδέσετε το αρχείο με στιγμές που πραγματοποιούνται ούτως ή άλλως: αγορά ενός νέου εργαλείου, αλλαγή προμηθευτή ή το ετήσιο συνάντημα με τον λογιστή σας. Σε εκείνα τα στάδια είναι λογικό να ελέγξετε επίσης εάν το αρχείο είναι ακόμη ορθό.
Βοηθάει επίσης να καθορίσετε εκ των προτέρων ποιος στον οργανισμό σας είναι υπεύθυνος για τη συντήρησή του, ακόμη κι αν αυτό είναι ένα άτομο δίπλα σε άλλες εργασίες. Χωρίς ιδιοκτήτη, η ενημέρωση παραμένει εξαρτημένη από το τύχη. Εάν κολλάτε σε μια συγκεκριμένη κατάσταση, για παράδειγμα εάν ένα συγκεκριμένο εργαλείο πρέπει ή όχι να περιλαμβάνεται στο αρχείο, θα βρείτε στην συχνές ερωτήσεις συχνά μια σύντομη και συγκεκριμένη απάντηση, με τη θέση στο επίσημο κείμενο.
Θέλετε να δείτε πώς θα έμοιαζε το δικό σας αρχείο με βάση τα εργαλεία που χρησιμοποιείτε ήδη, χωρίς να χρειάζεται πρώτα να ψάξετε τα πάντα χειροκίνητα; Κάνετε τη δωρεάν γρήγορη σάρωση ή δημιουργήστε έναν επαγγελματικό λογαριασμό για να δείτε τι θα ήταν σχετικό για την κατάσταση του αρχείου σας.