Põhimõtteliselt võite te oma andmete töötlemise registrit täielikult ise pidada. GDPR ei kirjuta ette mingit kindlat programmi või formaati: hästi peetud dokument või arvutustabel sobib, kui see on täielik, korrektne ja ajakohasel. Oluline pole mitte tööriist, vaid sisu: milliste isikuandmeid te töötlete, millisel otstarbel, kes neile juurde pääsevad, kui kaua te neid säilitFALSE ja millised muud osapooled neid näevad.
Praktiliselt pole siis küsimus selles, kas see lubatud on, vaid kas see teie ettevõttes haldatav jääb. Kui teil on kümmekond fikseeritud töötlemist — raamatupidamise pakett, palgahaldus, CRM — siis isekoostatud ülevaade on sageli hästi haldatav. Kui tööriistade arv kasvab, töötlejad muutuvad või töötajad ise tarkvara ostlevad, muutub haldamine kordusvaid ülesandeks, mida lihtne edasi lükata.
Mis peab igal juhul sisse olema
Register kirjeldab iga töötlemise puhul eesmärki, andmete kategooriaid ja subjekte, säilitamise tähtaega või viite sellele ja osapoolte, kellega andmeid jagatakse. Kui töötlemine käib välispoole kaudu, peaks sealt ka selguma, kas sellega on andmete töötleja leping. Täpsed nõuded ja erandid on toodud GDPR-is eneses ja on avatud Andmekaitse Ameti ja EDPB juhistes. Kui soovite seda iga juhtumi kohta välja selgitada, leiate selle teadmusbaasist, kus see iga juhtumi kohta on välja selgitatud.
Miks see paberil keeruliseks muutub
Probleem on tavaliselt mitte seadistamine, vaid haldus. KKA käigus sõlmib uusi SaaS-tellimusi, lõpetab teistega, ja sellele kuuluv andmete töötleja leping muutub mõnikord märkamatult. Alguses õige tabel on paar kuud hiljem sageli vaid hetktõmmis. See muutub nähtavaks alles siis, kui sellel on tähtsus: kui subjekt soovib teavet, avalikul hangetel või kui järelevalvitseja sellekohta küsib.
Siin on tegelik erinevus iseseisvalt tegemise ja toetuse vahel. Registrit ise pidada pole probleem, kui on keegi, kes järjekindlalt võtab aega selle kontrollimiseks ja täiendamiseks. Paljudes väikestes ettevõtetes on see aeg alguses olemas ja kaob kohe, kui igapäevane tegevus võtab üle.
Ise tegemine, tööriista kasutamine või väljaandmine
Täieliku iseseisvalt tegemise ja täieliku väljaandmise vahel on vahepealne tee: süsteem, mis täidab registrit teadaolevate tööriistade teegist ja hoiatab teid, kui midagi puudub või muutub. See ei säästā mõtteprotsessi selle üle, mis sisse peaks minema — see jääb teie kohustuseks — kuid vähendab riski, et muutus märkamatuks jääb. Kas see teie ettevõtte jaoks vaeva väärib, sõltub töötlemiste arvust ja sellest, kui sageli see muutub. Ülevaade, mis sellega seotud on ja mis see maksab, on saadaval süsteemi hindade leheküljel.
Kes soovib seda kõigepealt ise proovida, võib seda kindlasti teha. GDPR ei kohusta mitte makstud süsteemi kasutamisele. Mida seadus nõuab, on see, et register on igal ajahetkel reaalsuse õige peegeldus — mitte ainult päeval, mil see loodi.
Mida te kunagi väljaanda ei saa
Kas te nüüd hoiate registrit arvutustabelis või lasete süsteemil seda täita: vastutus õigsuse eest jääb organisatsiooni kätte, mitte tööriista. Tööriist võib signaliseerida, et andmete töötleja leping on aegunud või et uut SaaS-tööriista pole veel kaasatud, kuid otsus, mida sellega teha ja kas töötlemine on tegelikult vajalik, jääb teie kohustuseks. Teie konkreetse olukorra väljatöötamiseks tasub seda juristiga arutada või kahtluse puhul seaduse endi kohta AndmekaitseAmetiga.
Kui soovite enne valikut enda tegemine ja toe vahel näha, kuidas selline asi praktikas toimib, siis saate sagedamini esitatud küsimusi registri kohta lugeda või registreerimislehel äriregistri luua ja erinevust ise näha.
Kui soovite teada, kus teie ettevõte praegu seisab, on tasuta kiirne ülevaade hea alguspunkt: pole mingit kohustust, vaid ainult näide sellest, mis teie olukorra puhul asjakohane on.