Što mora sadržavati registar obrade podataka?

Što se nalazi u registru obrade podataka

Registar obrade podataka opisuje, za svaku obradu podataka koju organizacija provodi s osobnim podacima, tko je odgovoran za što i što se s podacima događa. Konkretno, radi se o nazivu i kontaktnim podacima organizacije (te o službeniku za zaštitu podataka, ako postoji), svrhama za koje se podaci obrađuju, kategorijama subjekta podataka i kategorijama osobnih podataka o kojima je riječ, kategorijama primatelja kojima se podaci dostavljaju, jesu li podaci proslijeđeni izvan EU i ako jesu, pod kojim jamstvima, rokovima čuvanja koji se primjenjuju ili kriterijima na osnovi kojih se određuju, te općenitom opisom tehničkih i organizacijskih mjera sigurnosti.

Organizacija koja sama djeluje kao izvršitelj obrade — odnosno koja obrađuje osobne podatke na nečiji račun — vodi sličan ali nešto ograničeniji registar, usmjeren prema kategorijama obrada podataka koje se provode za svakog nalogodavca. Za manje organizacije, članak 30. OIDP sadržava iznimku: tko ima manje od dvjesto pedeset zaposlenih, ne mora voditi ovaj registar, osim ako obrada podataka predstavlja rizik za prava i slobode subjekta podataka, nije sporedna, ili se tiče posebnih kategorija podataka odnosno podataka o kaznenim osudbama. U praksi ta iznimka pogađa manje mala i srednja poduzeća nego što se čini, jer redovita obrada podataka o kupcima ili zaposlenicima brzo se ne smatra sporednom.

Gdje se to nalazi: članak 30. OIDP

Ti dijelovi navedeni su u članku 30., stavci prvi i drugi, OIDP-a, s iznimkom za manje organizacije u petom stavku istoga članka; Uprava za zaštitu podataka objašnjava na svojoj web-stranici kako se prema tome odnosi u hrvat skoj praksi.