Za malu tvrtku s preglednim brojem aktivnosti obrade — administracija zaposlenih, računovodstvo, baza kupaca, nekoliko SaaS-alata — prvi, grubi pregled često se može napraviti u nekoliko sati. Vrijeme trajanja do registra koji je zaista potpun i upotrebljiv u praksi je veće: računajte na nekoliko dana rada, raspoređeno tijekom dva do četiri tjedna. To raspoređivanje nije zato što je samo unošenje podataka dugotrajno, već zato što u međuvremenu čekate odgovore od drugih osoba.
Sam zakon ne navodi rok za izradu registra. Ono što AVG zahtijeva jest da je odgovorna osoba za obradu dužna voditi evidenciju aktivnosti obrade podataka koje su pod njezinom odgovornošću, s naznakom, između ostalog, svrhe, kategorija podataka i primatelja, te trajanja čuvanja podataka. Koliko vremena treba da biste to postigli ne ovisi o zakonskom roku već o tome kako dobro vaša organizacija zna što se sve događa s podacima.
Gdje se troše prvi dani
Prva faza bavi se popisivanjem: koje sisteme koristite, tko ima pristup, i koji podaci su u njima. Za samozaposlenu osobu ili tvrtku s nekolicinom zaposlenika to je često moguće procijeniti u jednom jutru. U organizaciji s više odjela ovo brzo postane komplicirano, jednostavno zato što nitko sam nema potpunu sliku: HR zna koje alate koriste za regrutaciju i bolovanja, administracija zna koji se računovodstveni paket koristi, a uprava često ne zna da je odjel marketinga zaključio posebnu CRM-pretplatu. Ova fragmentiranost je prvi i najveći izvor odgode, a ne sam unos podataka.
Praktičan pristup je početi s računima: svaka mjesečna pretplata koja se povlači iz računa dobar je pokazatelj aktivnosti obrade koju trebate uključiti u register. Biblioteka poznatih SaaS-alata može ubrzati ovaj dio, jer je česta programska oprema već opremljena uobičajenim svrhama i trajanjem čuvanja, tako da ih ne trebate sami istraživati. Na bazi znanja pronalazite kratak odgovor po temi sa mjestem u službenom tekstu, što je korisno pri određivanju što pripada a što ne pripada registru.
Gdje se stvari zaglave: ugovori o obradi podataka
Druga odgoda nastaje pri povezivanju ugovora o obradi podataka s aktivnostima obrade u registru. Za svakog SaaS-dobavljača koji u vaše ime obrađuje osobne podatke, trebao bi postojati ugovor. U praksi se pokazuje da on često ne postoji ili nitko nije siguran u posljednju verziju. To znači da trebate kontaktirati dobavljače, što može trajati dane ili tjedne — ne zato što je izrada ugovora dugotrajne, već zato što oviste o brzini odgovora drugog poduzeća.
Zato je pametnije ne gledati na register i nadzor ugovora o obradi podataka kao na dva odvojena projekta, već kao na jedan neprekinut proces: čim se novi alat nabavi, ugovor bi trebao biti odmah dostupan, umjesto da se naknadno pokušava rekonstruirati što je jednom dogovoreno.
Vrijeme trajanja tijekom rasta i promjena
Registar nikada nije završen u smislu da se nakon toga više ne mijenja. Novi alati, novi zaposlenici, novi procesi s klijentima — svaki od njih ponovno utječe na registar. Vrijeme trajanja jednokratne inventarizacije malo govori o održavanju nakon toga. Poduzeća koja popune registar samo pri osnivanju pa ga zatim ostave, riskiraju da nakon godine dana više ne odgovara stvarnosti. Tko laže da registar raste zajedno s knjižnicom alata i automatski signalizira kada nešto nedostaje, štedi sebi ponavljanu inventarizaciju koja bi inače bila potrebna pri svakoj kontroli ili javnoj nabavi.
Za one koji moraju dokazati da je osnova u redu — primjerice prema osiguravaču ili pri javnoj nabavi — nije važno samo da registar postoji, već i koliko je ažuran. Pregled star pola godine, dok se u međuvremenu pojavilo tri nova alata, daje drugačiju sliku od registra koji se ažurira tjedno.
Sami ili puštanje da radi automatski
Bilo da registar sami održavate u proračunskoj tablici ili ga puštate da se puni iz sustava, vrijeme trajanja u oba slučaja uglavnom se troši na prikupljanje informacija, a ne na njihov unos. Razlika je u održavanju: proračunska tablica zahtijeva da sami zapamtite kada nešto treba ažurirati, dok sustav koji je povezan s knjižnicom alata i s vašim ugovorima o obradi podataka to signalizira za vas. Više o tome kako ta povezanost točno funkcionira pročitajte na stranici o načinu rada sustava.
Ako želite znati koliko bi vremena i sredstava trebalo za potpuni, ažuran registar u vašoj situaciji, pregled cijena naznaka što odgovara veličini vašeg poduzeća. A ako sumnjate da je vaš trenutni pregled dovoljan, odgovore na broj praktičnih pitanja koja vas zbunjuju pronaći ćete u često postavljana pitanja odgovore na broj praktičnih slučajeva dvojbe.
Konačnu procjenu je li vaš register u skladu sa zakonskim zahtjevima prepuštamo vama ili pravniku, a ako ste u nedoumici, Autoritetu za zaštitu podataka. Želite li prvo da steknete sliku o stanju u kojem se nalazite, napravite besplatnu brzu provjeru ili pregledajte teme u bazi znanja.