U principu možete u potpunosti sami voditi registar obrade. GDPR ne propisuje nikakav specifičan program ili format: dobro održavani dokument ili proračunska tablica su dovoljni, dok god su potpuni, ispravni i ažurni. Ključno nije alat, već sadržaj: koje osobne podatke obrađujete, u koju svrhu, tko ima pristup, koliko dugo ih čuvate i koje druge stranke ih dobivaju.
Praktično pitanje dakle nije je li to dozvoljeno, već je li to održivo u vašoj tvrtki. Ako imate samo nekoliko stalnih obrada — računovodstveni paket, obrada plaća, CRM — samopravljen pregled često je lako održavati. Čim broj alata raste, verifikatori se mijenjaju ili zaposlenici sami nabavljaju softver, održavanje postaje ponavljajući zadatak koji se lako odgađa.
Što svakako mora biti u njemu
Registar opisuje po obradi svrhu, kategorije podataka i subjekte, razdoblje čuvanja ili njegov opis, i stranke s kojima se podaci dijele. Za obrade koje provodi vanjska stranka, trebalo bi biti jasno postoji li sporazum o obradi podataka. Točni zahtjevi i iznimke od njih navedeni su u samom GDPR-u i razrađeni u smjernicama Ureda za zaštitu podataka i EDPB-a. Ako želite da se to obradi po vašoj situaciji, to ćete pronaći u banci znanja gdje je obrađeno po situaciji.
Zašto to na papiru postaje problematično
Problem je obično ne što postaviti, nego što održavati. Tijekom godine malo poduzeće zaključuje nove SaaS-pretplate, prestaje s drugima, i ugovor o obradi podataka koji dolazi uz to ponekad se mijenja bez da netko to primijetí. Proračunska tablica koja je bila ispravna na početku, nakon nekoliko mjeseci često je samo snimak stanja. To postaje vidljivo tek u trenutku koji je bitan: kod zahtjeva subjekta čiji se podaci obrađuju, kod javne nabave, ili kad to nadzorni organ traži.
Upravo tu leži pravo razlikovanje između samostalnog rada i potrage za podrškom. Samostalno održavanje registra nije problem dok je netko tko će strukturirano izdvojiti vrijeme da ga provjeri i dopuni. U mnogim malim poduzećima to vrijeme postoji na početku, i nestaje čim svakodnevne obaveze preuzmu kontrolu.
Samostalno, korištenje alata ili outsourcing
Između potpunog samostalnog rada i potpunog outsourcinga postoji srednji put: sustav koji puni registar iz biblioteke poznatih alata i vas upozorava ako nešto nedostaje ili se promijenilo. To ne štedi razmišljanja o tome što treba biti uključeno — to ostaje na vama — ali štedi rizik da promjena ostane neprimijećena. Važi li vam to za vaše poduzeće, ovisi o broju obrada i kako često se taj broj mijenja. Pregled onoga što je potrebno i što to košta, nalazi se na stranici s cijenama sustava.
Tko to radije prvo pokuša sam, može to učiniti. GDPR ne obvezuje na plaćeni sustav. Ono što zakon traži jest da je registar u svakom trenutku ispravna slika stvarnosti — ne samo dana kad je napravljen.
Što nikada ne možete outsourcirati
Bila registar u proračunskoj tablici ili je sustav popunjavate sami: odgovornost za ispravnost ostaje na vašoj organizaciji, ne na alatu. Alat može signalizirati da je ugovor o obradi podataka istekao ili da novi SaaS-alat još nije uključen, ali odluka što s tim napraviti, i je li obrada zapravo potrebna, ostaje na vama. Za primjenu na vašu specifičnu situaciju to je nešto što trebate razmotriti s pravnikom ili, ako ste nesigurni u samo zakonodavstvo, s Nadzornim tijelom.
Ako najprije želite vidjeti kako nešto takvo funkcionira u praksi prije nego što se odlučite između samostalne izrade i podrške, možete pročitati često postavljana pitanja o registru obrade podataka ili putem stranice za registraciju otvoriti poslovni račun i sami vidjeti razliku.
Ako želite znati gdje se vaše poduzeće trenutno nalazi, besplatna brza procjena je dobar početak: bez obveze, samo indikacija što je relevantno za vašu situaciju.