Mit kell szerepelnie egy adatkezelési naplóban?

Mit a feldolgozási nyilvántartásban van

A feldolgozási nyilvántartás leírja az egyes persoonsgegevens-feldolgozásokról, amelyeket egy szervezet végez, hogy ki milyen tekintetben felelős és mit csinálnak az adatokkal. Konkréten a szervezet nevét és kapcsolatadatait (valamint az adatvédelmi tisztségviselő adatait, ha van), az adatok feldolgozásának céljait, az érintett személyek és persoonsgegevens kategóriáit, azokat az adatfogadó kategóriákat, akiknek az adatokat továbbítják, hogy az adatok az EU-n kívülre kerülnek-e, és ha igen, milyen garanciák mellett, az betartott megőrzési időszakokat vagy azok meghatározásának kritériumát, valamint az adatok feldolgozásának technikai és szervezeti biztonságintézkedéseiről szóló általános leírást.

Egy olyan szervezet, amely maga is feldolgozóként működik — azaz egy másik fél megbízásából persoonsgegevens feldolgozást végez — hasonló, de valamivel korlátozottabb nyilvántartást vezet, amely az egyes megbízóknál végzett feldolgozások kategóriáira irányul. A kisebb szervezetek számára a GDPR 30. cikke tartalmaz egy kivételt: aki kevesebb mint kétszázötven alkalmazottat foglalkoztat, nem köteles ezt a nyilvántartást vezetni, kivéve, ha a feldolgozás kockázatot jelent az érintett személyek jogaira és szabadságaira, nem eseti jellegű, vagy különleges adatkategóriákra, illetve büntetőjogi elítélésekre vonatkozó adatokra vonatkozik. A gyakorlatban ez a kivétel kevesebb KKV-vállalkozást érint, mint ahogy az ígér, mivel az ügyfelek vagy alkalmazottak adatainak rendszeres feldolgozása hamar nem tekinthető eseti jellegűnek.

Ebből a következő: GDPR 30. cikk

Ezeket az elemeket a GDPR 30. cikkének első és második bekezdésében sorolja fel, a kisebb szervezetekre vonatkozó kivétellel ugyanezen cikk ötödik bekezdésében; a Nemzeti Adatvédelmi Hatóság weboldalán tájékoztat arról, hogy hogyan tekint erre a holland gyakorlatban.