Egy kis vállalkozásnál, amely korlátozott számú adatkezelési tevékenységet végez — munkaügyi adminisztráció, könyvelés, ügyfélnévsor, néhány SaaS-eszköz — az első, durva áttekintés gyakran néhány óra alatt elkészíthető. Az a gyakorlati időtartam, amíg egy valóban teljes és használható nyilvántartáshoz el lehet jutni, azonban magasabb: számítson néhány nap munkával, két-négy hét alatt eloszlva. Ez az eloszlás nem azért alakul így, mert az adatok kitöltése hosszú ideig tart, hanem azért, mert közben mások válaszait kell várnia.
Maga a jogszabály nem határoz meg határidőt a nyilvántartás összeállításához. Amit a GDPR viszont megkíván, az az, hogy az adatkezelő vezessen nyilvántartást az ő felelősségén belül végzett adatkezelési tevékenységekről, többek között a cél, az adatkategóriák, az adatfogadók és a megőrzési időtartamok feltüntetésével. Az idő, amely ennek eléréséhez szükséges, nem egy jogi határidőtől függ, hanem attól, hogy szervezete maga mennyire tudja, mit történik az adatokkal.
Mire megy el az első néhány nap
Az első szakasz az inventarizálásról szól: mely rendszereket használ, kinek van hozzáférése, és mely adatok vannak bennük. Egy egyéni vállalkozó vagy egy maroknyi munkavállalót foglalkoztató vállalkozás esetén ezt gyakran egy reggel alatt meg lehet érteni. Több osztályt tartalmazó szervezetnél ez gyorsan felszaporodik, egyszerűen azért, mert senki sem rendelkezik a teljes képpel: az HR tudja, mely eszközöket használ a toborzáshoz és a betegszabadsághoz, az adminisztráció tudja, melyik könyvelési csomag fut, és a vezetés gyakran nem tudja, hogy a marketing osztály egy külön CRM-előfizetést vásárolt. Ez a fragmentáció az első és legnagyobb lassulási forrás, nem maga az adatbevitel.
Egy praktikus megközelítés az, ha a számlákkal kezdünk: minden havi leírásban szereplő előfizetés jó jelzés egy olyan adatkezelésre, amely a nyilvántartásban szerepelnie kell. A jól ismert SaaS-eszközök könyvtára felgyorsíthatja ezt a részt, mivel a gyakori szoftverek már fel vannak szerelve a szokásos célokkal és megőrzési időtartamokkal, így nem kell azokat saját magának megkeresnie. A az ismeretbázisban pontban témánként rövid válasz található a hivatalos szövegben való megtalálhatóság feltüntetésével, amely hasznos annak meghatározásához, hogy mi tartozik a nyilvántartásba és mi nem.
Ahol elakad: adatfeldolgozási szerződések
A második lassulás az adatfeldolgozási szerződések nyilvántartásbeli adatkezelési tevékenységekhez való csatolásakor alakul ki. Az egyes SaaS-szállítók, amelyek az Ön nevében személyes adatokat kezelnek, után szerződésnek lennie kell. A gyakorlatban kiderült, hogy nem mindig van ott, vagy senki nem biztos az utolsó verzióban. Ez azt jelenti, hogy szállítókat kell felkeresnie, amely napokig vagy hetekig terjedő várakozási időbe telhet — nem azért, mert az összeállítás hosszú ideig tart, mert egy másik vállalkozás reagálási sebességétől függ.
Ezért kölcsönösebb az adatkezelési nyilvántartást és az adatfeldolgozási szerződések felügyeletét nem két külön projektnek tekinteni, hanem egy folyamatban futó folyamatnak: amint egy új eszközt megvásárolnak, a szerződés rögtön mellé tartozik, ahelyett, hogy később kellene rekonstruálni, mit állapodtak meg anno.
Feldolgozási idő növekedés és változás közben
Az adatkezelési nyilvántartás soha nem készül el abban az értelemben, hogy utána már nem változik. Új eszközök, új munkatársak, új ügyfélfolyamatok — mindegyik újra érinti a nyilvántartást. Egy egyszeri leltár átfutási ideje tehát keveset mond az utána következő karbantartásról. Azok a vállalatok, amelyek a nyilvántartást csak alapításkor töltik ki és azután hagyják, azzal a kockázattal szembesülnek, hogy egy év után már nem felel meg a valóságnak. Aki a nyilvántartást a szervezet növekedésével párhuzamosan fejleszti és automatikusan jelzést kér, amikor valami hiányzik, megtakarítja azt az ismételt leltározást, amely egyébként minden ellenőrzés vagy közbeszerzés során újra szükséges.
Annak, akinek bizonyítania kell, hogy az alap rendben van — például egy biztosítónak vagy egy közbeszerzés során — nem csak az számít, hogy létezik-e nyilvántartás, hanem az is, hogy mennyire aktuális. Egy fél éves áttekintés, miközben azóta három új eszköz jött hozzá, más képet mutat, mint egy hetente frissített nyilvántartás.
Saját munka vagy automatikus frissítés
Függetlenül attól, hogy a nyilvántartást saját maga egy táblázatban kezeli, vagy egy rendszerből tölti fel, az átfutási idő mindkét esetben főként az információgyűjtésben rejlik, nem a beírásban. A különbség a karbantartásban van: egy táblázat megköveteli, hogy saját maga emlékezzen arra, mikor kell valamit frissíteni, míg egy olyan rendszer, amely az eszközkönyvtárhoz és az adatfeldolgozási szerződésekhez kapcsolódik, ezt helyettesítve jelzi. A kapcsolódás pontos működéséről bővebben a rendszer működésével foglalkozó oldalon olvashatunk a rendszer működésével foglalkozó oldalon.
Ha szeretné tudni, hogy egy teljes, aktuális nyilvántartás az Ön helyzetében mennyi időt és erőforrást igényelne, a díjszabás áttekintése útmutatást ad arra, hogy mit érdemes az Ön vállalati méretéhez. Ha pedig bizonytalan abban, hogy a jelenlegi áttekintése elegendő-e, a leggyakrabban feltett kérdésekben választ találhat néhány gyakorlati kétséges esetre.
A nyilvántartás megfelelősségéről szóló végső értékelés az Ön feladata vagy egy jogi tanácsadóé, szükség esetén a Nemzeti Adatvédelmi Hatóságé. Ha előbb saját képet szeretne kapni a helyzetéről, végezze el az ingyenes gyorstesztet, vagy böngéssze át a tudásbázisban található témákat.