Ką turi turėti duomenų tvarkymo registras?

Kas yra užregistruota duomenų tvarkymo registre

Duomenų tvarkymo registras aprašo, kiekvieno duomenų tvarkymo, kurį organizacija atlieka su asmeniniais duomenimis, atžvilgiu, kas yra atsakingas ir ką daryti su duomenimis. Konkrečiai tai apima organizacijos pavadinimą ir kontaktinius duomenis (ir duomenų apsaugos pareigūno, jei jis yra), tikslus, kuriems tvarkomi duomenys, kategorijas asmenų, kurių duomenys tvarkomi, ir asmeninių duomenų kategorijas, duomenų gavėjų kategorijas, kuriems duomenys perduodami, ar duomenys persiunčiami už ES ribų ir, jei taip, kokios garantijos taikomos, laikymo laikotarpiai arba kriterijus, pagal kurį jie nustatomi, ir bendrą techninių bei organizacinių saugumo priemonių aprašymą.

Organizacija, kuri pati veikia kaip duomenų tvarkytojas — tai yra apdorodama asmeninių duomenų pagal kitos šalies užsakymą — prižiūri panašų, bet šiek tiek ribotesnį registrą, skirtą kategorijoms operacijų, atliekamų kiekvienam užsakovui. Mažesnėms organizacijoms GDPR 30 straipsnio nuostatomis numatytas išimtis: turintis mažiau nei du šimtai penkiasdešimt darbuotojų, šio registro neturi prižiūrėti, nebent tvarkymas keltų riziką asmenų teisėms ir laisvėms, būtų reguliarinis, o ne atsitiktinis, arba apimtų specialias asmeninių duomenų kategorijas arba duomenis apie baudžiamojo teismo nuosprendžius. Praktikoje ta išimtis taikoma mažiau MKB įmonių, nei atrodo žadama, nes reguliari kliento ar personalo duomenų tvarkyba greitai nelaikoma atsitiktine.

Iš kur tai išplaukia: GDPR 30 straipsnis

Šie komponentai išvardyti GDPR 30 straipsnio pirmuose ir antruose dalimuose, o mažesnių organizacijų išimtis nurodyta to paties straipsnio penktame dalyje; Lietuvos duomenų apsaugos inspekcija savo svetainėje paaiškina, kaip ji į tai žiūri Lietuvos praktikoje.