Kas jāietver datu apstrādes reģistrā?

Kas ir ierakstīts datu apstrādes reģistrā

Datu apstrādes reģistrs apraksta katru apstrādi, ko organizācija veic ar personas datiem — kurš par ko ir atbildīgs un kas notiek ar datiem. Konkrēti tas ietver organizācijas nosaukumu un kontaktinformāciju (un datu aizsardzības amatpersonas kontaktinformāciju, ja tāda ir), nolūkus, kuriem tiek apstrādāti dati, skarto personu kategorijas un personas datu kategorijas, saņēmēju kategorijas, kurām tiek nodotas datas, vai dati nonāk ārpus ES un, ja nonāk, kādi aizsardzības pasākumi par to rūpējas, datu glabāšanas periodi vai kritēriji, pēc kuriem šie periodi tiek noteikti, un vispārīgs apraksts par tehniskajiem un organizatoriskajiem drošības pasākumiem.

Organizācija, kas pati rīkojas kā apstrādātājs — tas ir, apstrādā personas datus uz citas puses uzdevuma — vada salīdzināmu, bet nedaudz ierobežotāku reģistru, kas fokusēts uz apstrādes kategorijām, ko viņa veic katram pasūtītājam. Mazākām organizācijām VDAR 30. pantā ir izņēmums: tiem, kuriem ir mazāk par divsimt piecdesmit darbinieku, nav jāvada šis reģistrs, ja vien apstrāde nerada risku personu tiesībām un brīvībām, nav rutīna, vai neattiecas uz jūtīgu datu vai datu par kriminālpārdēsībām. Praksē šis izņēmums ietekmē mazākas vidējā lieluma uzņēmuma nekā tas sludina, jo parasta klientu vai darbinieku datu apstrāde ātri vien neizskatās kā rutīna.

No kurienes tas izriet: VDAR 30. pants

Šie aspekti ir uzskaitīti VDAR 30. panta pirmajā un otrajā punktā, ar izņēmumu mazākām organizācijām piektajā punktā; Personas datu aizsardzības iestāde savā tīmekļa vietnē paskaidro, kā tā skatās uz to Latvijas praksē.