Urząd Ochrony Danych Osobowych przeprowadza kontrolę, co muszę być w stanie pokazać

Rejestr przetwarzania zajmuje centralne miejsce w trakcie kontroli

Podczas kontroli przeprowadzanej przez Urząd Ochrony Danych Osobowych w większości przypadków wszystko kręci się wokół jednego dokumentu jako punktu wyjścia: rejestru przetwarzania. Zawiera on informacje o tym, które dane osobowe są przetwarzane, w jakim celu, kto ma do nich dostęp, jak długo są przechowywane i czy są udostępniane innym podmiotom. Ten rejestr nie jest niewiążący — artykuł 30 RODO opisuje, co w nim musi się znaleźć i kto ma obowiązek go prowadzić. Oprócz rejestru organ nadzorczy zwykle pyta również o umowy powierzenia przetwarzania zawarte z dostawcami, którzy przetwarzają dane w imieniu przedsiębiorstwa, oraz o sposób, w jaki zabezpieczono dane.

To, co daje w wyniku kontrola, zależy od kierunku, w którym działalność przedsiębiorstwa się skupia. Można więc pytać o oświadczenie o ochronie prywatności kierowane do klientów lub odwiedzających stronę internetową, o dowód, że wyciek danych został oceniony na czas, lub o rozważania dokonane podczas ryzykownego przetwarzania. Dla tych, którzy muszą ustalić, co dokładnie powinno się znaleźć w rejestrze przetwarzania, podpowiada co powinno się znaleźć w rejestrze przetwarzania? przegląd elementów. A ponieważ kontrola obejmuje również umowy z dostawcami SaaS lub innymi podmiotami przetwarzającymi dane, odpowiedź na co powinno się znaleźć w umowie powierzenia przetwarzania? jest istotne dla tego, co trzeba będzie móc wykazać.

Wynika to z: artykułu 30 i artykułu 32 RODO

Obowiązek prowadzenia rejestru wynika z artykułu 30 RODO, a w praktyce ten rejestr jest pierwszym dokumentem, który pojawia się na stole podczas kontroli. Artykuł 32 RODO opisuje obowiązek wdrożenia odpowiednich technicznych i organizacyjnych środków bezpieczeństwa w celu ochrony danych, a organ nadzorczy może pytać, jak te środki zostały wdrożone. Te dwa artykuły mają bezpośrednie zastosowanie w całej Unii Europejskiej, dlatego istota tego, co trzeba móc wykazać, jest wszędzie taka sama. Osób przeprowadzającą kontrolę i miejsce, w którym jest ona wznawiana lub rozpatrywana, różnią się między krajami: w Holandii jest to Urząd Ochrony Danych Osobowych, w innych państwach członkowskich — inny krajowy organ nadzorczy z własnymi procedurami. Więcej informacji o roli holenderskiego organu nadzorczego znajduje się na stronie internetowej Urzędu Ochrony Danych Osobowych.