W małym przedsiębiorstwie z przejrzystą liczbą przetwarzań — administracja personelu, księgowość, baza danych klientów, kilka narzędzi SaaS — pierwsze, wstępne zestawienie można zwykle przygotować w kilka godzin. Czas realizacji do rejestru, który naprawdę jest kompletny i praktycznie użyteczny, jest w praktyce dłuższy: należy liczyć się z kilkoma dniami pracy, rozłożonymi na dwa do czterech tygodni. To rozłożenie nie wynika z tego, że samo wypełnianie trwa długo, ale z tego, że w międzyczasie czekasz na odpowiedzi od innych osób.
Prawo samo nie wskazuje żadnego terminu do opracowania rejestru. To, o co AVG się zwraca, to fakt, że administrator przetwarzania danych prowadzi przegląd przetwarzań, które odbywają się pod jego odpowiedzialnością, zawierający między innymi cel, kategorie danych i odbiorców oraz okres przechowywania. Ile czasu zajmie aby do tego dojść, nie zależy zatem od wewnętrznego zegara prawnego, ale od tego, jak dobrze Twoja organizacja sama wie, co się dzieje z danymi.
Gdzie ubiegają się pierwsze dni
Pierwsza faza dotyczy inwentaryzacji: które systemy używasz, kto ma dostęp, i jakie dane się w nich znajdują. Dla samozatrudnionego lub przedsiębiorstwa z garstką pracowników jest to często do przejrzenia w jeden poranek. W organizacji z wieloma działami szybko się to komplikuje, po prostu dlatego, że nikt sam nie ma pełnego obrazu: HR wie, które narzędzia używają do rekrutacji i nieobecności, administracja wie, który pakiet księgowości się uruchamia, a kierownictwo często nie wie, że dział marketingu zawarł osobne subskrypcje CRM. To fragmentaryczne rozszczepienie jest pierwszym i największym źródłem opóźnień, a nie sama praca wpisywania danych.
Praktyczne podejście to zacznij od faktur: każda subskrypcja, która jest odliczana co miesiąc, jest dobrym wskaźnikiem przetwarzania, które powinno znaleźć się w rejestrze. Biblioteka znanych narzędzi SaaS może przyspieszyć tę część, ponieważ powszechnie używane oprogramowanie jest już wyposażone w typowe cele i okresy przechowywania, więc nie musisz sam ich ustalać. W bazie wiedzy znajdziesz na każdy temat krótką odpowiedź ze wskazaniem źródła w tekście urzędowym, co jest przydatne przy określaniu, co powinno, a co nie powinno znaleźć się w rejestrze.
Gdzie się zatrzymuje: umowy o przetwarzaniu danych
Drugie opóźnienie pojawia się podczas łączenia umów o przetwarzaniu danych z przetwarzaniem w rejestrze. Dla każdego dostawcy SaaS, który w Twoim imieniu przetwarza dane osobowe, powinna istnieć umowa. W praktyce okazuje się, że czasami jej nie ma, albo nikt nie jest pewny ostatniej wersji. Oznacza to, że musisz skontaktować się z dostawcami, co może trwać od dni do tygodni — nie dlatego, że opracowanie trwa długo, ale dlatego, że jesteś uzależniony od szybkości odpowiedzi innego przedsiębiorstwa.
Dlatego rozsądniej jest nie traktować rejestru i monitorowania umów o przetwarzaniu danych jako dwóch oddzielnych projektów, ale jako jeden ciągły proces: gdy tylko zostanie zakupione nowe narzędzie, umowa powinna być dołączona od razu, zamiast później rekonstruować, co kiedyś zostało uzgodnione.
Czas realizacji w warunkach wzrostu i zmian
Rejestr nigdy nie jest gotowy w tym sensie, że nie zmienia się już po jego utworzeniu. Nowe narzędzia, nowi pracownicy, nowe procesy klienta — każde z nich wpływa na rejestr na nowo. Czas trwania jednorazowej inwentaryzacji mówi zatem mało o utrzymaniu, które następuje później. Firmy, które wypełniają rejestr tylko przy założeniu i pozostawiają go bez zmian, ryzykują, że po roku nie będzie już odpowiadać rzeczywistości. Ci, którzy pozwalają rejestrowi rosnąć wraz z biblioteką narzędzi i pozwalają mu automatycznie sygnalizować, gdy czegoś brakuje, oszczędzają sobie powtarzanej inwentaryzacji, która w innym przypadku byłaby konieczna przy każdej kontroli lub postępowaniu przetargowym.
Dla osób, które muszą wykazać, że podstawy są w porządku — na przykład względem ubezpieczyciela lub w postępowaniu przetargowym — liczy się nie tylko to, że rejestr istnieje, ale także jak aktualny on jest. Przegląd sprzed pół roku, podczas gdy pojawiły się już trzy nowe narzędzia, daje inny obraz niż rejestr aktualizowany co tydzień.
Robić to samemu czy pozwolić na bieżące śledzenie
Niezależnie od tego, czy sam prowadzisz rejestr w arkuszu kalkulacyjnym, czy pozwalasz mu być wypełnionym z systemu, czas trwania w obu przypadkach polega przede wszystkim na zbieraniu informacji, a nie na ich wprowadzeniu. Różnica polega na utrzymaniu: arkusz kalkulacyjny wymaga od Ciebie samodzielnego zapamiętania, kiedy coś należy zaktualizować, podczas gdy system powiązany z biblioteką narzędzi i Twoimi umowami o przetwarzaniu sygnalizuje to za Ciebie. Więcej na temat dokładnego działania tego powiązania przeczytasz na stronie dotyczącej działania systemu.
Jeśli chcesz wiedzieć, ile czasu i zasobów wymagałby kompletny, aktualny rejestr dla Twojej sytuacji, przegląd stawek wskazówka dotycząca tego, co pasuje do wielkości Twojej firmy. A jeśli masz wątpliwości, czy Twój obecny przegląd wystarczy, odpowiedź na kilka praktycznych przypadków znajdziesz w najczęściej zadawanych pytaniach odpowiedź na kilka praktycznych przypadków wątpliwości.
Ostateczna ocena tego, czy Twój rejestr spełnia wymogi ustawowe, należy do Ciebie lub do prawnika, a w razie wątpliwości do Urzędu Ochrony Danych Osobowych. Jeśli chcesz najpierw sam dowiedzieć się, gdzie stoisz, wykonaj bezpłatne szybkie skanowanie lub przeglądaj tematy w bazie wiedzy.