Odpowiedź w skrócie
Najczęstszy błąd w rejestrze przetwarzania polega nie na tym, że go brakuje, ale na tym, że jest wypełniany raz i nigdy więcej nie jest aktualizowany. Rejestr powinien być żywym przeglądem tego, co dzieje się w Twojej firmie z danymi osobowymi. Gdy tylko nabędziesz nowe narzędzie, zmienisz procesora płacy lub zamontujesz kamerę przy wejściu, przegląd ten powinien się zaktualizować — ale w praktyce często się tak nie dzieje.
Poza tym obserwujemy trzy inne błędy, które się powtarzają: uwzględniany jest tylko widoczny system przetwarzania, cel i okres przechowywania są formułowane zbyt ogólnie, a rejestr jest mylony z umową powierzenia przetwarzania danych, podczas gdy to coś innego. Poniżej wyjaśniamy każdy błąd i pokazujemy, jak go uniknąć w praktyce.
Błąd 1: rejestr staje się migawką zamiast żywego dokumentu
Wiele firm wypełnia rejestr w momencie, gdy się zaczyna — często na skutek pytania od klienta lub księgowego — i uważa go za gotowy. Jednak przetwarzanie z dzisiaj wygląda często zupełnie inaczej za rok: pojawia się nowy pakiet księgowy, narzędzie HR jest wymieniane, lub rozpoczyna się wysyłka biuletynu za pośrednictwem innej platformy. Jeśli rejestr się nie zmienia, pojawia się różnica między tym, co jest napisane na papierze, a tym, co faktycznie się dzieje. Ta różnica zwykle zostaje zauważona dopiero, gdy ktoś potrzebuje rejestru: w odpowiedzi na żądanie osoby, której dane dotyczą, przy zamówieniach publicznych, lub po naruszeniu bezpieczeństwa danych.
Istota tego błędu polega na tym, że rejestr jest często traktowany jako projekt, podczas gdy jest to proces. Nie ma stałego momentu na jego sprawdzenie i nikt nie jest za niego strukturalnie odpowiedzialny. przeczytaj, jak taki rejestr pozostaje automatycznie aktualny gdy jest połączony z narzędziami, których już używasz, zamiast być prowadzony osobno w dokumencie Word.
Błąd 2: tylko widoczne systemy przetwarzania trafiają do rejestru
Drugim powtarzającym się błędem jest to, że uwzględniany jest tylko "duży" rejestr przetwarzania: system CRM, administracja płacy, być może sklep internetowy. Mniejsze lub mniej widoczne przetwarzania są pomijane, chociaż w równym stopniu podlegają RODO. Pomyśl o liście Excel z danymi klientów prowadzonej obok CRM, grupie WhatsApp, w której znajdują się również numery telefonów klientów, lub o oddzielnym systemie rezerwacji dla showroomu. Popularne narzędzia SaaS, takie jak aplikacja planowania, usługa podpisu elektronicznego lub narzędzie do rejestracji czasu pracy, również powinny znaleźć się w rejestrze, nawet jeśli zostały wprowadzone "tylko szybko".
Ten błąd zwykle nie wynika z niedbałości, ale z nieznajomości: wielu przedsiębiorców nie wie dokładnie, które narzędzia w ich organizacji przetwarzają dane osobowe. Przegląd znanych narzędzi SaaS pomaga zmniejszyć tę słabą stronę; w bazie wiedzy znajdziesz wyjaśnienie dla każdego tematu, kiedy narzędzie podlega RODO.
Błąd 3: cel i okres przechowywania są formułowane zbyt ogólnie
Trzeci powszechnie popełniany błąd dotyczy zawartości samego rejestru. Dla każdego przetwarzania powinno być podane konkretne cele, podstawa prawna i wskazanie, jak długo dane będą przechowywane. W praktyce jest to często wypełnianie formułowaniami takimi jak "działalność gospodarcza" lub "tak długo, jak potrzeba". To nie jest błąd w tym sensie, że rejestr stałby się przez to nieważny, ale czyni rejestr mniej użytecznym: nie daje odpowiedzi na pytanie, dlaczego dane są przechowywane i kiedy powinny być usunięte.
Samo rozporządzenie RODO działa na zasadzie ograniczenia celu i ograniczenia przechowywania danych, bez ustalania sztywnych terminów — terminy te różnią się w zależności od rodzaju danych i sektora. Rejestr, który robi to konkretnie dla każdego przetwarzania, jest zatem bardziej wartościowy niż rejestr, który wszędzie używa tego samego ogólnego sformułowania.
Jak tego uniknąć w praktyce
Czerwona nić błędów polega na tym, że rejestr postrzegany jest jako jednorazowe zadanie, a nie jako część bieżącej działalności. Dobrym nawykiem jest powiązanie rejestru z momentami, które już zachodzą: zakup nowego narzędzia, zmiana dostawcy lub coroczna rozmowa z księgowym. W tych momentach logiczne jest również sprawdzenie, czy rejestr jest jeszcze prawidłowy.
Pomaga również ustalenie z góry, kto w Twojej organizacji odpowiada za jego prowadzenie, nawet jeśli jest to jedna osoba oprócz innych zadań. Bez właściciela aktualizacja pozostaje zależna od przypadku. Jeśli utkniesz w konkretnej sytuacji, na przykład czy określone narzędzie powinno być w rejestrze, czy nie, w Często zadawane pytania często można znaleźć krótką i konkretną odpowiedź wraz ze wskazaniem źródła w tekście urzędowym.
Czy chciałbyś zobaczyć, jak wyglądałby Twój własny rejestr na podstawie narzędzi, które już używasz, bez konieczności wcześniejszego ręcznego szukania? Przeprowadź bezpłatny quick-scan lub utwórz konto biznesowe aby zobaczyć, co powinno się znaleźć w rejestrze dla Twojej sytuacji.