O que deve constar num registo de atividades de tratamento?

O que está no registro de atividades de processamento

Um registro de atividades de processamento descreve, para cada processamento que uma organização realiza com dados pessoais, quem é responsável por quê e o que acontece com os dados. Concretamente, trata-se do nome e dados de contacto da organização (e do encarregado de proteção de dados, se existir), as finalidades para as quais os dados são processados, as categorias de pessoas interessadas e as categorias de dados pessoais em questão, as categorias de destinatários a quem os dados são fornecidos, se os dados saem da UE e, em caso afirmativo, sob que garantias, os prazos de retenção que são observados ou o critério pelo qual são determinados, e uma descrição geral das medidas técnicas e organizacionais de segurança.

Uma organização que atua ela própria como processador — ou seja, que processa dados pessoais por conta de outra parte — mantém um registro comparável mas ligeiramente mais restrito, focado nas categorias de processamento que são realizadas para cada responsável pelo tratamento. Para organizações mais pequenas, o artigo 30.º do RGPD contém uma exceção: quem tem menos de duzentas e cinquenta pessoas ao serviço não precisa de manter este registro, a menos que o processamento represente um risco para os direitos e liberdades das pessoas interessadas, não seja ocasional, ou envolva categorias especiais de dados ou dados sobre condenações penais. Na prática, essa exceção abrange menos empresas de pequena e média dimensão do que parece prometer, porque o processamento regular de dados de clientes ou de pessoal rapidamente não é considerado ocasional.

Onde isto decorre: artigo 30.º RGPD

Estes elementos estão enumerados no artigo 30.º, primeiro e segundo parágrafos, do RGPD, com a exceção para organizações mais pequenas no quinto parágrafo do mesmo artigo; a Autoridade de Proteção de Dados lida com esta matéria no seu sítio Web explicando como a aborda na prática portuguesa.