Autoritatea pentru Protecția Datelor vine să facă o inspecție ce trebuie să pot arăta

Registrul prelucrării se află în centrul unei controale

În cazul unei controale efectuate de Autoritatea pentru Protecția Datelor, în majority cazurilor totul se rezumă la un singur document ca punct de plecare: registrul prelucrării. Acesta conține informații despre ce date cu caracter personal sunt prelucrate, în ce scop, cine are acces la ele, cât timp sunt păstrate și dacă sunt partajate cu terți. Acest registru nu este opțional — articolul 30 din RGPD descrie ce trebuie să conțină și pentru cine se aplică obligația. Pe lângă registru, o autoritate de supraveghere cere de obicei și copiile acordurilor de prelucrare cu furnizorii care prelucrează date în numele companiei, precum și modul în care a fost configurată securitatea acestor date.

Ce scoate la iveală o control mai departe depinde de domeniul în care se concentrează compania. De exemplu, se poate cere declarația de confidențialitate care se transmite clienților sau vizitatorilor site-ului, dovezi că o caz de încălcare de date a fost evaluat la timp atunci, sau evaluarea care a fost făcută cu privire la o prelucrare cu risc. Pentru cine trebuie să determine exact ce trebuie să se afle în registru, oferă ce trebuie să conțină un registru al prelucrării? o prezentare generală a componentelor. Și pentru că o control se extinde și asupra acordurilor cu furnizorii de SaaS sau alte părți care prelucrează date, răspunsul la ce trebuie să conțină un acord de prelucrare? este relevant pentru ceea ce trebuie să poată fi demonstrat.

De unde rezultă aceasta: articolul 30 și articolul 32 din RGPD

Obligația de a ține un registru se regăsește în articolul 30 din RGPD, iar în practică, acest registru este primul document care apare pe masa unei controale. Articolul 32 din RGPD descrie obligația de a lua măsuri tehnice și organizatorice corespunzătoare pentru a proteja datele, și o autoritate de supraveghere poate cere cum sunt implementate aceste măsuri. Aceste două articole se aplică direct în întreaga Uniune Europeană, deci esența a ceea ce trebuie să poată fi demonstrat este aceeași peste tot. Cine efectuează controlul și unde este solicitat sau gestionat diferă pe țări: în Olanda aceasta este Autoritatea pentru Protecția Datelor, în alte state membre o altă autoritate națională de supraveghere cu propriile proceduri. Mai multe informații despre rolul autorității olandeze de supraveghere sunt disponibile pe site-ul Autorității pentru Protecția Datelor.