Čo musí obsahovať register spracovateľských činností?

Čo je v registri spracúvania

Register spracúvania opisuje, pre každé spracúvanie persoonsúdajov, ktoré organizácia vykonáva, kto je za čo zodpovedný a čo sa s údajmi deje. Konkrétne ide o názov a kontaktné údaje organizácie (a o úradníka na ochranu údajov, ak existuje), účely, pre ktoré sa údaje spracúvajú, kategórie dotknutých osôb a kategórie persoonsúdajov, ktorých sa to týka, kategórie príjemcov, ktorým sa údaje poskytnú, či sa údaje prenášajú mimo EÚ a ak áno, pod akými zárukami, lehoty uchovania údajov, ktoré sa dodržiavajú, alebo kritérium určenia týchto lehôt, a všeobecný popis technických a organizačných opatrení bezpečnosti.

Organizácia, ktorá sama pôsobí ako správca — teda spracúva persoonsúdaje na pokyn inej strany — vedie porovnateľný, ale trochu obmedzenejší register zameraný na kategórie spracúvania, ktoré sa vykonávajú pre každého zodpovedného za spracúvanie. Pre menšie organizácie obsahuje článok 30 nariadenia (EU) 2016/679 výnimku: kto má menej ako dvesto päťdesiat zamestnancov, nemusí tento register viesť, pokiaľ spracúvanie nepredstavuje riziko pre práva a slobody dotknutých osôb, nie je príležitostné, alebo sa týka osobitných kategórií údajov alebo údajov týkajúcich sa odsúdení za trestné činy. V praxi sa táto výnimka týka menej malých a stredných podnikov, ako by sa z nej na prvý pohľad zdalo, pretože pravidelné spracúvanie údajov zákazníkov alebo zamestnancov sa rýchlo nepovažuje za príležitostné.

Kde sa toto nachádza: článok 30 nariadenia (EU) 2016/679

Tieto prvky sú uvedené v articles 30, prvý a druhý bod, nariadenia (EU) 2016/679, s výnimkou pre menšie organizácie v piatom bode toho istého článku; Autorità per la protezione dei dati vysvetľuje na svojom webe, ako sa na to pozerá v holandskej praxi.