V zásade si môžete viesť register svojich činností spracovávania úplne sami. GDPR nepredpisuje žiadny špecifický program ani formát: dobre udržiavaný dokument alebo tabuľka vyhovujú, pokiaľ sú úplné, správne a aktuálne. Ide nie o nástroj, ale o obsah: aké osobné údaje spracovávate, na aký účel, kto k nim má prístup, ako dlho ich uchováte a ktoré ďalšie strany ich uvidia.
Praktická otázka teda nie je, či to je povolené, ale či to zostane zvládnuteľné pre vašu spoločnosť. Pri hrstke ustálených činností — účtovný balík, spracovanie miezd, CRM — je samovyrábané zhrnutie často ľahko udržiavateľné. Akonáhle sa počet nástrojov zvyšuje, výmeny spracovateľov alebo keď si zamestnanci sami kupujú software, údržba sa stáva opakovanou úlohou, ktorá sa ľahko odkladá.
Čo musí byť vždy v registri
Register opisuje pre každú činnosť účel, kategórie údajov a dotknutých osôb, lehotu uchovania alebo jej uvedenie, a strany, s ktorými sa údaje zdieľajú. Pri činnostiach, ktoré prebiehajú prostredníctvom externej strany, musí byť jasné, či je s ňou uzavretá zmluva o spracovaní. Presné požiadavky a výnimky z nich sú uvedené v samotnom GDPR a sú rozpracované v usmerneniach Úradu na ochranu osobných údajov a EDPB. Ak chcete vidieť, ako sa to líši podľa situácie, nájdete to v knižnici vedomostí, kde je to rozpracované podľa situácie.
Prečo je to na papieri komplikované
Problém zvyčajne nie je v zriadení, ale v údržbe. V priebehu roka si malá a stredná firma objedná nové SaaS aplikácie, zrušuje iné a zmluva o spracovaní, ktorá k nim patrí, sa niekedy zmení bez toho, aby si to niekto všimol. Tabuľka, ktorá bola na začiatku správna, je po pár mesiacoch často len momentálnym snímkom. To sa stane viditeľným až v okamihu, keď na tom záleží: keď si to vyžiada dotknutá osoba, pri obstarávaní alebo keď to požiada dozorný úrad.
Tu spočíva skutočný rozdiel medzi vlastným vedením a externou podporou. Vlastné vedenie registra nie je problém, pokiaľ existuje niekto, kto systematicky venuje čas jeho kontrole a aktualizácii. Mnohé malé firmy majú čas na začiatku a ten zmizne, keď sa prevezme každodenný chaos.
Vlastné vedenie, použitie nástroja alebo outsourcing
Medzi úplným vlastným vedením a úplným outsourcingom existuje menej известная cesta: systém, ktorý vyplní register z knižnice známych nástrojov a upozorní vás, ak niečo chýba alebo sa zmenilo. To neušetrí premýšľanie o tom, čo by malo byť v registri — to zostáva na vás — ale znižuje riziko, že zmena ostane nezistená. To, či je to pre vašu firmu vhodné, závisí od počtu činností a toho, ako často sa mení. Prehľad toho, čo k tomu patrí a čo to stojí, nájdete na stránke s cenami systému.
Kto to môže skúsiť najskôr sám, môže to urobiť. GDPR nevyžaduje platený systém. Čo zákon požaduje, je že register musí byť v každom okamihu správnym odrazom reality — nie len v deň jeho vytvorenia.
Čo nikdy nemôžete outsourcovať
Bez ohľadu na to, či veníte register v tabuľke alebo ho ponecháte vyplnenia systémom: zodpovednosť za správnosť zostáva u organizácie, nie u nástroja. Nástroj môže upozorniť, že zmluva o spracovaní vypršala alebo že nová SaaS aplikácia ešte nebola zaregistrovaná, ale rozhodnutie, čo s tým urobíte a či je činnosť vôbec potrebná, zostáva na vás. Pre vyplnenie vašej konkrétnej situácie je to vec na prekonzultovanie s právnikom alebo v prípade pochybností o samotnom zákone s Úradom na ochranu osobných údajov.
Ak chcete najskôr vidieť, ako takéto niečo funguje v praxi, skôr ako sa rozhodnete medzi vlastným riešením a podporou, môžete si prečítať často kladené otázky o registri alebo cez stránku registrácie si vytvoriť obchodný účet a sami vidieť rozdiel.
Ak chcete vedieť, kde sa vaša spoločnosť v súčasnosti nachádza, bezplatná rýchla kontrola je dobrým východiskom: žiadna povinnosť, len indikácia toho, čo je relevantné pre vašu situáciu.