Urad za varstvo podatkov pride pregledati, kaj moram znati pokazati

Register dejavnosti obdelave je osrednji dokument pri pregledu

Med pregledom Urada za varstvo podatkov se v večini primerov osrednja pozornost usmeri na en dokument: register dejavnosti obdelave. V njem je navedeno, kateri osebni podatki se obdelujejo, v kakšne namene, kdo ima dostop, kako dolgo se hranijo in ali se delijo z drugimi. Ta register ni neobvezujoč — člen 30 UREDBE (EU) 2016/679 opisuje, kaj mora vsebovati in za katere subjekte velja obveznost. Poleg registra nadzorni organ običajno vpraša tudi o pogodbah o obdelavi podatkov s ponudniki, ki obdelujejo podatke v imenu podjetja, in kako je zagotovljena varnost teh podatkov.

Kaj se s pregledom še razkriva, je odvisno od tega, na kaj se podjetje osredotoča. Na primer, lahko se vpraša za izjavo o varnosti podatkov, ki gre k strankam ali obiskovalcem spletnega mesta, za dokaz, da je bila kršitev varnosti podatkov pravočasno ocenjena, ali za presojo, ki je bila narejena pri obdelavi s povečanim tveganjem. Za tiste, ki morajo ugotoviti, kaj točno mora biti v registru, je kaj mora biti v registru dejavnosti obdelave? pregled sestavnih delov. In ker se pregled razširja tudi na dogovore s ponudniki SaaS ali drugimi stranmi, ki obdelujejo podatke, je odgovor na kaj mora biti v pogodbi o obdelavi podatkov? pomemben za tisto, kar se mora moči pokazati.

Od koder to izhaja: člen 30 in člen 32 UREDBE (EU) 2016/679

Obveznost vodenja registra je predvidena v členu 30 UREDBE (EU) 2016/679, in ta register je v praksi prvi dokument, ki se pojavi pri pregledu. Člen 32 UREDBE (EU) 2016/679 opisuje obveznost izvajanja ustreznih tehničnih in organizacijskih ukrepov za zaščito podatkov, in nadzorni organ lahko vpraša, kako so ti ukrepi izvedeni. Ta dva člena neposredno veljata v celotni Evropski uniji, zato je bistvo tega, kar se mora moči pokazati, povsod enako. Kdo izvaja pregled in kje se zahteva ali obravnava, se razlikuje po državah: v Sloveniji je to Urad za varstvo podatkov, v drugih državah članicah pa drugi nacionalni nadzorni organ s svojimi postopki. Več o vlogi slovenskega nadzornega organa je na spletni strani Urada za varstvo podatkov.