Kaj mora vsebovati register obdelave podatkov?

Kaj je v registru dejavnosti obdelave

Register dejavnosti obdelave opisuje, za vsako obdelavo osebnih podatkov, ki jo izvaja organizacija, kdo je odgovoren za kaj in kaj se dogaja s podatki. Konkretno gre za ime in kontaktne podatke organizacije (in funkcionalnega varuharja za zaščito podatkov, če obstaja), namene, za katere se podatki obdelujejo, kategorije posameznikov in kategorije osebnih podatkov, ki so vključeni, kategorije prejemnikov, ki jim se podatki razkrivajo, ali se podatki prenesejo zunaj EU in pod kakšnimi zagotovili, se to dogodi, obdobja hranjenja, ki se spoštujejo, ali merila, po katerih se ta obdobja določijo, in splošni opis tehničnih in organizacijskih ukrepov varnosti.

Organizacija, ki sama nastopa kot obdelovalec — zato obdeluje osebne podatke na naročilo druge strani — vodi podoben, a nekoliko omejenejši register, namenjen kategorijam obdelav, ki se izvajajo za vsakega naročnika. Za manjše organizacije je v členu 30 GDPR izjema: kdor ima v službi manj kot dvesto petdeset oseb, tega registra ne mora voditi, razen če obdelava predstavlja tveganje za pravice in svoboščine posameznikov, ni naključna ali se nanaša na posebne kategorije podatkov ali podatke o kazenskih obsodilcih. V praksi ta izjema dosega manj MSP podjetij, kot obljublja, ker redna obdelava podatkov o strankah ali zaposlenih pogosto ne šteje za naključno.

Od koder to izhaja: člen 30 GDPR

Te sestavine so navedene v členu 30, prvem in drugem odstavku GDPR, z izjemo za manjše organizacije v petem odstavku istega člena; Urad za varstvo pri obdelavi osebnih podatkov pojasnjuje na svojem spletnem mestu, kako h temu pristopa v slovenski praksi.