Za majhno podjetje s preglednim številom obdelav — administracijo zaposlenih, računovodstvo, bazo strank, nekaj SaaS-orodij — je prvi, grobi pregled pogosto mogoče narediti v nekaj urah. Čas trajanja do registra, ki je resnično popoln in uporaben, je v praksi daljši: računajte na nekaj dni dela, razporejenega čez dva do štiri tedne. Ta razporeditev ne nastane zato, ker je samo izpolnjevanje dolgotrajno, ampak ker medtem čakate na odgovore drugih.
Zakon sam ne navaja roka za sestavo registra. Kaj zahteva GDPR, je, da oseba, odgovorna za obdelavo podatkov, vodi pregled obdelav, ki se izvajajo pod njeno odgovornostjo, vključno z namenom, kategorijami podatkov in prejemniki ter obdobji hranjenja. Kako dolgo traja, da se do tega pride, torej ni odvisno od zakonskega roka, ampak od tega, kako dobro vaša organizacija sama ve, kaj se dogaja s podatki.
Kje se porabi prvi dnevi
Prva faza se nanaša na zbiranje podatkov: katere sisteme uporabljate, kdo ima dostop in kateri podatki so v njih. Za samozaposleno osebo ali podjetje z nekaj zaposlenimi je to pogosto mogoče pregledati v enem dopoldnevu. V organizaciji z več oddelki se to hitro nabira, preprosto zato, ker nihče sam nima popolne slike: HR ve, katera orodja uporablja za набор in odsotnost, administracija ve, kateri računovodski paket teče, in vodstvo pogosto ne ve, da je oddelek za trženje sklenilo ločeno naročnino CRM. Ta fragmentacija je prvi in največji vir zamude, ne samo delo izpolnjevanja.
Praktičen pristop je začeti s postavkami: vsako naročnino, ki je mesečno označena, je dobra nakazanica za obdelavo, ki sodi v register. Knjižnica znanih SaaS-orodij lahko to fazo pospeši, ker ima pogosto uporabljana programska oprema že navedene običajne namene in obdobja hranjenja, zato jih ne boste morali sami iskati. Na računiški bazi pridobite kratek odgovor na temo z virom v uradnem besedilu, kar je koristno pri določanju, kaj sodi in kaj ne sodi v register.
Kjer se zatakne: pogodbe za obdelavo podatkov
Druga zamuda nastane pri povezovanju pogodb za obdelavo podatkov z obdelavami v registru. Za vsakega SaaS-dobavitelja, ki obdeluje osebne podatke v vašem imenu, mora biti na voljo pogodba. V praksi se pogosto izkaže, da je ni, ali pa nihče ni prepričan o zadnji različici. To pomeni, da morate kontaktirati dobavitelje, kar se lahko zavleče za dneve ali tedne čakanja — ne zato, ker oblikovanje traja, ampak zato, ker ste odvisni od hitrosti odziva drugega podjetja.
Zato je pametneje, da registra obdelave podatkov in spremljanja pogodb za obdelavo podatkov ne gledate kot dva ločena projekta, ampak kot en stalen proces: takoj ko kupite novo orodje, mora biti pogodba takoj priložena, namesto da bi je pozneje morali rekonstruirati.
Čas trajanja pri rasti in spremembah
Register nikoli ni končan v smislu, da se potem ne sprememinja več. Nova orodja, novi zaposleni, novi procesi s strankami — vsak od teh vnovič vpliva na register. Čas izvedbe enkratnega popisa zato malo pove o vzdrževanju pozneje. Podjetja, ki register izpolnijo samo ob ustanovitvi in ga nato pustijo biti, tvegajo, da po letu dni ne ustreza več resničnosti. Tisti, ki pustijo register rastiti skupaj s knjižnico orodij in pustijo, da samodejno signalizira, ko kaj manjka, si prihranijo ponavljajočo inventuro, ki bi jo sicer bilo potrebno izvesti pri vsaki reviziji ali javni naročbi.
Za tiste, ki morajo dokazati, da je osnova urejena — na primer naproti zavarovalnici ali pri javni naročili — ne šteje le to, da register obstaja, ampak tudi, kako aktualen je. Pregled star pol leta, medtem ko so se medtem pojavila tri nova orodja, daje drugačno sliko kot register, ki se posodablja tedensko.
Narediti sami ali pustiti, da teče v sistemu
Ne glede na to, ali register sami vodite v preglednici ali ga pustite polniti iz sistema, čas izvedbe je v obeh primerih predvsem v zbiranju informacij, ne v njihovem vnosu. Razlika je v vzdrževanju: preglednica zahteva, da si sami zapomnite, kdaj je treba kaj posodobiti, medtem ko sistem, ki je povezan s knjižnico orodij in vašimi sporazumi s tretjimi osebami, ki obdelujejo podatke, vas na to opomni. Več o tem, kako natančno ta povezava deluje, si preberite na strani o delovanju sistema.
Če želite vedeti, koliko časa in sredstev bi stal popoln, aktualen register za vaš položaj, vam pregled tarif daje nakazilo, kaj se ujema z velikostjo vašega podjetja. In če dvomite, ali vaš trenutni pregled zadošča, boste v pogosto postavljenih vprašanjih našli odgovore na vrsto praktičnih dvomov.
Končna ocena, ali vaš register izpolnjuje zakonske zahteve, je na vas ali na pravnika, in ob dvomih na Urad za varstvo podatkov. Če želite najprej sami dobiti predstavo o tem, kje ste, naredite brezplačno hitro presojo ali pa prebrskajte skozi teme v zbirki znanja.