Vaš register podatkov o obdelavi lahko v načelu v celoti vodite sami. GDPR ne predpisuje nobenega posebnega programa ali oblike: dobro vzdrževan dokument ali preglednica zadošča, dokler je popolna, pravilna in ažurna. Ključno ni orodje, temveč vsebina: katere osebne podatke obdelujete, s kakšnim namenom, kdo lahko do njih dostopa, kako dolgo jih hranite in katere druge stranke jih vidijo.
Praktično vprašanje je torej ne ali je dovoljeno, temveč ali to v vašem podjetju ostane vzdržno. Pri več trdnih obdelavah — računovodski paket, plačna administracija, CRM — je samonapravljeni pregled pogosto videti enostavno voditi. Takoj ko se število orodij povečuje, se menjavajo obdelovalci ali zaposleni sami kupijo programsko opremo, postane vzdrževanje ponavljajoča se naloga, ki se zlahka odloži.
Kaj mora biti v registru
Register opisuje za vsako obdelavo namen, vrste podatkov in subjekte, rok hranjena ali его nakazilo, in stranke, s katerimi se podatki delijo. Za obdelave, ki potekajo prek zunanje stranke, je treba tudi pokazati, ali za to obstaja pogodba s procesjem. Točne zahteve in izjeme so navedene v samem GDPR in so razdelane v smernicah Organa za varstvo podatkov in EDPB. Če želite to videti razdelano za vsako situacijo, jo najdete v bazi znanja, kjer je to razdelano za vsako situacijo.
Zakaj je to na papirju težavno
Problem navadno ni v postavitvi, temveč v vzdrževanju. MKB-podjetje v teku leta zaključi nove SaaS-naročnine, opusti druge, pogodba s procesjem pa se včasih spremeni brez da bi kdo to opazil. Preglednica, ki je bila na začetku pravilna, je po nekaj mesecih pogosto le še trenutni posnetek. To postane vidno šele, ko je pomembno: pri zahtevi subjekta, pri javnih naročilih ali ko nadzornik vprašal.
Tu je pravo razlikovanje med samostojnim vodenjem in podprto izvedbo. Samovoljno vodenje registra ni problem, dokler je nekdo, ki si strukturno vzame čas za preverjanje in dopolnjevanje. Pri mnogih malih podjetjih je ta čas na začetku, nato pa izgine, ko vsakdanja rutina prevlada.
Samostojno, z orodjem ali s pomočjo zunanjih
Med popolnoma samostojnim vodenjem in popolnim preusmeritvanjem je vmesna pot: sistem, ki register polni iz knjižnice znanih orodij in vas opozori, če kaj manjka ali se je spremenilo. To ne prihrani razmišljanja o tem, kaj mora biti v registru — to ostane vaša — ampak zmanjša tveganje, da sprememba ostane neopažena. Ali je to za vaše podjetje vredno, je odvisno od števila obdelav in kako pogosto se to število spremeni. Pregled tega, kaj spada zraven in kaj stane, je na strani s cenami sistema.
Tistim, ki raje prvo poskusijo sami, je to dovoljeno. GDPR ne zahteva plačanega sistema. Kar zahteva zakon, je da je register v vsakem trenutku pravilna predstavitev realnosti — ne samo na dan, ko je bil narejen.
Česa ne morete nikoli preusmeriti
Ne glede na to, ali register vodite v preglednici ali ga dopolnjujete v sistemu: odgovornost za pravilnost ostane pri organizaciji, ne pri orodju. Orodje lahko opozori, da je pogodba s procesjem potekla ali da nova SaaS-orodja še niso zajeta, toda odločitev, kaj s tem storite, in ali je obdelava sploh potrebna, ostane pri vas. Za izpolnitev vaše posebne situacije je to nekaj, o čemer je vredno obravnavati s pravnikom ali, če ste negotovi glede zakona samega, z Organom za varstvo podatkov.
Ali si želite najprej ogledati, kako to v praksi deluje, preden se odločite med samostojnim vodenjem in podporo, si lahko preberete pogosto zastavljena vprašanja o registru ali prek strani za registracijo ustvarite poslovni račun in razliko vidite sami.
Če želite vedeti, na katerem mestu se trenutno nahaja vaše podjetje, je brezplačna hitra preverka dobra izhodišča: brez obveznosti, le navedba tega, kaj je za vašo situacijo relevantno.