Datainspektionen kommer att inspektera vad måste jag kunna visa

Behandlingsregistret står i centrum vid en kontroll

Vid en kontroll från Datainspektionen handlar det i de flesta fall om ett dokument som utgångspunkt: behandlingsregistret. Där anges vilka personuppgifter som behandlas, för vilket syfte, vem som har tillgång till dem, hur länge de sparas och om de delas med andra. Detta register är inte frivilligt — artikel 30 i GDPR beskriver vad det ska innehålla och för vem skyldigheten gäller. Förutom registret frågar en tillsynsmyndighet vanligtvis också efter databehandlingsavtal med de leverantörer som behandlar uppgifter på företagets vägnar, och hur säkerheten för dessa uppgifter är organiserad.

Vad en kontroll leder till beror på vad företaget fokuserar på. Det kan till exempel frågass om sekretesspolicy som gäller för kunder eller webbplatsbesökare, om det finns bevis för att ett dataöverträdelse då bedömdes i tid, eller hur övervägandet gjordes vid en riskfylld behandling. För den som behöver fastställa vad som exakt ska finnas i registret ger vad ska finnas i ett behandlingsregister? en översikt över delarna. Och eftersom en kontroll även omfattar avtal med SaaS-leverantörer eller andra parter som behandlar uppgifter, är svaret på vad ska finnas i ett databehandlingsavtal? relevant för vad som måste kunna visas.

Där detta följer från: artikel 30 och artikel 32 GDPR

Skyldigheten att upprätthålla ett register anges i artikel 30 i GDPR, och det registret är i praktiken det första dokument som presenteras vid en kontroll. Artikel 32 i GDPR beskriver skyldigheten att vidta lämpliga tekniska och organisatoriska åtgärder för att säkra uppgifterna, och en tillsynsmyndighet kan fråga hur dessa åtgärder är utformade. Dessa två artiklar gäller direkt i hela Europeiska unionen, så kärnan av vad som måste kunna visas är densamma överallt. Vem som genomför kontrollen och var den begärs eller hanteras skiljer sig åt mellan länder: i Sverige är det Datainspektionen, i andra medlemsstater en annan nationell tillsynsmyndighet med egna arbetsmetoder. Mer om rollen för den svenska tillsynsmyndigheten finns på Datainspektionens webbplats.