Vad måste innehållas i ett behandlingsregister?

Vad som står i behandlingsregistret

Ett behandlingsregister beskriver, för varje behandling som en organisation utför med personuppgifter, vem som är ansvarig för vad och vad som händer med uppgifterna. I praktiken handlar det om organisationens namn och kontaktuppgifter (och om dataskyddsfunktionären, om sådan finns), de ändamål för vilka uppgifter behandlas, kategorierna av registrerade och kategorierna av personuppgifter som berörs, kategorierna av mottagare till vilka uppgifterna lämnas ut, om uppgifter överförs utanför EU och i så fall under vilka garantier, de lagringsperioder som tillämpas eller det kriterium enligt vilket de fastställs, och en allmän beskrivning av de tekniska och organisatoriska säkerhetsmåtregoderna.

En organisation som själv agerar som behandlare — det vill säga behandlar personuppgifter på uppdrag av en annan part — för ett jämförbart men något mer begränsat register, fokuserat på kategorierna av behandlingar som utfördes för varje personuppgiftsansvarig. För mindre organisationer innehåller artikel 30 i GDPR ett undantag: den som sysselsätter färre än tvåhundrafemtio personer behöver inte föra detta register, såvida behandlingen inte utgör en risk för de registrerades rättigheter och friheter, är återkommande eller gäller särskilda kategorier av personuppgifter eller uppgifter om straffbeslut. I praktiken påverkar undantaget färre små och medelstora företag än vad det verkar lova, eftersom återkommande behandling av kund- eller personalpersonuppgifter snabbt anses vara återkommande snarare än tillfällig.

Var detta följer från: artikel 30 GDPR

Dessa delar räknas upp i artikel 30, första och andra stycket, i GDPR, med undantaget för mindre organisationer i femte stycket i samma artikel; Datainspektionen förklarar på sin webbplats hur den ser på detta i svensk praxis.