Registr činností zpracování osobních údajů obvykle obsahuje přehled zpracování, které u vás probíhá, s uvedením účelu, právního základu, kategorií údajů a dotknutých osob, lhůty uchování, příjemců údajů a příslušných bezpečnostních opatření pro každé zpracování. Pokud údaje putují k třetí straně, obvykle k tomu patří smlouva se zpracovatelem. Která dokumenta jsou v případě konkrétní organizace přesně potřebná a jak detailný má registr být, posoudí Úřad na ochranu osobních údajů nebo právník – tento článek podává pouze obecný přehled.
Podrobnost, která u tohoto tématu nejvíce hraje roli, je, že registr není snímkem v čase. U dossiera bezpečnosti produktů shromažďujete certifikáty a testovací zprávy, které zůstávají po jejich archivaci chvíli platné. U registru činností zpracování to funguje jinak: jakmile začnete používat nový nástroj, zapojíte nového dodavatele nebo začnete sbírat nový typ údajů, registr se změní. Je to méně složka s důkazy a více průběžný protokol o tom, co se ve vaší firmě s osobními údaji děje.
Co obvykle obsahuje registr
U každého zpracování obvykle zaznamenáte, proč údaje shromažďujete, na jakém právním základu, o které údaje a dotknuté osoby jde, jak dlouho je uchováváte a s kým je sdílíte. Vezměte si jako příklady správu mezd zaměstnanců, seznam zákazníků, který používáte pro marketing, nebo kamerové záznamy u vchodu vaší provozovny. Každý z těchto příkladů tvoří v registru samostatný řádek s vlastním účelem a vlastní lhůtou uchovávání. HR manažer spravující personální spisy a vedoucí kanceláře vedoucí registr návštěv tak oba vyplňují část téhož registru, i když pracují zřídka ze stejného přehledu.
Smlouvy se zpracovatelem jako samostatný dokument
Jakmile třetí strana za vás zpracovává data — účetní kancelář, cloudová služba, marketingová agentura — obvykle k tomu patří samostatná smlouva, která stanoví, co smí a nesmí dělat. Tento dokument patří do registru, ale není jeho náhradou: registr popisuje, co se děje, smlouva určuje, kdo za to nese odpovědnost. Podniky pracující s více dodavateli si všimnou, že tato sbírka smluv roste stejně rychle jako samotný registr, a sledovat, která smlouva je stále aktuální, se stává samostatným úkolem.
Proč tento dossier nikdy není hotov
Protože se registr pohybuje spolu s tím, co se ve vaší společnosti děje, otázka nezní jen to, které dokumenty potřebujete, ale také kdo dohlíží na to, aby byly správné, jakmile se něco změní. Nový HR nástroj, další pobočka, změna dodavatele: pokaždé se ptáme, zda registr stále správně odráží praxi. To je jiný úkol než jednorázový sběr dokumentů, a je to přesný důvod, proč si mnoho podniků tento registr nechává odděleně od zbytku svého compliance dossier, ačkoli věcně se překrývá s tím, co již obsahuje dossier bezpečnosti produktů nebo dossier obalů ohledně podnikatelských údajů.
Kde to patří, a kde pomáhá přehled
Věcná otázka, které zpracování musíte registrovat a jak podrobně, patří ke specializované platformě nebo právníkovi; reglia na tom nezávisí sám. Co reglia dělá, je nechat podnikatelské údaje, které se v takovém registru objevují — vaše číslo KvK, pobočky, kontaktní osoby — vyplnit jednou a zpřístupnit je platformě, která registr spravuje, takže si je nemusíte přepisovat znovu vedle vašeho dossier bezpečnosti produktů nebo dossier obalů. Na stránce s připojenými platformami vidíte, která platforma se konkrétně zabývá osobními údaji, a co od vás tato platforma očekává či neočekává.
Chcete-li vědět, co reglia přesně s vašimi údaji dělá a co ne, přečtěte si to na vysvětlení toho, co reglia s vašimi údaji dělá a co ne. Otázky týkající se zabezpečení těchto údajů naleznete na stránce o bezpečnosti a ochraně osobních údajů, a často kladené otázky o sdílení mezi platformami naleznete na stránce s často kladenými otázkami.
Podívejte se, které platformy jsou připojeny a která platforma se nejlépe hodí pro vedení vašeho registru činností zpracování; tento přehled vám v pár minutách poskytne představu o tom, kde se můžete pro tuto povinnost obrátit.