Rejestr przetwarzania danych osobowych zwykle składa się z przeglądu przetwarzania, które odbywa się w Twojej firmie, z określeniem dla każdego przetwarzania celu, podstawy prawnej, kategorii danych i osób, których dane dotyczą, okresu przechowywania, podmiotu otrzymującego dane i stosownych środków bezpieczeństwa. Jeśli dane trafiają do innej strony, zwykle towarzyszyć im powinna umowa powierzenia przetwarzania. To, które dokumenty są w Twoim przypadku dokładnie potrzebne i jak dokładny powinien być rejestr, oceni Urząd Ochrony Danych Osobowych lub prawnik — artykuł ten przedstawia tylko ogólny obraz.
Szczegół, który odgrywa tu największą rolę, to fakt, że rejestr nie jest fotografią chwili. W dossier bezpieczeństwa produktu zbierasz certyfikaty i raporty z badań, które po uzyskaniu pozostają ważne przez pewien czas. W rejestrze przetwarzania jest inaczej: gdy tylko zaczniesz używać nowego narzędzia, zatrudnisz nowego dostawcę lub zaczniesz zbierać nowy typ danych, rejestr zmienia się razem z tym. To mniej folder z dokumentami potwierdzającymi i bardziej bieżący dziennik tego, co dzieje się w Twojej firmie z danymi osobowymi.
Co zwykle znajduje się w rejestrze
Dla każdego przetwarzania zwykle zapisujesz, dlaczego zbierasz dane, na jakiej podstawie to robisz, jakie dane i osoby których dotyczą, jak długo je przechowujesz i z kim je dzielisz. Pomyśl o administracji wynagrodzeń pracowników, bazie danych klientów, którą wykorzystujesz do marketingu, lub nagraniach z kamer przy wejściu do Twojej siedziby. Każdy z tych przykładów to oddzielny wiersz w rejestrze, z własnym celem i własnym okresem przechowywania. Kierownik zasobów ludzkich zarządzający zawartością akt osobowych i kierownik biura prowadzący rejestr odwiedzających wypełniają zatem obie części tego samego rejestru, choć rzadko pracują z tego samego przeglądu.
Umowy powierzenia przetwarzania jako oddzielny dokument
Gdy inna strona przetwarza dane w Waszym imieniu — biuro księgowe, usługa w chmurze, agencja marketingowa — zwykle wymaga to oddzielnej umowy, która określa, co ta strona może i nie może robić. Ten dokument należy do rejestru, ale go nie zastępuje: rejestr opisuje CO się dzieje, umowa określa KTO za to odpowiada. Firmy współpracujące z wieloma dostawcami zauważają, że ten stos umów rośnie tak szybko jak sam rejestr, a śledzenie, która umowa jest jeszcze aktualna, staje się osobnym zadaniem.
Dlaczego ten dossier nigdy nie jest gotowy
Ponieważ rejestr zmienia się wraz z tym, co dzieje się w Waszej firmie, pytanie nie dotyczy tylko tego, jakie dokumenty są Wam potrzebne, ale także tego, kto czuwa na tym, aby były prawidłowe, gdy coś się zmieni. Nowe narzędzie HR, dodatkowy oddział, zmiana dostawcy: za każdym razem pojawia się pytanie, czy rejestr jest jeszcze prawidłowym odzwierciedleniem praktyki. To inne zadanie niż jednorazowe zebranie dokumentów, i to dokładnie dlatego, dlaczego wiele firm trzyma ten rejestr niezależnie od reszty swojego dossier compliance, choć treściowo pokrywa się z tym, co dossier bezpieczeństwa produktu lub dossier opakowań już zawiera w zakresie danych firmy.
Gdzie to należy i gdzie pomaga przejrzystość
Pytanie merytoryczne dotyczące tego, które przetwarzania należy rejestrować i jak szczegółowo, należy do specjalistycznej platformy lub jurysty; reglia sama się tym nie wypowiada. Co reglia robi, to umożliwia jednokrotne wprowadzenie danych firmy, które pojawiają się w takim rejestrze — Waszego numeru KvK, oddziałów, osób kontaktowych — i udostępnienie ich platformie, która prowadzi rejestr, tak aby nie musieli tego ponownie przepisywać obok Waszego dossier bezpieczeństwa produktu czy dossier opakowań. Na stronie z podłączonymi platformami widzicie, która platforma zajmuje się konkretnie danymi osobowymi i czego ta platforma od Was oczekuje i czego nie.
Jeśli chcesz wiedzieć, co dokładnie reglia robi z Twoimi danymi i co nie, przeczytaj to na wyjaśnienie dotyczące tego, co reglia robi i nie robi z Twoimi danymi. Pytania dotyczące sposobu zabezpieczenia tych danych znajdują się na stronie o bezpieczeństwie i prywatności, a odpowiedzi na często zadawane pytania dotyczące udostępniania między platformami znajdziesz na stronie z najczęściej zadawanymi pytaniami.
Sprawdź, które platformy są połączone i która platforma najlepiej sprawdzi się w prowadzeniu rejestru przetwarzania; ten przegląd da Ci obraz tego, gdzie możesz skierować się w przypadku tego obowiązku w kilka minut.