Ett behandlingsregister för personuppgifter består vanligtvis av en översikt över de behandlingar som sker hos dig, med för varje behandling syftet, rättsgrunden, kategorierna av uppgifter och registrerade, lagringtiden, vem som mottar uppgifterna och vilka säkerhetsmätningar som hör dit. Där uppgifter går till en annan part hör vanligtvis ett databehandlaravtal till. Vilka handlingar som är nödvändiga i ditt fall och hur fullständigt registret måste vara är för Datainspektionen eller en jurist att bedöma — den här artikeln ger bara den allmänna bilden.
Den detalj som spelar mest roll för det här ämnet är att registret inte är en ögonblicksbild. I ett produktsäkerhetsdossier samlar du in certifikat och testrapporter som, när de väl är inne, förblir giltiga en tid. I ett behandlingsregister fungerar det annorlunda: så snart du använder ett nytt verktyg, anlitar en ny leverantör eller samlar in en ny typ av uppgifter, uppdateras registret med det. Det är mindre en mapp med bevishandlingar och mer en löpande logg över vad som händer med personuppgifter inom ditt företag.
Vad som vanligtvis står i registret
För varje behandling dokumenterar du vanligtvis varför du samlar in uppgifterna, på vilken rättsgrund du gör det, vilka uppgifter och registrerade det gäller, hur länge du lagrar dem och med vem du delar dem. Tänk på personallöneadministration, en kundkatalog som du använder för marknadsföring eller kamerabilder vid entrén till din lokal. Var och en av dessa exempel är en separat rad i registret, med sitt eget syfte och sin egen lagringtid. En HR-chef som hanterar personalakter och en kontorschef som upprätthåller besökarregistrering fyller således båda i en del av samma register, även om de sällan arbetar från samma översikt.
Databehandlaravtal som separat handlingar
Så snart en annan part behandlar data för er räkning — ett redovisningskontor, en molntjänst, en marknadsföringsbyrå — krävs det i regel ett separat avtal som fastslår vad den parten får och inte får göra. Det dokumentet hör hemma i registret, men ersätter det inte: registret beskriver vad som händer, avtalet reglerar vem som är ansvarig för det. Företag som arbetar med flera leverantörer märker att denna dokumenthög växer lika snabbt som själva registret, och att hålla reda på vilka avtal som fortfarande är aktuella blir en egen uppgift.
Varför detta dossier aldrig är klart
Eftersom registret utvecklas tillsammans med vad som händer i er verksamhet, är frågan inte bara vilka dokument ni behöver, utan också vem som ser till att de stämmer varje gång något förändras. Ett nytt HR-verktyg, en filial till, en leverantör som byter: varje gång uppstår frågan om registret fortfarande är en korrekt bild av verkligheten. Det är en annan uppgift än att samla in dokument en gång för alla, och det är precis anledningen till att många företag låter detta register ligga separat från resten av sitt compliance-dossier, trots att det innehållsmässigt överlappar med vad ett produktsäkerhetsdossier eller ett förpackningsdossier redan innehåller av företagsuppgifter.
Vad som hör hemma där, och var översikt hjälper
Innehållfrågan vilka behandlingar ni måste registrera och hur utförlig dokumentationen ska vara hör hemma hos en specialiserad plattform eller hos en jurist; reglia uttalar sig inte själv om det. Det reglia gör är att låta de företagsuppgifter som återkommer i sådant ett register — ert organisationsnummer, filialerna, kontaktpersoner — fyllas i en gång och göras tillgängliga för den plattform som för registret, så att ni inte behöver skriva in det igen vid sidan av ert produktsäkerhetsdossier eller förpackningsdossier. På sidan med anslutna plattformar ser ni vilken plattform som specifikt arbetar med personuppgifter, och vad den plattformen förväntar sig av er och inte.
Vill du veta vad reglia exakt gör med dina uppgifter och vad den inte gör, läser du det på förklaringen om vad reglia gör och inte gör med dina uppgifter. Frågor om hur dessa uppgifter är säkrade finns på sidan om säkerhet och integritet, och vanliga frågor om delning mellan plattformar hittar du på sidan med vanliga frågor.
Se vilka plattformar som är anslutna och vilken plattform som passar bäst för att upprätthålla ditt behandlingsregister; denna överblick ger en bild på några minuter över var du kan vända dig för denna skyldighet.