Registrul evidenței activităților de prelucrare și celelalte registre GDPR

Ce este registrul evidenței activităților de prelucrare

Registrul evidenței activităților de prelucrare este inventarul scris al tuturor prelucrărilor de date personale pe care le face o organizație, cerut de art. 30 din Regulamentul (UE) 2016/679. Pentru fiecare activitate, de la salarizare și registratură până la supraveghere video sau evidența clienților, registrul arată ce date se prelucrează, de ce, despre cine, cui se transmit și cât timp se păstrează.

Registrul este documentul de bază al conformității GDPR. Notele de informare, analiza de risc, procedurile și contractele cu furnizorii pornesc toate de la el. Când ANSPDCP face un control, registrul este de obicei printre primele documente solicitate: art. 30 alin. (4) obligă operatorul să îl pună la dispoziția autorității la cerere.

Cine trebuie să țină registrul

Obligația revine atât operatorilor, cât și persoanelor împuternicite. Art. 30 alin. (5) prevede o excepție pentru organizațiile cu mai puțin de 250 de angajați, dar aceasta nu se aplică dacă prelucrarea:

• este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor;
• nu este ocazională;
• include categorii speciale de date, cum sunt datele privind sănătatea, sau date privind condamnări penale și infracțiuni.

Este suficient ca una dintre aceste condiții să fie îndeplinită pentru ca excepția să cadă. Orice organizație cu angajați prelucrează în mod regulat date pentru salarizare și dosarele de personal, deci aproape toate primăriile, instituțiile, firmele și asociațiile trebuie să țină registrul. Situația asociațiilor este descrisă pe pagina GDPR pentru asociații de proprietari, iar lista celorlalte documente necesare este în ghidul despre documentele GDPR obligatorii.

Ce trebuie să conțină registrul conform art. 30 alin. (1)

Pentru operatori, art. 30 alin. (1) GDPR stabilește informațiile obligatorii. Tabelul de mai jos le prezintă în forma în care le organizăm, de regulă, pe coloane.

Pe lângă coloanele obligatorii, adăugăm de obicei temeiul legal al prelucrării (art. 6 GDPR), compartimentul responsabil și sursa datelor. Nu sunt cerute expres de art. 30, dar fac registrul util în munca de zi cu zi și ușurează răspunsul la cererile persoanelor vizate.

Persoanele împuternicite, cum sunt firmele de contabilitate sau furnizorii de servicii informatice, țin un registru separat, cu conținutul prevăzut de art. 30 alin. (2).

Registrul riscurilor

Registrul riscurilor documentează, pentru fiecare activitate de prelucrare, riscurile identificate, nivelul lor și măsurile adoptate. GDPR nu îl numește ca atare, dar este modul practic prin care operatorul demonstrează că a ales măsurile de securitate în funcție de risc, așa cum cer art. 24 și art. 32. Întocmirea lui face parte din serviciul de analiză de risc GDPR.

Registrul incidentelor de securitate

Art. 33 alin. (5) GDPR obligă operatorul să documenteze orice încălcare a securității datelor personale: faptele, efectele și măsurile de remediere. Obligația privește toate incidentele, nu doar pe cele notificate către ANSPDCP. Un e-mail trimis greșit, un dosar pierdut sau un calculator furat se consemnează chiar dacă, după analiză, s-a concluzionat că nu era necesară notificarea. Pașii de urmat în primele ore sunt descriși în ghidul despre notificarea incidentelor în 72 de ore.

Cum lucrăm

1. Discuție inițială. Aflăm structura organizației, compartimentele și ce evidențe există deja.
2. Inventarierea prelucrărilor. Discutăm cu fiecare compartiment și notăm activitățile care implică date personale.
3. Completarea registrului art. 30. Pentru fiecare activitate completăm coloanele obligatorii și pe cele suplimentare utile.
4. Verificare cu dumneavoastră. Parcurgem registrul cu persoanele responsabile și corectăm ce nu corespunde realității.
5. Registrul riscurilor și al incidentelor. Întocmim registrul riscurilor pe baza inventarului și pregătim registrul incidentelor, cu instrucțiuni de completare.
6. Aprobare internă. Registrele se aprobă prin decizie sau dispoziție și se păstrează în formă scrisă, inclusiv electronică.

Ce primiți

• registrul evidenței activităților de prelucrare, complet și ușor de actualizat;
• registrul riscurilor și registrul incidentelor, pregătite pentru folosire;
• instrucțiuni clare despre cine completează fiecare registru și când;
• un document pe care îl puteți prezenta imediat la o solicitare a ANSPDCP.

Registrele se completează cu restul documentației în cadrul serviciului de implementare GDPR, iar actualizarea lor se verifică la evaluarea periodică a conformității.

Cât costă întocmirea registrelor GDPR

Prețul depinde de numărul de compartimente și de activități de prelucrare. Registrele se pot comanda separat sau împreună cu implementarea completă, iar abonamentul DPO extern, de 1.500 lei pe trimestru pentru organizațiile sub 40 de angajați, include întocmirea registrului riscurilor și evaluarea lui periodică. Detaliile sunt pe pagina de prețuri. KRASP DPO nu este plătitoare de TVA, deci prețurile comunicate sunt finale.

KRASP DPO activează din aprilie 2018 și lucrează pentru primării, agenții județene și firme. Venim la sediul dumneavoastră în județul Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța, iar pentru restul țării lucrăm online.