Реестр операций обработки

Что это значит

Реестр операций обработки - внутренний обзор того, какие персональные данные компания обрабатывает, с какой целью, кому передаёт и сколько хранит. GDPR требует его и от того, кто определяет цели обработки, и от того, кто обрабатывает данные по поручению.

Это не информирование субъектов и не оценка влияния. Политику конфиденциальности на сайте пишут для клиентов и сотрудников, реестр - для себя и для регулятора, а оценку влияния делают только при рискованных видах обработки.

Реестр составляют по целям, а не по системам. Одна клиентская база может служить выставлению счетов, email-маркетингу и взысканию долгов, и у каждой из этих целей своё правовое основание, свой круг данных и свой срок хранения. Реестр, который лишь перечисляет программы, на этот вопрос не отвечает.

Как это работает на практике

Исключение для компаний, где меньше 250 работников, узкое: оно не действует, если обработка не носит случайный характер или охватывает особые категории данных. Зарплату считают регулярно, и в зарплатных данных есть сведения о здоровье, так что реестр ведёт и тот работодатель, который передал зарплаты внешнему бухгалтеру по договору об обработке.

Реестр ведут письменно, в том числе в электронном виде, и по требованию предоставляют Управлению по защите персональных данных СР. В него входят получатели и передачи за пределы ЕС, то есть облако и внешний бухгалтер тоже. Если компания назначила ответственное лицо, реестр - его первый инструмент.

Сроки хранения в реестре мы не пишем на глаз. Для учётных документов их задаёт закон о бухгалтерском учёте, для зарплатных карточек и документов для пенсионного страхования - специальные нормы со значительно более долгим сроком. Как бухгалтерская фирма мы также ведём собственный реестр обработчика по всем клиентам, чьи зарплаты и учёт мы обрабатываем.

На что обратить внимание

Реестр один раз заполняют по шаблону, и больше его никто не трогает. При проверке регулятор запрашивает его первым, а расхождение между бумагой и реально работающими системами - самостоятельное нарушение, наказуемое даже тогда, когда никакой утечки не было.

При нарушении защиты персональных данных у компании, как правило, есть 72 часа на уведомление регулятора. Без актуального реестра она за это время не может сказать, какие категории данных и сколько людей затронула утечка. Уведомление выходит неполным или запоздалым, и к самой утечке добавляется ещё одно нарушение.