Záznam o spracovateľských činnostiach

Čo to znamená

Záznam o spracovateľských činnostiach je interný prehľad toho, aké osobné údaje firma spracúva, na aký účel, komu ich poskytuje a ako dlho ich uchováva. GDPR ho žiada od prevádzkovateľa aj od sprostredkovateľa.

Nie je to informačná povinnosť ani posúdenie vplyvu. Vyhlásenie o ochrane údajov na webe píšete pre klientov a zamestnancov, záznam pre seba a pre úrad, a posúdenie vplyvu sa robí len pri rizikových spracúvaniach.

Záznam sa robí podľa účelov, nie podľa systémov. Jedna databáza klientov môže slúžiť fakturácii, e-mailovému marketingu aj vymáhaniu pohľadávok a každý z týchto účelov má vlastný právny základ, vlastný okruh údajov a vlastnú lehotu uchovávania. Záznam, ktorý len vymenúva programy, túto otázku nezodpovie.

Ako to funguje v praxi

Výnimka pre firmy s menej než 250 zamestnancami je úzka: neplatí, ak spracúvanie nie je príležitostné alebo ak zahŕňa osobitné kategórie údajov. Mzdy bežia pravidelne a pracujú aj s údajmi o zdraví, takže výnimka na ne nedopadá a záznam vedie aj zamestnávateľ, ktorý mzdy odovzdal externe na sprostredkovateľskú zmluvu.

Vedie sa písomne vrátane elektronickej podoby a na požiadanie sa sprístupní Úradu na ochranu osobných údajov SR. Patria doň aj príjemcovia a prenosy mimo EÚ, teda cloud aj externý účtovník. Ak firma určila zodpovednú osobu, je záznam jej prvým nástrojom.

Lehoty uchovávania v zázname nepíšeme od oka. Pri účtovných dokladoch ich určuje zákon o účtovníctve, pri mzdových listoch a dokladoch pre dôchodkové poistenie osobitné predpisy s podstatne dlhšou lehotou. Ako účtovná firma zároveň vedieme vlastný záznam sprostredkovateľa za všetkých klientov, ktorým spracúvame mzdy a účtovníctvo.

Na čo si dať pozor

Záznam sa raz vyplní zo vzoru a nikto ho neaktualizuje. Úrad si ho pri kontrole vyžiada ako prvý dokument a rozdiel medzi papierom a skutočne bežiacimi systémami je samostatné porušenie, postihnuteľné aj vtedy, keď žiadne údaje neunikli.

Pri porušení ochrany osobných údajov má prevádzkovateľ na oznámenie úradu spravidla 72 hodín. Bez aktuálneho záznamu firma v tom čase nevie povedať, ktoré kategórie údajov a koľko ľudí únik zasiahol. Oznámi neúplne alebo neskoro a k samotnému úniku pribudne ďalšie porušenie.