Реєстр операцій обробки

Що це означає

Реєстр операцій обробки - внутрішній огляд того, які персональні дані компанія обробляє, з якою метою, кому передає і скільки зберігає. GDPR вимагає його і від того, хто визначає цілі обробки, і від того, хто обробляє дані за дорученням.

Це не інформування суб’єктів і не оцінка впливу. Політику конфіденційності на сайті пишуть для клієнтів і працівників, реєстр - для себе і для регулятора, а оцінку впливу роблять лише при ризикованих видах обробки.

Реєстр складають за цілями, а не за системами. Одна клієнтська база може слугувати виставленню рахунків, email-маркетингу і стягненню боргів, і кожна з цих цілей має власну правову підставу, власне коло даних і власний строк зберігання. Реєстр, який лише перелічує програми, на це питання не відповідає.

Як це працює на практиці

Виняток для компаній, де менше ніж 250 працівників, вузький: він не діє, якщо обробка не є випадковою або охоплює особливі категорії даних. Зарплату рахують регулярно, і в зарплатних даних є відомості про здоров’я, тож реєстр веде й той роботодавець, який передав зарплати зовнішньому бухгалтеру за договором про обробку.

Реєстр ведуть письмово, зокрема в електронному вигляді, і на вимогу надають Управлінню із захисту персональних даних СР. До нього входять отримувачі й передачі за межі ЄС, тобто хмара та зовнішній бухгалтер теж. Якщо компанія призначила відповідальну особу, реєстр - її перший інструмент.

Строки зберігання в реєстрі ми не пишемо на око. Для облікових документів їх задає закон про бухгалтерський облік, для зарплатних карток і документів для пенсійного страхування - спеціальні норми зі значно довшим строком. Як бухгалтерська фірма ми також ведемо власний реєстр обробника за всіма клієнтами, чиї зарплати та облік ми обробляємо.

На що звернути увагу

Реєстр один раз заповнюють за шаблоном, і більше його ніхто не чіпає. Під час перевірки регулятор запитує його першим, а розбіжність між папером і реально працюючими системами - самостійне порушення, каране навіть тоді, коли жодного витоку не було.

У разі порушення захисту персональних даних компанія, як правило, має 72 години на повідомлення регулятора. Без актуального реєстру вона за цей час не може сказати, які категорії даних і скільки людей зачепив витік. Повідомлення виходить неповним або запізнілим, і до самого витоку додається ще одне порушення.