Blog

Povinnost vést záznamy o činnostech zpracování

2. 1. 2018

Obecné nařízení o ochraně osobních údajů účinné od 25. května 2018 (GDPR) zavádí v čl. 30 novou povinnost vést záznamy o činnostech zpracování. GDPR stanoví, že pokuta za nedodržení této povinnosti může být až deset milionů eur nebo až 2% z celoročního obratu skupiny.


Povinnost vést záznamy o zpracování osobních údajů dopadá prakticky na všechny subjekty, které osobní údaje zpracovávají. GDPR sice stanovuje výjimku z této povinnosti pro společnosti a organizace, které zaměstnávají méně než 250 zaměstnanců, avšak tato výjimka má své výjimky. Pokud tedy správce zpracovává osobní údaje nikoliv příležitostně nebo je toto zpracování rizikové nebo zahrnuje citlivé údaje, pak musí dotyčný správce vést záznamy o činnostech zpracování, i když má méně než 250 zaměstnanců. Tato povinnost se tak bude vztahovat prakticky na každého.


 Záznam o činnostech zpracování je písemný dokument, který definuje typ zpracování osobních údajů. Pro každý typ zpracování musí být veden samostatný záznam. Záznam musí obsahovat kontaktní údaje správce, účel zpracování, kategorie subjektu údajů, kategorie zpracovávaných osobních údajů a další náležitosti stanovené nařízením. Příkladem může být zpracování osobních údajů za účelem cíleného marketingu pomocí direct mailingu, subjektem údajů bude zákazník, kategorií zpracovávaných osobních údajů bude e-mail a účelem zpracování bude např. zasílání obchodních sdělení. Obdobně bude nutné postupovat u každého typu zpracování osobních údajů.

Na tvorbu záznamu o činnostech zpracování je nutné se připravit. Nejdříve je potřeba provést tzv. mapování osobních údajů. To spočívá ve zjištění, jaké údaje jsou správcem zpracovávány. Následně se zjištěné údaje zhodnotí z hlediska nezbytnosti jejich zpracovávání. Údaje, které jsou nezbytné je nutné dále třídit a specifikovat v záznamu o činnosti zpracování.


Některé přípravy lze provést svépomocí, avšak pro podrobné mapování osobních údajů i pro vytvoření záznamů o činnostech zpracování je vhodné konzultovat právníka, ideálně specialistu na GDPR. Mapování a tvorba záznamů jsou administrativně právní činnosti které nelze nahradit zakoupením jakéhokoli softwaru


(3.1.2018)