GDPR – Регистри на дейностите по обработване

Общият регламент за защита на данните задължава, съгласно чл. 30 от GDPR, наличието на писмена документация и обзор на процедурите, по които се обработват личните данни. Регистрите на дейностите по обработка трябва да съдържат значителна информация за обработването на данни, включително категории данни, група от субекти на данни, целта на обработката и получателите на данни. Това трябва да бъде напълно предоставено на органите при поискване.

Задължението за създаване на регистри на дейностите по обработване не е наложено само на администратора и техния представител, но и пряко на обработващия и техните представители, както е посочено в чл. 30(2) от ОРЗД. В изключение, компании или институции с по-малко от 250 служители са освободени от водене на регистър, ако обработването не представлява вероятност да застраши правата и свободите на субекта на данни, ако не се обработват специални категории данни или ако обработването се извършва само от време на време, както е представено в чл. 30(5) от ОРЗД. На практика това изключение рядко е приложимо. Освен всякакви трудности, възникнали по време на тълкуването на това, което се счита за „само от време на време,“ в повечето компании – дори с широко тълкувание на термина – данните ще бъдат недвусмислено обработвани редовно, включително обработване на данни за уебсайта, техния онлайн магазин, изчисляване на заплатите или CRM системи. Трябва да се отбележи, че задължението за документация и съответно регистри на дейности по обработване ще бъде във фокуса на инспекциите на властите относно прилагането на Регламента за защита на данните.

Ако дадена компания не поддържа записи на дейностите по обработка и/или не предостави пълен индекс на властите, тя подлежи на глоби съгласно чл. 83(4)(a) от GDPR. Възможните глоби могат да достигнат до 10 милиона евро или 2% от годишния им оборот. Тази обща сума, като правило, се оценява от властите само в изключителни случаи. За това, както е посочено в съображение 13, властите се насърчават „да отчитат специфичните нужди на микро, малките и средните предприятия при прилагането на този регламент.“