GDPR – Záznamy o činnostech zpracování

Obecné nařízení o ochraně osobních údajů zavazuje podle čl. 30 GDPR k písemné dokumentaci a přehledu postupů, podle kterých jsou osobní údaje zpracovány. Záznamy o činnostech zpracování musí zahrnovat podstatné informace o zpracování údajů, včetně kategorií údajů, skupiny subjektů údajů, účelu zpracování a příjemců údajů. Toto musí být zcela k dispozici úřadům na vyžádání.

Povinnost vytvářet záznamy o činnostech zpracování není uložena pouze správci a jejich zástupci, ale také přímo zpracovateli a jejich zástupcům, jak je stanoveno v článku 30(2) GDPR. Pro změnu jsou společnosti nebo instituce s méně než 250 zaměstnanci osvobozeny od vedení záznamů, pokud zpracování pravděpodobně nepředstavuje riziko pro práva a svobody subjektu údajů, pokud nejsou zpracovávány zvláštní kategorie údajů, nebo pokud je zpracování prováděno pouze příležitostně, jak je uvedeno v článku 30(5) GDPR. V praxi se tato výjimka uplatňuje zřídka. Kromě jakýchkoli obtíží, které se objevují při výkladu toho, co je považováno za „pouze příležitostné“, ve většině společností – i při široké interpretaci tohoto termínu – budou data jednoznačně zpracovávána pravidelně, včetně zpracování údajů pro webové stránky, jejich webový obchod, výpočet mzdy nebo CRM systémy. Je třeba poznamenat, že povinnost dokumentace a tedy záznamů o činnostech zpracování bude středem pozornosti kontrol úřadů týkajících se implementace Obecného nařízení o ochraně osobních údajů.

Pokud společnost nevede záznamy o činnostech zpracování a/nebo neposkytne úplný rejstřík úřadům, podléhá pokutám podle čl. 83 odst. 4 písm. a) GDPR. Možné pokuty mohou dosáhnout až 10 milionů eur nebo 2 % jejich ročního obratu. Tento celkový částka je obvykle posuzována úřady pouze ve výjimečných případech. K tomu jsou úřady motivovány, jak je stanoveno v recital 13, „zohlednit specifické potřeby mikro, malých a středních podniků při aplikaci tohoto nařízení.“