GDPR – Az adatkezelési tevékenységek nyilvántartása

Az általános adatvédelmi rendelet kötelezi a GDPR 30. cikke szerint az eljárások írásos dokumentálását és áttekintését, amelyek segítségével a személyes adatokat kezelik. Az adatkezelési tevékenységek nyilvántartásának tartalmaznia kell lényeges információkat az adatfeldolgozásról, beleértve az adatfajtákat, az érintettek csoportját, az adatkezelés célját és az adatátvevőket. Ezt teljes mértékben rendelkezésre kell bocsátani a hatóságok kérésére.

A tevékenységi nyilvántartások létrehozásának kötelezettsége nemcsak az adatkezelőre és annak képviselőjére vonatkozik, hanem közvetlenül az adatfeldolgozóra és annak képviselőire is, ahogyan azt a GDPR 30(2) cikke meghatározza. Kivételként a 250 fő alatti alkalmazottal rendelkező cégek vagy intézmények mentesülnek a nyilvántartás vezetése alól, ha az adatkezelés valószínűleg nem jelent kockázatot az érintettek jogaira és szabadságaira, ha nem kezelnek különleges adatokat, vagy ha csak alkalmankénti az adatkezelés, ahogyan azt a GDPR 30(5) cikke jelzi. A gyakorlatban ez a mentesség ritkán alkalmazható. Azon túl, hogy nehézségek merülhetnek fel annak értelmezése során, hogy mi tekinthető „csak alkalmankéntinek”, a legtöbb vállalatnál – még a kifejezés széles értelmezése mellett is – egyértelműen rendszeresen történik adatkezelés, beleértve az adatkezelést a weboldalon, webáruházban, bérszámfejtésre vagy CRM rendszerekben. Meg kell jegyezni, hogy a dokumentáció kötelezettsége és így a feldolgozási tevékenységek nyilvántartása az adatvédelmi szabályozás végrehajtásának hatósági ellenőrzésének középpontjában áll majd.

.

Ha egy vállalat nem tartja fenn a feldolgozási tevékenységek nyilvántartását és/vagy nem biztosítja a hatóságoknak a teljes indexet, akkor a GDPR 83. cikk (4) (a) pontja szerint bírságokkal sújtható. Az esetleges bírságok akár 10 millió euróig vagy éves forgalmuk 2%-áig terjedhetnek. Ez az összeg az esetek túlnyomó részében csak kivételes esetekben kerül megállapításra a hatóságok által. Ehhez a hatóságok számára ajánlott, ahogyan az a (13) preambulumbekezdésben le van írva, „figyelembe venni a mikro-, kis- és középvállalkozások sajátos igényeit e rendelet alkalmazása során.”