GDPR – Duomenų tvarkymo veiklos įrašai

Bendrasis duomenų apsaugos reglamentas įpareigoja, pagal BDAR 30 straipsnį, rašytinę dokumentaciją ir procedūrų, kuriomis tvarkomi asmens duomenys, apžvalgą. Tvarkymo veiklos įrašai turi apimti reikšmingą informaciją apie duomenų tvarkymą, įskaitant duomenų kategorijas, duomenų subjektų grupę, tvarkymo tikslą ir duomenų gavėjus. Ši informacija turi būti visiškai prieinama valdžios institucijoms paprašius.

Pareiga kurti veiklos tvarkymo įrašus yra ne tik nustatyta duomenų valdytojui ir jo atstovui, bet ir tiesiogiai duomenų tvarkytojui ir jo atstovams, kaip nurodyta BDAR 30 straipsnio 2 dalyje. Išimtis taikoma įmonėms ar institucijoms, turinčioms mažiau nei 250 darbuotojų, jei tvarkymas greičiausiai nekelia pavojaus duomenų subjekto teisėms ir laisvėms, jei nėra tvarkomos specialios kategorijos duomenys arba jei tvarkymas atliekamas tik retkarčiais, kaip nurodyta BDAR 30 straipsnio 5 dalyje. Praktikoje ši išimtis retai taikoma. Atsižvelgiant į sunkumus, atsirandančius bandant interpretuoti, kas laikoma „tik retkarčiais”, daugelyje įmonių – netgi esant plačiam šio termino supratimui – duomenys bus nedviprasmiškai tvarkomi reguliariai, įskaitant duomenų tvarkymą interneto svetainei, jų interneto parduotuvei, atlygio skaičiavimui ar CRM sistemoms. Reikia pažymėti, kad dokumentavimo, todėl ir veiklos tvarkymo įrašų pareiga bus institucijų inspektavimų dėl Duomenų apsaugos reglamento įgyvendinimo dėmesys.

.

Jei įmonė nesaugo duomenų tvarkymo veiklų įrašų ir/arba nepateikia išsamaus registro tarnyboms, jai gali būti skiriamos baudos pagal BDAR 83 straipsnio 4 dalies a punktą. Galimos baudos gali siekti iki 10 milijonų eurų arba 2% jų metinės apyvartos. Ši bendra suma, kaip taisyklė, yra vertinama tarnybų tik išskirtiniais atvejais. Dėl to tarnybos yra skatinamos, kaip nustatyta 13 konstatuojamojoje dalyje, „atsižvelgti į specialius mikro, mažų ir vidutinių įmonių poreikius taikant šį reglamentą.“