GDPR – Apstrādes darbību reģistri

Vispārīgā datu aizsardzības regula, atbilstīgi GDPR 30. pantam, uzliek par pienākumu dokumentēt un pārskatīt procedūras, ar kurām tiek apstrādāti personas dati. Apstrādes darbību reģistriem jāietver būtiska informācija par datu apstrādi, tajā skaitā datu kategorijas, datu subjektu grupa, apstrādes mērķis un datu saņēmēji. Tas viss jānodrošina iestādēm pēc pieprasījuma.

Prasība izveidot apstrādes darbību reģistrus tiek uzlikta ne tikai pārzinim un viņu pārstāvim, bet arī tieši apstrādātājam un viņu pārstāvjiem, kā noteikts VDAR 30. panta 2. punktā. Lai gan uzņēmumi vai iestādes, kurās ir mazāk nekā 250 darbinieku, ir atbrīvoti no reģistra uzturēšanas, ja apstrāde visticamāk nerada risku datu subjekta tiesībām un brīvībām, ja netiek apstrādātas īpašas datu kategorijas vai apstrāde notiek tikai reizēm, kā norādīts VDAR 30. panta 5. punktā. Praksē šo atbrīvojumu reti piemēro. Papildus jebkādām grūtībām, kas rodas, interpretējot, kas tiek uzskatīts par “tikai reizēm,” lielākajā daļā uzņēmumu – pat ar plašu termina interpretāciju – dati tiks apstrādāti regulāri, ieskaitot datu apstrādi tīmekļa vietnes vajadzībām, to tīmekļa veikalam, algas aprēķiniem vai CRM sistēmām. Jāpiebilst, ka dokumentācijas pienākums un līdz ar to apstrādes darbību reģistri būs iestāžu pārbaudes par Datu aizsardzības regulas ieviešanu fokuss.

Ja uzņēmums neuztur apstrādes darbību uzskaiti un/vai nesniedz pilnu indeksu iestādēm, tie ir pakļauti naudassodiem saskaņā ar GDPR 83. panta 4. punkta a) apakšpunktu. Iespējamie naudassodi var sasniegt līdz 10 miljoniem eiro vai 2% no to gada apgrozījuma. Šis kopsumma principā tiek noteikta iestādēs tikai izņēmuma gadījumos. Šim nolūkam iestādes tiek mudinātas, kā noteikts 13. apsvērumā, “ievērot mikro, mazo un vidējo uzņēmumu īpašās vajadzības šīs Regulas piemērošanā.”