GDPR – Evidențele activităților de prelucrare

Regulamentul General privind Protecția Datelor obligă, conform Art. 30 din GDPR, documentația scrisă și o privire de ansamblu asupra procedurilor prin care sunt prelucrate datele personale. Evidențele activităților de prelucrare trebuie să includă informații semnificative despre prelucrarea datelor, inclusiv categoriile de date, grupul de persoane vizate, scopul prelucrării și destinatarii datelor. Acestea trebuie să fie puse la dispoziția autorităților complet, la cerere.

Obligația de a crea registre ale activităților de prelucrare nu este impusă doar operatorului și reprezentantului acestuia, ci și direct persoanei împuternicite de operator și reprezentanților acesteia, așa cum este prevăzut în Art. 30(2) din GDPR. Ca o excepție, companiile sau instituțiile cu mai puțin de 250 de angajați sunt scutite de la păstrarea unui registru, dacă prelucrarea nu este susceptibilă să prezinte un risc pentru drepturile și libertățile persoanei vizate, dacă nu sunt prelucrate categorii speciale de date sau dacă prelucrarea se face doar ocazional, așa cum este indicat în Art. 30(5) GDPR. În practică, această excepție este rar aplicabilă. În afară de orice dificultăți care apar în timpul interpretării a ceea ce este considerat „doar ocazional,” în majoritatea companiilor – chiar și cu o interpretare largă a termenului – datele vor fi prelucrate în mod clar regulat, inclusiv prelucrarea datelor pentru site-ul web, magazinul lor online, calculul salariilor sau sistemele CRM. Trebuie menționat că obligația de documentare și, prin urmare, registrele activităților de prelucrare vor fi un punct de interes pentru inspecțiile autorităților privind implementarea Regulamentului de Protecție a Datelor.

Dacă o companie nu menține evidența activităților de prelucrare și/sau nu furnizează un index complet autorităților, aceasta este supusă amenzilor conform art. 83(4)(a) din GDPR. Posibilele amenzi pot ajunge până la 10 milioane de euro sau 2% din cifra de afaceri anuală. Acest total este, de regulă, evaluat de autorități doar în cazuri excepționale. Pentru aceasta, autoritățile sunt încurajate, așa cum este stabilit în considerentul 13, „să ia în considerare nevoile specifice ale întreprinderilor micro, mici și mijlocii în aplicarea acestui regulament.”