GDPR – Evidenca dejavnosti obdelave

Splošna uredba o varstvu podatkov v skladu s členom 30 GDPR zahteva pisno dokumentacijo in pregled postopkov, po katerih se obdelujejo osebni podatki. Evidenca dejavnosti obdelave mora vključevati pomembne informacije o obdelavi podatkov, vključno s kategorijami podatkov, skupino posameznikov, na katere se podatki nanašajo, namenom obdelave ter prejemniki podatkov. To mora biti popolnoma na voljo oblastem na zahtevo.

Obveznost ustvarjanja evidenc dejavnosti obdelave ni le naložena upravljavcu in njihovemu predstavniku, temveč tudi neposredno obdelovalcu in njihovim predstavnikom, kot je določeno v 30. členu(2) GDPR. Za spremembo so podjetja ali ustanove z manj kot 250 zaposlenimi izvzeta iz vodenja evidence, če obdelava verjetno ne bo predstavljala tveganja za pravice in svoboščine posameznika, na katerega se podatki nanašajo, če se ne obdelujejo posebne vrste podatkov ali če se obdelava izvaja le občasno, kot je navedeno v 30. členu(5) GDPR. V praksi je ta izjema redko uporabna. Poleg kakršnih koli težav, ki se pojavijo med razlago, kaj se šteje kot “le občasno”, se bo v večini podjetij – tudi s široko razlago izraza – podatke nedvoumno redno obdelovalo, vključno z obdelavo podatkov za spletno stran, njihovo spletno trgovino, izračun plač ali sisteme CRM. Poudariti je treba, da bo obveznost dokumentacije in torej evidence dejavnosti obdelave predmet inšpekcij organov glede izvajanja Uredbe o varstvu podatkov.

Če podjetje ne vodi evidenc dejavnosti obdelave in/ali ne zagotovi popolnega indeksa organom, je to lahko predmet kazni v skladu s čl. 83(4)(a) GDPR. Možne kazni so lahko do 10 milijonov evrov ali 2 % njihovega letnega prometa. Ta skupni znesek praviloma ocenijo organi le v izjemnih primerih. Za to so organi spodbujeni, kot je določeno v uvodni izjavi 13, “da upoštevajo specifične potrebe mikro, malih in srednjih podjetij pri uporabi te uredbe”.