GDPR – Register över behandling av personuppgifter

Dataskyddsförordningen ålägger, enligt artikel 30 i GDPR, skriftlig dokumentation och översikt över förfaranden genom vilka personuppgifter behandlas. Förteckningar över behandlingsaktiviteter måste innehålla betydande information om databehandlingen, inklusive datakategorier, gruppen av registrerade personer, syftet med behandlingen och data mottagare. Detta måste vara fullständigt tillgängligt för myndigheter vid förfrågan.

Skyldigheten att skapa register över behandlingsaktiviteter åläggs inte bara personuppgiftsansvarige och deras representant, utan även direkt på personuppgiftsbiträdet och deras representanter enligt Art. 30(2) i GDPR. För en förändring är företag eller institutioner med färre än 250 anställda undantagna från att föra ett register, om behandlingen sannolikt inte utgör en risk för de registrerades rättigheter och friheter, om inga särskilda kategorier av data behandlas eller om behandlingen endast sker tillfälligt, som anges i Art. 30(5) GDPR. I praktiken är detta undantag sällan tillämpligt. Förutom eventuella svårigheter som uppstår under tolkningen av vad som anses vara ”endast tillfällig,” kommer data i de flesta företag – även med en bred tolkning av termen – otvetydigt att behandlas regelbundet, inklusive databehandling för webbplatsen, deras webbutik, löneberäkning eller CRM-system. Man måste notera att skyldigheten för dokumentation och därmed register över behandlingsaktiviteter kommer att vara ett fokus under myndigheternas inspektioner av genomförandet av dataskyddsförordningen.

Om ett företag inte upprätthåller register över behandlingsaktiviteter och/eller inte tillhandahåller ett fullständigt index till myndigheterna, är de föremål för böter enligt Art. 83(4)(a) i GDPR. De möjliga böterna kan uppgå till 10 miljoner euro eller 2% av deras årliga omsättning. Detta totalbelopp bedöms som regel endast av myndigheterna i undantagsfall. För detta uppmuntras myndigheterna, som framgår av skäl 13, ”att ta hänsyn till de särskilda behoven hos mikro-, små och medelstora företag vid tillämpningen av denna förordning.”