Нужен ли небольшим компаниям реестр операций по обработке по GDPR?

Статья 30 GDPR обязывает контролёров и обработчиков данных вести реестр операций по обработке. Статья 30(5) освобождает от этой обязанности организации с численностью менее 250 сотрудников, из-за чего многие небольшие компании полагают, что им ничего не нужно. Однако у этого исключения есть три оговорки, которые лишают его силы для большинства предприятий.

Когда исключение не применяется

Организация с численностью менее 250 сотрудников всё равно обязана вести реестр, если осуществляемая ею обработка:

• может создать риск для прав и свобод физических лиц;
• не является эпизодической; или
• включает специальные категории данных (например, данные о здоровье) или данные о судимостях и правонарушениях.

Что это означает на практике

Расчёт заработной платы проводится каждый месяц; CRM используется каждый день. Почти каждое предприятие обрабатывает персональные данные на регулярной основе, поэтому обработка не является эпизодической, и исключение к этим операциям не применяется. Надзорные органы, как правило, толкуют его именно так.

Что содержит реестр

Для контролёров данных статья 30(1) перечисляет содержание реестра:

• наименование и контактные данные контролёра данных и, где применимо, инспектора по защите данных;
• цели обработки;
• категории субъектов данных и персональных данных;
• категории получателей, включая получателей в третьих странах;
• передачу данных в третьи страны и применяемые гарантии;
• по возможности — сроки удаления;
• по возможности — общее описание мер безопасности.

Почему его всё равно стоит вести

Реестр — основа для всего остального: Вашего уведомления о конфиденциальности, ответов на запросы о доступе, оценки утечек и ответов на анкеты due diligence Ваших клиентов. Наша оценка по GDPR формирует предварительно заполненный реестр на основе Ваших ответов, включая раздел обработчика, если Вы обрабатываете данные для клиентов.