Záznamy o činnostech zpracování – praktický průvodce

Povinná dokumentace GDPR

Záznamy o činnostech zpracování (anglicky Records of Processing Activities, ROPA) představují jeden z nejdůležitějších dokumentů v oblasti GDPR. Povinnost vést tyto záznamy ukládá článek 30 GDPR. Záznamy jsou základním nástrojem pro přehled o tom, jak vaše organizace nakládá s osobními údaji, a zároveň jsou jedním z prvních dokumentů, které si při kontrole vyžádá ÚOOÚ.

Kdo musí záznamy vést?

Záznamy musí vést každý správce a každý zpracovatel. Výjimka existuje pouze pro organizace s méně než 250 zaměstnanci, a to jen tehdy, pokud zpracování nepředstavuje riziko pro práva subjektů údajů, je příležitostné a nezahrnuje zvláštní kategorie údajů. V praxi tato výjimka dopadá na minimum firem, protože téměř každá firma zpracovává údaje zaměstnanců pravidelně, nikoli příležitostně.

Co musí záznamy obsahovat

Záznamy správce musí podle článku 30 odst. 1 obsahovat:

• Jméno a kontaktní údaje správce, případného společného správce, zástupce a pověřence
• Účely zpracování – proč údaje zpracováváte
• Kategorie subjektů údajů – o koho jde (zákazníci, zaměstnanci, dodavatelé)
• Kategorie osobních údajů – jaké údaje zpracováváte (jméno, e-mail, adresa, zdravotní údaje)
• Kategorie příjemců – komu údaje předáváte
• Předávání do třetích zemí – zda předáváte údaje mimo EU/EHP
• Lhůty pro výmaz – jak dlouho údaje uchováváte
• Popis technických a organizačních opatření zabezpečení

Jak záznamy prakticky sestavit

Doporučujeme následující postup:

1. Identifikujte všechny činnosti zpracování

Projděte všechny oddělení a procesy ve firmě a identifikujte, kde dochází ke zpracování osobních údajů. Typické činnosti zahrnují: vedení mzdové agendy, správa zákaznické databáze, provoz e-shopu, e-mail marketing, provoz kamerového systému, správa webových stránek.

2. Pro každou činnost vyplňte požadované údaje

U každé identifikované činnosti vyplňte všechny náležitosti požadované článkem 30. Buďte konkrétní – obecné formulace jako „různé účely" nebo „různé údaje" nestačí.

3. Určete právní základ

Ačkoli článek 30 výslovně nevyžaduje uvedení právního základu, doporučujeme ho do záznamů zahrnout. Usnadní vám to plnění informační povinnosti a zodpovídání dotazů subjektů údajů.

Forma záznamů

GDPR vyžaduje, aby záznamy byly vedeny v písemné podobě, a to i elektronicky. V praxi se nejčastěji používá tabulka v Excelu nebo specializovaný software. Důležité je, aby záznamy byly přehledné, úplné a snadno aktualizovatelné.

Aktualizace záznamů

Záznamy musí být průběžně aktualizovány. Jakákoli změna v zpracování osobních údajů – nový systém, nový účel, nový dodavatel – musí být v záznamech reflektována. Doporučujeme stanovit odpovědnou osobu a proces pro pravidelnou revizi, ideálně čtvrtletně.

Kvalitně vedené záznamy vám nejen pomohou splnit zákonnou povinnost, ale také vám poskytnou cenný přehled o tom, jak vaše firma s osobními údaji nakládá, a umožní vám identifikovat případná rizika.