Moduł 4 z 8 · Około 15 minut
Rozliczalność: rejestry, DPIA i podmioty przetwarzające
Dokumentacja i ład organizacyjny, które pozwalają wykazać zgodność.
Rejestr i projektowanie
Art. 30 wymaga rejestru czynności przetwarzania: celów, kategorii danych i osób, odbiorców, przekazań, terminów usunięcia i środków bezpieczeństwa. Organizacje zatrudniające mniej niż 250 osób są zwolnione tylko wtedy, gdy przetwarzanie ma charakter sporadyczny, nie powoduje ryzyka i nie obejmuje danych szczególnych kategorii ani danych dotyczących przestępstw – w praktyce większość musi prowadzić rejestr. Art. 25 wymaga uwzględniania ochrony danych w fazie projektowania oraz domyślnej ochrony danych: zabezpieczeń od początku i domyślnie tylko niezbędnych danych.
Ocena skutków dla ochrony danych (DPIA)
Art. 35 wymaga DPIA przed przetwarzaniem, które może powodować wysokie ryzyko dla osób, w szczególności przy systematycznej, kompleksowej ocenie (profilowaniu) o istotnych skutkach, przetwarzaniu na dużą skalę danych szczególnych kategorii lub dotyczących przestępstw oraz systematycznym monitorowaniu na dużą skalę miejsc dostępnych publicznie. Organy nadzorcze publikują wykazy rodzajów przetwarzania wymagających DPIA. DPIA opisuje przetwarzanie, ocenia jego niezbędność i proporcjonalność oraz ryzyko dla osób i określa środki zaradcze. Administrator musi zasięgnąć opinii IOD. Jeżeli po zastosowaniu środków ryzyko nadal jest wysokie, przed przetwarzaniem musi skonsultować się z organem nadzorczym (art. 36).
Podmioty przetwarzające i współadministratorzy
Podmiot przetwarzający działa wyłącznie na udokumentowane polecenie administratora. Art. 28 wymaga wiążącej umowy określającej przedmiot, czas trwania, charakter i cel przetwarzania oraz rodzaj danych, z obowiązkami dotyczącymi poufności, bezpieczeństwa, dalszych podmiotów przetwarzających, pomocy przy realizacji praw i naruszeniach, usunięcia lub zwrotu danych po zakończeniu oraz audytów. Współadministratorzy (art. 26) określają swoje obowiązki we wspólnych uzgodnieniach, których zasadnicza treść jest udostępniana osobom, których dane dotyczą.
Najważniejsze wnioski
- Większość organizacji musi prowadzić rejestr czynności przetwarzania, niezależnie od wielkości.
- Przed przetwarzaniem o prawdopodobnie wysokim ryzyku wymagana jest DPIA z opinią IOD.
- Wysokie ryzyko, którego nie da się ograniczyć, oznacza uprzednie konsultacje z organem nadzorczym.
- Każda relacja z podmiotem przetwarzającym wymaga umowy zgodnej z art. 28.
Sprawdź się
Kto przeprowadza DPIA – IOD czy administrator?
Pokaż odpowiedź: Odpowiada za nią administrator; IOD doradza i monitoruje jej wykonanie.
Dostawca chmury przechowuje Państwa akta kadrowe i działa wyłącznie na Państwa polecenie. Kim jest i czego Państwo potrzebują?
Pokaż odpowiedź: Podmiotem przetwarzającym; potrzebna jest umowa zgodna z art. 28.