Ресурси
Този безплатен RoPA шаблон ви дава Регистър на дейностите по обработване, който можете да попълните още днес, с всяка колона, която GDPR Article 30(1) изисква, и с един разработен примерен ред за копиране. Това е обикновен Excel RoPA шаблон, направен за ръководителя по защита на данните, DPO или CISO, който има нужда от точен регистър, без първо да купува софтуер. RoPA е картата на това как вашата организация използва лични данни и е първият документ, който надзорният орган иска да види. Изтеглете го по-долу и продължете да четете какво означава всяка колона, кои задължения наистина имат значение по GDPR и как да поддържате регистъра актуален, когато електронната таблица престане да се справя. Няма инсталация и няма нищо за преформатиране, преди да започнете.
Какво покрива GDPR RoPA шаблонът
Файлът е един лист в Excel с по една колона за всяко поле, което Article 30(1) изисква, така че нищо да не липсва и нищо да не е излишно. От ляво надясно получавате: името и данните за контакт на администратора, плюс място за съвместен администратор, представител в ЕС и длъжностно лице по защита на данните; целите на обработването; категориите субекти на данни и категориите лични данни; категориите получатели, които получават данните; всички предавания към трети държави и гаранциите, които ги защитават; предвидените срокове за съхранение или изтриване, когато можете да ги посочите; и общо описание на техническите и организационните мерки за сигурност по Article 32.
Първият ред е попълнен вместо вас с реалистичен пример, дейност по обработване на заплати, за да видите нивото на детайлност, което одиторът очаква, преди да напишете своя. Втори таб изброява категориите, които повечето екипи използват повторно, като служители, клиенти и посетители на уебсайта, така че да не измисляте етикети от нулата. Изтрийте примера, копирайте формата на реда и продължавайте надолу по листа, по една дейност наведнъж. Бъдете реалисти за естеството на тази работа. Написването на един ред отнема минути. Изясняването на това какво наистина се случва при заплатите, в CRM и в онази една стара система за отчети отнема седмици, защото отговорът живее в главите на хората и тези хора са заети. RoPA е упражнение по интервюиране с прикачена електронна таблица.
GDPR по честния начин: какво наистина има значение
Регистърът на дейностите по обработване е задължителна документация. Съгласно GDPR Article 30(1) администраторът трябва да води писмен регистър на дейностите си по обработване и този регистър трябва да съдържа конкретните полета, изброени по-горе. Това е документът, който надзорният орган изисква пръв при разследване, защото показва дали наистина знаете какви лични данни държите и защо. Article 30 е една от по-добре написаните части на GDPR: тя назовава полетата, така че отпада всякакъв тълкувателен спор какво влиза в регистъра. Задължението е необичайно евтино за изпълнение и необичайно скъпо при пропуск, което го прави първото нещо за правене и лошо нещо за отлагане.
Две неща спъват хората. Първо, администраторите и обработващите водят различни регистри. Ако вие определяте целите и средствата на обработването, вие сте администратор и Article 30(1) се прилага в пълния си обхват. Ако обработвате данни само по указания на друга организация, вие сте обработващ и водите по-тесния регистър, описан в Article 30(2). Много организации са и двете, за различни дейности, и се нуждаят и от двата регистъра. Инстинктът е да се избере един етикет за цялата компания и това почти винаги е грешно. Определяйте ролята дейност по дейност и я записвайте на реда, защото отговорът променя това, което дължите.
Второ, изключението почти никога не помага. Article 30(5) на пръв поглед освобождава организациите с под 250 служители, но изключението е тясно: то отпада веднага щом обработването ви е редовно, може да застраши правата на субектите на данни или включва специални категории данни. За повечето реални бизнеси поне едно от тези неща винаги е вярно, така че практичният отговор е да водите RoPA независимо от броя на служителите. Изграждането му веднъж, както трябва, е по-евтино от спора за изключението по-късно.
RoPA захранва и останалата част от вашата GDPR програма. От него започва оценката на въздействието върху защитата на данните, затова го съчетайте с нашия DPIA шаблон, и той се съотнася директно към по-широкия чеклист за съответствие с GDPR.
Как да използвате GDPR RoPA шаблона
- Изтеглете шаблона чрез формата по-горе и запазете чисто оригинално копие, преди да редактирате каквото и да е.
- Опишете всяка дейност по обработване като отделен ред. Започнете с очевидните: заплати, подбор на персонал, маркетинг и клиентска поддръжка. Формулирайте всеки ред на ниво, което човек от бизнеса би разпознал. Регистрите се провалят в двете посоки: един-единствен ред, който казва „клиентски данни“, не казва нищо на никого, и ред за всяка таблица в базата данни се превръща в поддръжка, която тихо ще изоставите преди втория преглед.
- За всеки ред попълнете колоните по Article 30(1) отляво надясно, като използвате примерния ред като ориентир за правилното ниво на детайлност.
- Посочвайте сроковете за съхранение навсякъде, където можете. Когато срокът наистина е неопределен, запишете вместо това критериите, по които го определяте. Съхранението е колоната, която блокира повечето регистри, защото налага решение, което бизнесът е отлагал, и някой винаги казва „пазете го завинаги, за всеки случай“. Оставете целия регистър да върви напред независимо от този спор. Запишете критериите, маркирайте реда за решение и продължавайте.
- Нека DPO или ръководителят по защита на данните го прегледа, след което задайте повтаряща се дата за преразглеждане. RoPA е полезен само докато е актуален.
Направете това автоматично във Venvera
Електронната таблица е правилното място за започване и грешното място за приключване. В момента, в който дейностите се променят, отговорниците се сменят или нова система започне да обработва данни, статичният RoPA шаблон остарява и никой не забелязва до одит. Venvera поддържа същия Регистър на дейностите по обработване жив: дейностите се свързват със системите и контролите зад тях, сроковете за съхранение и получателите се обновяват на място, а доказателствата, които събирате за GDPR, се използват повторно в другите рамки, по които се отчитате, така че да описвате едно и също обработване само веднъж. Можете да видите как работи на страницата за рамката GDPR, а плановете започват от EUR 399/месец. Шаблонът ви осигурява защитим регистър тази седмица; платформата го поддържа защитим и следващата година.
Често задавани въпроси
Задължителен ли е RoPA по GDPR?
За администраторите, да. Article 30(1) изисква администраторът да води писмен регистър на дейностите си по обработване, съдържащ изброените полета. Обработващите водят по-тесен регистър по Article 30(2). Изключението по Article 30(5) за организации с под 250 служители е тясно и обикновено отпада, така че повечето организации водят RoPA независимо от това.
Каква е разликата между RoPA на администратор и на обработващ?
Администраторът определя целите и средствата на обработването и води по-пълния регистър по Article 30(1), който обхваща цели, субекти на данни, получатели, предавания, съхранение и мерки за сигурност. Обработващият действа по указания на администратор и води по-тесния регистър, описан в Article 30(2). Организациите, които правят и двете, водят и двата регистъра.
Какви колони трябва да има един RoPA шаблон?
Полетата от Article 30(1): данни за контакт на администратора и на DPO, цели на обработването, категории субекти на данни и лични данни, категории получатели, предавания към трети държави и гаранциите за тях, предвидени срокове за съхранение, когато е възможно, и общо описание на мерките за сигурност по Article 32. Този безплатен RoPA шаблон включва колона за всяко от тях.
Нужна ли ми е DPIA, ако вече имам RoPA?
Да, те вършат различни неща. RoPA записва какво обработване се извършва; оценката на въздействието върху защитата на данните оценява риска от високорисково обработване, преди то да започне. RoPA често ви показва кои дейности се нуждаят от DPIA, затова екипите водят и двете и ги свързват. Вижте нашия DPIA шаблон, за да отидете по-нататък.
