Ar mums reikia tvarkymo veiklų registro ir nuo ko pradėti?
Trumpas atsakymas
Beveik visada taip: jei organizacija turi darbuotojų ir klientų, tvarkymo veiklų registras jai reikalingas. Pradėti reikia ne nuo dokumento formos, o nuo paprasto sąrašo, ką jūsų organizacija daro su žmonių duomenimis.
Kas šiame puslapyje
1.Kodėl išimtis praktikoje netaikoma
BDAR registro pareigą sieja ne su organizacijos dydžiu, o su tvarkymo pobūdžiu. Mažesnėms organizacijoms numatyta išimtis, bet ji nustoja galioti, kai tvarkymas nėra atsitiktinis, kai tvarkomi specialių kategorijų duomenys arba kai tvarkymas gali kelti riziką žmonių teisėms.
Darbo užmokesčio skaičiavimas, klientų sutarčių administravimas ar vaizdo stebėjimas nėra atsitiktinis tvarkymas — tai nuolatiniai procesai. Todėl praktikoje išimtis lieka beveik tuščia.
Net jei jūsų atvejis į išimtį patektų, registras vis tiek yra pirmas dokumentas, kurio prašo priežiūros institucija, ir vienintelis būdas žinoti, kokius duomenis turite. Be jo negalima nei atsakyti asmeniui į prašymą, nei įvertinti pažeidimo masto, nei pasakyti, kurios sutartys su tiekėjais trūksta. Tikslią normos formuluotę ir išimties sąlygas žr. BDAR 30 str. 5 d.
2.Pirmas žingsnis: procesų sąrašas, ne dokumentas
Atsisėskite su buhalteriu ir administratoriumi ir surašykite, ką organizacija daro su žmonių duomenimis. Beveik visada susidaro panašus sąrašas: darbuotojų administravimas ir darbo užmokestis, kandidatų atranka, klientų sutarčių vykdymas ir sąskaitos, skolų administravimas, vaizdo stebėjimas, praėjimo kontrolė, rinkodaros pranešimai, svetainės užklausos, tiekėjų kontaktai. Nedidelei organizacijai dažniausiai išeina nuo aštuonių iki penkiolikos eilučių.
Sąrašas turi atspindėti tai, kas vyksta iš tikrųjų, o ne tai, kas parašyta senose taisyklėse. Jei rinkodaros laiškus siunčia vienas darbuotojas iš savo pašto dėžutės, tai vis tiek yra organizacijos procesas ir jis turi būti sąraše.
3.Ką užpildyti kiekvienai eilutei
Kiekvienam procesui atsakykite į tuos pačius klausimus: koks tikslas, kieno duomenys, kokios duomenų kategorijos, koks teisinis pagrindas, kiek laiko saugoma, kam perduodama ir ar duomenys išeina už Europos ekonominės erdvės ribų. Iš viso 30 straipsnio 1 dalis numato 24 informacijos laukus, tačiau daugumą jų užpildo tie patys atsakymai, pakartoti skirtinguose procesuose.
Nežinomus dalykus palikite pažymėtus kaip atvirus klausimus, o ne užpildykite bendra fraze. Tuščia vieta parodo, ką reikia nuspręsti; gražus, bet netikslus sakinys tą sprendimą paslepia ir patikrinimo metu tampa problema.
4.Kada registras laikomas baigtu
Registras baigtas tada, kai kiekvienas procesas turi tikslą, pagrindą, saugojimo terminą ir gavėjų sąrašą, o jūs galite jį atspausdinti ir paaiškinti kiekvieną eilutę. Nuo tos akimirkos jis tampa darbo įrankiu: iš jo rašomos vidaus taisyklės, informavimo pranešimai ir sutarčių sąrašas.
Registras nėra vienkartinis dokumentas. Kai pasikeičia sistema, tiekėjas ar procesas, atitinkama eilutė peržiūrima. Praktiškai tai kelios dešimtys minučių per ketvirtį, jei registras iš tikrųjų naudojamas, ir kelios dienos darbo, jei jis dvejus metus gulėjo stalčiuje.
Oficialus teisės akto tekstas
Reglamento nuostatų čia neperpasakojame. Oficialus BDAR tekstas lietuvių kalba yra vienoje vietoje ir yra tikslesnis už bet kokį atpasakojimą.
BDAR tekstas lietuvių kalba (EUR-Lex)