Αρχείο δραστηριοτήτων επεξεργασίας: τα πεδία του άρθρου 30 με απλά λόγια

Το αρχείο δραστηριοτήτων επεξεργασίας είναι η καταγραφή των διαδικασιών δεδομένων ενός οργανισμού. Απαντά σε ένα μόνο ερώτημα: τι κάνουμε με τα δεδομένα των ανθρώπων. Όχι ποια έγγραφα διαθέτουμε, όχι ποιους κανόνες εγκρίναμε, αλλά τι πραγματικά συμβαίνει καθημερινά — τι συλλέγεται, για ποιον σκοπό, πού αποθηκεύεται και σε ποιον διαβιβάζεται.

Γι' αυτό το αρχείο δεν είναι νομικό κείμενο. Είναι ένας πίνακας όπου κάθε γραμμή είναι μια διαδικασία, και οι στήλες είναι οι ίδιες ερωτήσεις, που τίθενται για κάθε διαδικασία.

Όλη η υπόλοιπη τεκμηρίωση — οι εσωτερικές πολιτικές, οι ενημερώσεις, ο κατάλογος συμβάσεων — συντάσσεται με βάση αυτό. Αν προσπαθήσετε να ξεκινήσετε από τους κανόνες, θα γράφετε κείμενο για κάτι που δεν έχετε ακόμη καταγράψει.

Τα πρώτα πεδία είναι απλά: ποιος είναι ο υπεύθυνος επεξεργασίας δεδομένων, τα στοιχεία επικοινωνίας του, τα στοιχεία του εκπροσώπου, εφόσον έχει οριστεί, και τα στοιχεία επικοινωνίας του υπεύθυνου προστασίας δεδομένων, εφόσον ο οργανισμός διαθέτει έναν τέτοιο. Αυτά τα πεδία είναι ίδια σε όλο το αρχείο, οπότε συμπληρώνονται μία φορά.

Αξίζει να αναγράφεται μια λειτουργική επαφή και όχι η προσωπική διεύθυνση ενός συγκεκριμένου εργαζομένου. Οι εργαζόμενοι αλλάζουν, ενώ το αρχείο πρέπει να παραμένει σωστό ακόμη και μετά από έναν χρόνο.

Σε κάθε σκοπό αντιστοιχίζεται μια νομική βάση. Στο παράδειγμά μας, ο υπολογισμός του μισθού και οι αναφορές προς τις αρχές στηρίζονται σε νομική υποχρέωση, η εκτέλεση της σύμβασης εργασίας στη σύμβαση, ενώ, ας πούμε, η φωτογραφία του εργαζομένου σε εσωτερικό κατάλογο στηρίζεται συνήθως στη συγκατάθεση ή στο έννομο συμφέρον, ανάλογα με την περίπτωση.

Η νομική βάση δεν είναι διακοσμητικό πεδίο. Από αυτήν εξαρτώνται τα δικαιώματα του προσώπου: στο έννομο συμφέρον μπορεί κανείς να αντιταχθεί, τη συγκατάθεση μπορεί να την ανακαλέσει, ενώ στην περίπτωση της νομικής υποχρέωσης και οι δύο αυτές δυνατότητες αποκλείονται.

Αν η νομική βάση έχει επιλεγεί λανθασμένα, λανθασμένη είναι και η ενημέρωση. Για τον κατάλογο των νομικών βάσεων βλ. [ΠΡΟΣ ΕΠΑΛΗΘΕΥΣΗ: νομοθετική παραπομπή].

Αποδέκτες είναι όλοι όσοι βλέπουν τα δεδομένα εκτός του οργανισμού σας. Στο παράδειγμά μας πρόκειται για τον πάροχο λογιστικών υπηρεσιών ή του λογισμικού μισθοδοσίας, την τράπεζα, τις κρατικές αρχές, την ασφαλιστική εταιρεία, τον ιατρικό φορέα που διενεργεί τις ιατρικές εξετάσεις των εργαζομένων, ενίοτε και μια ελεγκτική εταιρεία.

Κάθε αποδέκτης δημιουργεί ένα δεύτερο ερώτημα: είναι ανεξάρτητος υπεύθυνος επεξεργασίας ή εκτελών την επεξεργασία. Με τους εκτελούντες την επεξεργασία απαιτείται σύμβαση, οπότε ο κατάλογος αποδεκτών είναι στην πράξη και κατάλογος ελέγχου συμβάσεων. Ακριβώς εδώ διαπιστώνεται συχνά ότι για ένα ή δύο συστήματα δεν υπάρχει σύμβαση.

Η περίοδος δεν γράφεται μία για ολόκληρη τη διαδικασία, αλλά ανά κατηγορία δεδομένων. Στο παράδειγμά μας, η σύμβαση εργασίας και ο ατομικός φάκελος διατηρούνται για μεγάλο διάστημα σύμφωνα με τις απαιτήσεις αρχειοθέτησης, τα στοιχεία ωραρίου για μικρότερο διάστημα, ενώ η καθημερινή αλληλογραφία για τα προγράμματα για ακόμη μικρότερο.

Δίπλα στην περίοδο αναγράφεται πάντα η αιτιολογία: νομοθετική πράξη, κίνδυνος διαφοράς ή απόφαση του οργανισμού. Μια περίοδος χωρίς αιτιολογία είναι απλώς ένας αριθμός που δεν μπορεί ούτε να υπερασπιστεί ούτε να επανεξεταστεί.

Το αρχείο έχει ολοκληρωθεί όταν μπορείτε να το εκτυπώσετε και να εξηγήσετε κάθε γραμμή χωρίς επιπλέον ερωτήσεις από τους συναδέλφους. Κάθε διαδικασία έχει σκοπό, νομική βάση, κατηγορίες, αποδέκτες, περίοδο διατήρησης και μέτρα, ενώ τα ανοιχτά ερωτήματα είναι σημειωμένα ως ανοιχτά και όχι καλυμμένα με γενικές φράσεις.

Στη συνέχεια ξεκινά η συνήθης εργασία: επανεξέταση όταν αλλάζει ένα σύστημα, ένας πάροχος ή μια διαδικασία. Οι οργανισμοί που χρησιμοποιούν το αρχείο ως εργαλείο εργασίας αφιερώνουν σε αυτό λίγες δεκάδες λεπτά ανά τρίμηνο. Όσοι το ξεχνούν, μετά από δύο χρόνια ξεκινούν σχεδόν από την αρχή.

Ο ταχύτερος δρόμος είναι τρεις συζητήσεις: με το λογιστήριο, με τη διοίκηση και με όποιον συντηρεί τα συστήματα. Μέσα σε μία ώρα, ο καθένας τους λέει περισσότερα από όσα βρίσκονται στα έγγραφα, γιατί γνωρίζουν πού βρίσκονται πράγματι τα δεδομένα.

Δεύτερη πηγή είναι ο κατάλογος συμβάσεων και τα τιμολόγια. Από αυτά προκύπτουν όλοι οι πάροχοι, συμπεριλαμβανομένων όσων κανείς δεν θυμόταν: η υπηρεσία αρχειοθέτησης, η καταστροφή εγγράφων, η πλατφόρμα μάρκετινγκ, το εργαλείο ερευνών.

Τρίτη πηγή είναι τα ίδια τα συστήματα. Ο κατάλογος λογαριασμών πρόσβασης δείχνει ποιος έχει πρόσβαση, και συχνά αποκαλύπτει ότι πρόσβαση εξακολουθούν να έχουν άτομα που έχουν αλλάξει καθήκοντα ή έχουν αποχωρήσει από τον οργανισμό εδώ και καιρό.

Το αρχείο είναι πηγή απαντήσεων όταν συμβαίνει κάτι. Ένα πρόσωπο ζητά αντίγραφο των δεδομένων του — το αρχείο δείχνει σε ποια συστήματα πρέπει να αναζητηθούν αυτά τα δεδομένα.

Συμβαίνει ένα περιστατικό — το αρχείο δείχνει την έκταση και τους αποδέκτες. Έρχεται ένα αίτημα — το αρχείο είναι το πρώτο συνημμένο.

Είναι επίσης εργαλείο προμηθειών. Πριν από την εγκατάσταση ενός νέου συστήματος, αρκεί να τεθούν στον πάροχο οι ερωτήσεις του αρχείου: ποια δεδομένα θα βλέπει, πού θα βρίσκονται, ποιος θα έχει πρόσβαση, τι θα συμβεί μετά τη λήξη της σύμβασης. Αυτή είναι η καλύτερη στιγμή για να ληφθούν απαντήσεις.

Τέλος, το αρχείο αποτελεί εκπαιδευτικό υλικό για τους νέους εργαζομένους. Αντί για είκοσι σελίδες κανόνων, το άτομο βλέπει έναν μόνο πίνακα, από τον οποίο καταλαβαίνει τι κάνει ο οργανισμός με τα δεδομένα και γιατί.