Spis czynności związanych z przetwarzaniem danych: Czy musi być? - VVT Część 1

GDPR wymaga od przedsiębiorców prowadzenia rejestru czynności przetwarzania (art. 30 GDPR). W tej pierwszej części na VVT dowiesz się, kto musi prowadzić taki rejestr i jakie są konsekwencje w przypadku naruszenia.

Czytaj tutaj Część 2 serii o zawartości VVT.

Po co w ogóle VVT?

Obowiązek prowadzenia VVT jest określony w art. 30 GDPR. Rejestr stanowi rdzeń każdego systemu zarządzania ochroną danych (DMS).

Katalog zapewnia przegląd wszystkich operacji przetwarzania odbywających się w firmie. Z pomocą tego przeglądu można łatwiej kontrolować te operacje. Ułatwia on również ocenę ryzyka i określenie konieczności podjęcia działań.

Za regulacją dotyczącą VVT stoi nie tylko zasada rozliczalności (art. 5 II GDPR). Zwiększa ona również kontrolę i przejrzystość.

Kiedy VVT jest obowiązkowy?

Zgodnie z art. 30 RODO, każdy administrator i każdy podmiot przetwarzający jest zasadniczo są zobowiązani do prowadzenia VVT. Zawartość katalogów różni się w zależności od tego, czy prowadzący katalog jest Kontroler lub procesor dotyczy. Lista w art. 30 I RODO ma zastosowanie do administratora, natomiast lista w art. 30 II RODO ma zastosowanie do podmiotu przetwarzającego.

Dowiedz się więcej o zawartości VVT tutaj.

Definicje administratora i podmiotu przetwarzającego znajdują się w art. 4 nr 7 i nr 8 GDPR. Więcej na temat rozróżnienia między administratorem a przetwarzającym można znaleźć na stronie tutaj.

Kiedy jestem zwolniony z obowiązku prowadzenia VVT?

Jeżeli podmiot odpowiedzialny zatrudnia mniej niż 250 pracowników, może być w zasadzie zwolniony z prowadzenia VVT. Istnieją jednak trzy wyjątki wsteczne od tego zwolnienia: VVT jest obowiązkowe ponownie, jeśli ma miejsce przetwarzanie, które albo stanowi zagrożenie dla praw i wolności osób, których dane dotyczą (np. środki nadzoru), nie jest tylko sporadyczne lub dotyczy specjalnych kategorii danych (art. 9 lub 10 GDPR). Szczególnie drugi ponowny wyjątek (regularne przetwarzanie) obejmuje prawie wszystkie przedsiębiorstwa, tak że w zdecydowanej większości przypadków istnieje obowiązek prowadzenia VVT nawet w przypadku firm zatrudniających mniej niż 250 pracowników.

Co się dzieje w przypadku naruszenia prawa?

Jeżeli osoba zobowiązana do prowadzenia VVT nie prowadzi VVT lub prowadzi je w sposób niekompletny, stanowi to wykroczenie administracyjne zgodnie z art. 84 IV lit. a GDPR.

Właściwy organ nadzorczy może wówczas nałożyć grzywnę.

Potrzebujesz wsparcia w sprawach VVT i ochrony danych? Oferujemy się jako zewnętrzni inspektorzy ochrony danych. Zapraszamy do kontaktu z nami aby uzyskać więcej informacji o naszych usługach!

Przejdź do części 2 o VVT tutaj.