Какву евиденцију о обради података мораш да водиш?

Било да се твој бизнис налази у улози руковаоца или обрађивача, неопходно је да водиш евиденције о радњама обраде. Евиденције се воде у писаном облику, што обухвата и електронски облик и чувају се трајно. Евиденција, између осталог, мора да садржи информације о:

• руковаоцу, заједничким руковаоцима (уколико је применљиво), представницима руковаоца и лица за заштиту података о личности, ако они постоје, односно ако су одређени.
• сврси обраде
• врсти лица на које се подаци односе и врсти података о личности
• врсти прималаца којима су подаци о личности откривени или ће бити откривени, укључујући и примаоце у другим државама или међународним организацијама;
• пренос података о личности у друге државе

Евиденције није потребно водити уколико ваш бизнис има мање од 250 лица запослено, осим ако:

• обрада коју врши може да проузрокује висок ризик по права и слободе лица на које се подаци односе
• обрада није повремена
• обрада обухвата нарочито осетљиве податке или податке о личности који се односе на кривичне пресуде, кажњива дела и мере безбедности

Садржај евиденције – Ко рукује/обрађује податке? Које податке прикупљате и како их обрађујете? Да ли их преносите у иностарство? Које мере предузимате за заштиту података?

Не постоји утврђен образац за вођење ове евиденције, ипак, у њу би требало да укључиш следеће информације:

• које одељење/сектор/лице на којој функцији у твојој организационој структури врши прикупљање и обраду података о личности.
• која категорија података о личности/подацима о којима се лицима прикупљају – нпр. име и презиме, ИП адреса, подаци о страницама које корисник неког сајта посећује
• уколико подаци који се прикупљају имају заједнички именик, можете да одредите заједничко име за ту збирку података – нпр. Евиденција о запосленима
• на који начин обрађује податке о личности – прикупљање, бележење, преписивање, умножавање, копирање, преношење, претраживање, разврставање, похрањивање, раздвајање, укрштавање, обједињавање, уподобљавање, мењање, обезбеђивање, коришћење, стављање на увид, откривање, објављивање, ширење, снимање, организовање, чување, прилагођавање, откривање путем преноса или на други начин чињења доступним, прикривање, измештање и на други начин чињења недоступним,…без обзира да ли се врши аутоматски, полуаутоматски или на други начин

• на који начин се чувају подаци који се прикупљају за сврху обраде – у штампаној форми (регистратори, складишта), електронској форми (цлоуд или други начин чувања електронских база података), у форми видео записа, у комбинацији више наведених облика чувања или на друг начин.
• на који начин прикупљаш податке које обрађује – односно да ли си податке добија директно од лица на које се ти подаци односе или на други начин – од клијента који те је непосредно ангажовао – одговора на ово питање зависи да ли ћеш имати улогу руковаоца или обрађивача. података о личности и које мере треба да предузме по том основу. Помоћ и смерница приликом одређења твог положаја свакако се заснива на одговору на питање – да ли податке обрађујеш за своје потребе или за потребе и за сврхе које је одредило неко друго лице.
• датум када је твој бизнис почео да обрађује податке о личности први пут
• сврси због које прикупљаш и обрађујеш податке о личности – разлог би требало да се односи на твоје пословање, услуге које пружаш својим клијентима, а често се ради ио разлозима маркетиншке природе и побољшања положаја твог бренда/производа/услуге на тржишту – савет: Одговори на питање – Зашто прикупљам конкретну категорију података о личности и из ког разлога је то потребно за моје пословање?
• правни основ за обраду података о личности– савет: погледај услове за закониту обраду података о личности – требало би да обрађује податке бар на основу једног од њих. Уколико обрађује податке о личности на основу инструкција свог клијента и имаш улогу обрађивача података о личности, упамти да је неопходно да са лицем које ти је податке о личности учинило доступним и које има улогу руковаоца свој однос уредиш уговором. Уколико ти је податак поверио клијента или пословног партнера, пожељно је да наведеш да ли између вас постоји уговор којим су регулисана ваша права, обавезе и одговорности, која је ваша улога у обради података на основу уговора, које су ваше обавезе, као и друге релевантне податке који треба да прикажу основ по коме си добио приступ и на основу ког обрађујеш податке. Нарочито обрати пажњу уколико си уговор закључио са партнером који има седиште у иностранству или уколико на основу уговора са тим партнером обрађује податке о личности лица која су страни држављани – у овом случају размислите о консултовању стручњака у овој области, будући да ћете по том основу бити обавезан да поштује и правила државе чији је држављанин лице чије податке обрађује. У том смислу, требало би да доставиш уговор са својим партнером на анализу како би установио да је твоја обрада у складу са свим применљивим правилима.
• категорији лица чије податке обрађујеш (нпр. купци (представници/запослени правних лица или предузетници), добављачи (представници/запослени правних лица или физичка лица), дистрибутери (представници/запослени правних лица или физичка лица), пословни сарадници (представници/запослени правних лица лица или физичка лица), крајњи купци/потрошачи (физичка лица), посетиоци веб сајта итд.
• лицима која имају или ће имати приступ подацима о личностима који су предмет обраде – да ли су питање лица која су запослена или на други начин ангажовања у твојој организационој структури или приступ имају и трећа лица и по ком основу. У случају да приступ имају лица која су део твоје организационе структуре, требало би да наведе одељење/сектор компаније и функцију лица која имају или ће имати приступ подацима о личности.
• да ли износиш податке о личности у иностранство   . Уколико износиш податке о личности у иностранство, наведи:
  • у коју земљу или међународну организацију су изнети подаци и на који начин – да ли физички, у штампаној форми, или електронским путем
  • по ком правном основу су изнети подаци ван граница РС (примера ради, то може да буде уговор)
• да ли је било захтева које врсте од стране лица на које се подаци које прикупљаш и обрађујеш односе – обично се ради о захтевима који су повезани са остваривањем права ових лица – нпр. да ли је неко од ових лица опозвао свој пристанак за даљу обраду његових података, тражило њихово брисање, пренос другом руковаоцу или обрађивачу и сл. Уколико је одговор потврђен, потребно је навести податке о захтеву, као и начин на који си по њему поступио
• мерама које су предузете у циљу чувања и заштите података о личности – обезбеђивање простора где се налазе документи који садрже податке о личности, ограничавање приступа подацима о личности само оним лицима која имају посебна овлашћења, енкрипцију.
•