Kunskap · GDPR · Artikel 30
Känn varje behandling – skriftligt.
Personuppgiftsansvariga och personuppgiftsbiträden ska föra ett register över sina behandlingar: vilka personuppgifter, varför, om vem, vem som tar emot dem och hur länge de sparas. Registret förs skriftligt, även elektroniskt, och ska på begäran göras tillgängligt för tillsynsmyndigheten.
Vad den kräver
På vanlig svenska.
- Den personuppgiftsansvariges namn och kontaktuppgifter, och i förekommande fall gemensamt personuppgiftsansvarig, företrädare och dataskyddsombud
- Ändamålen med behandlingen och kategorierna av registrerade och personuppgifter
- Kategorierna av mottagare, även i tredjeland, och eventuella överföringar med skyddsåtgärder
- Om möjligt tidsfrister för radering och en allmän beskrivning av säkerhetsåtgärderna
- Personuppgiftsbiträden för register över de behandlingar de utför för varje personuppgiftsansvarig
- Organisationer med färre än 250 anställda är undantagna bara om behandlingen är tillfällig, sannolikt inte medför risk och inte omfattar särskilda kategorier av uppgifter
Sammanfattning av GDPR artikel 30 (förordning (EU) 2016/679). Inte juridisk rådgivning – läs den officiella texten på EUR-Lex.
I praktiken
Vad som krävs.
Registret blir inaktuellt samma dag som ett nytt system eller en ny leverantör kommer in. Det måste uppdateras när behandlingen ändras – och ses över regelbundet, med en ägare.
- RegisterEn post per behandling, i strukturerad form
- ProcessUppdatering vid varje ändring och en årlig översyn med ägare
- AvtalMottagare och biträden kopplade till sina personuppgiftsbiträdesavtal
- BevisHistorik över översyner och godkännanden sparas med varje post
Så går det till i Paragraf – på samma grund som era avtal och processer.
Nästa steg
Se GDPR artikel 30
med era egna krav.
Boka en genomgång. Vi visar tråden från den här artikeln till kontrollen, ägaren och beviset – i er egen miljö.