Att systematiskt dokumentera sina behandlingar av personuppgifter är inte bara praktiskt, utan för många organisationer – ett lagkrav. Enligt artikel 30 i GDPR ska detta göras i form av ett register över alla personuppgiftsbehandlingar. Ett sådant register kallas ofta för en registerförteckning.
Ert register ska bland annat omfatta alla personuppgifter som behandlas av organisationen, en beskrivning av varje behandling, dess syfte samt innehåll. Vid efterfrågan från tillsynsmyndigheten (IMY) ska ni kunna visa upp er registerförteckning. IMY kan använda den som ett underlag om de vill granska någon del av er verksamhet. Registret är även ett bra sätt för er som organisation att bevisa att ni lever upp till principen om ansvarsskyldighet, vilket innebär att ni förutom att följa lagen också ska kunna bevisa att den efterlevs.
Förutsättningarna för hur personuppgifter hanteras kan förändras över tid hos de flesta verksamheter. Det kan till exempel handla om nya IT-system, digital utveckling och nya affärsmöjligheter, men också om organisatoriska förändringar och omgjorda arbetsprocesser. Allt sådant leder till att personuppgifter kan komma att behandlas på nya sätt. Dessutom sker saker i omvärlden som påverkar vad du behöver och vill göra i din verksamhet och dataskyddslagstiftningen i sig kan naturligtvis förändras den också.
Att säkerställa ett gott dataskydd och en uppdaterad registerförteckning kräver därför mer än en engångsinsats. För att kunna efterleva lagkraven behöver registret över personuppgiftsbehandlingar ses över kontinuerligt.
När en korrekt registerförteckning finns på plats ska den granskas löpande för att se till att det fungerar på lång sikt. Några punkter som kan behöva ses över:
Vad är syftet med en registerförteckning? Vems ansvar är det att föra register? Vi har sammanställt vad ni behöver tänka på i ett faktablad.
För en god dataskyddskultur med rutiner som följs är det viktigt att utbilda och informera löpande inom organisationen. Ni behöver också ha rutiner för ny personal och hur de ska introduceras i de rutiner och policys som finns i organisationen, samt vem de ska kontakta vid frågor.
E-learning är ett enkelt sätt att använda för att både utbilda befintlig personal och introducera nyanställda. Med rätt kompetens blir även arbetet med registerförteckningen smidigare och det som läggs in blir sannolikt oftare korrekt.
Utöver detta ska alla medarbetare som arbetar med tjänsteutveckling, systemutveckling eller annat som berör behandling av personuppgifter involvera en dataskyddsansvarig person i ett tidigt stadie. Detta är avgörande för ett hållbart dataskyddsarbete i längden.
För att kunna upprätthålla och ha kontroll över personuppgiftshanteringen krävs ett system som är anpassat efter era behov. I de flesta fall kommer ni att behöva göra sökningar, sortera, lägga till minnesanteckningar eller dokument till de behandlingar som beskrivs.
Visma Draftit har lång erfarenhet av att arbeta med dataskydd i olika slags verksamheter och vet vad som krävs för att ert dataskyddsarbete ska vara korrekt och samtidigt anpassat för er. Med Privacy Records får ni hjälp under hela processen, kan identifiera risker och se status på de olika uppgifterna. Längs vägen ställer systemet relevanta kontrollfrågor för att se till att allt blir korrekt. Din registerförteckning uppdateras tryggt och enkelt.