ROPA: záznam o spracovateľských činnostiach, ktorý sa používa

Blíži sa kontrola alebo príde od klienta dotazník a treba mať „ten GDPR papier“. Niekto cez víkend vyplní tabuľku, ktorú stiahol z internetu, kontrola kývne hlavou a dokument putuje do priečinka, kde sa do ďalšej kontroly neotvorí. Medzitým firma zaviedla dva nové systémy a začala spracúvať údaje, o ktorých v tej tabuľke nie je ani slovo.

Toto je mŕtvy záznam o spracovateľských činnostiach. Splní formálnu požiadavku a firme nedá nič. Pritom práve ROPA je dokument, ktorý má z celého GDPR najväčšiu praktickú hodnotu, ak sa vedie ako živá mapa vašich údajov, nie ako papier pre kontrolu. Kto poznáte môj článok o registri rizík, ktorý sa používa, uvidíte tu presne rovnakú logiku: rozdiel medzi živým a mŕtvym dokumentom nie je v kráse tabuľky, ale v tom, či ho niekto používa.

Čo je ROPA a čo v ňom má byť?

ROPA je jednoducho zoznam vašich spracovateľských činností s kľúčovými informáciami o každej z nich. Nie je to smernica, je to prehľadná evidencia. Článok 30 GDPR vymenúva, čo má pri každej činnosti obsahovať.

Pri každej činnosti potrebujete uviesť, kto je prevádzkovateľ a prípadne zodpovedná osoba, na aký účel údaje spracúvate, kategórie dotknutých osôb (napríklad zamestnanci, zákazníci) a kategórie údajov (napríklad kontaktné, mzdové), komu údaje poskytujete, či ich prenášate do tretích krajín, ako dlho ich uchovávate a všeobecný opis bezpečnostných opatrení. Ak časť spracúvania robíte pre niekoho iného ako sprostredkovateľ, vediete si užšiu verziu záznamu podľa čl. 30 ods. 2.

Všimnite si, že tie položky nie sú náhodné. Účel a kategórie údajov sú základ pre určenie právneho základu, lehoty uchovávania rozhodujú o tom, čo pri žiadosti o výmaz musíte a čo nemusíte zmazať, a prehľad, kde údaje sú, je to, čo vám umožní vybaviť žiadosť dotknutej osoby za pár minút. ROPA teda nie je obyčajný dokument, je to chrbtica, ktorá drží zvyšok.

Kto musí viesť ROPA?

Tu je najrozšírenejší mýtus: „my sme malá firma, nás sa povinnosť viesť záznam netýka“. Vychádza z výnimky v čl. 30 ods. 5, ktorá oslobodzuje organizácie do 250 zamestnancov. Lenže tá výnimka má tri podmienky, ktoré musia platiť naraz, a stačí, aby jedna nesedela, a povinnosť sa vracia.

Výnimka neplatí, ak spracúvanie môže predstavovať riziko pre práva ľudí, ak nie je príležitostné (teda ak je pravidelné) alebo ak zahŕňa osobitné kategórie údajov. Prakticky každá firma pravidelne spracúva mzdy zamestnancov a databázu zákazníkov, čo už samo osebe nie je príležitostné spracúvanie. Preto v reálnom svete táto výnimka takmer nikdy neoslobodí firmu úplne a záznam si viesť treba. Orgány verejnej správy vedú ROPA vždy, bez ohľadu na veľkosť.

Chystá sa v tomto úľava?

Áno, a stojí za to o nej vedieť, hoci zatiaľ nič nemeňte. Na úrovni Európskej únie sa pripravuje rozšírenie tejto výnimky na organizácie do 750 zamestnancov, pričom by neplatila pri vysokorizikovom spracúvaní. V čase písania je to návrh v legislatívnom procese, bez dátumu účinnosti, a podrobnejšie sa mu venujeme v samostatnom článku o zjednodušení GDPR.

Dôležitá je ale jedna vec, ktorá platí bez ohľadu na to, ako návrh dopadne. Aj keby vás úľava jedného dňa zbavila formálnej povinnosti, ROPA ostane tým najužitočnejším dokumentom, aký v GDPR máte. Prehľad o vlastných údajoch nepotrebujete kvôli úradu, potrebujete ho kvôli sebe, takže rušiť ho len preto, že by ste „nemuseli“, by bola chyba.

Prečo väčšina záznamov stráca aktuálnosť krátko po ich vytvorení?

Príčiny sú takmer vždy rovnaké. Väčšina záznamov, ktoré v praxi vidím, vznikla deň pred kontrolou z tabuľky stiahnutej z internetu a odvtedy sa neotvorila. Taký dokument spĺňa formu, ale nie je napojený na to, ako firma reálne funguje.

Býva tiež plný cudzích položiek, ktoré sa vašej činnosti netýkajú, lebo „nech tam radšej je všetko“, a naopak mu chýbajú činnosti, ktoré ste zaviedli po jeho vytvorení. A hlavne nemá majiteľa ani rytmus, nikto nemá za úlohu ho aktualizovať a nikto sa naň pri rozhodovaní nepozrie. Mŕtvy záznam spoznáte podľa jedného príznaku: posledná zmena v ňom je spred roka, hoci firma odvtedy prešla piatimi zmenami.

Ako postaviť záznam, ktorý žije

Nezačínajte prázdnou šablónou z internetu, ale zoznamom vašich skutočných činností. Prejdite firmu oddelenie po oddelení a spíšte, kde všade sa narába s osobnými údajmi: mzdy, nábor, fakturácia, marketing, kamerový systém, dochádzka. Toto je tá istá dátová inventúra, ktorou začína aj príprava na žiadosti ľudí, takže jednou prácou pokryjete oboje. Ku každej činnosti potom doplňte položky z článku 30 a hlavne právny základ.

Aby záznam ostal živý, dajte mu dve veci, ktoré poznáte aj z riadenia rizík: majiteľa, teda konkrétneho človeka, ktorý zaň zodpovedá, a rytmus, teda pevný dátum, keď sa raz za čas prejde a aktualizuje, plus spúšťač pri každom novom systéme alebo procese. Bez toho aj ten najlepšie postavený ROPA do roka zostarne.

Zvyčajne tu zaznie námietka: „na toto nemáme čas, veď to nikto nekontroluje“. Lenže ROPA nerobíte pre kontrolóra, robíte ho pre seba. V deň, keď príde žiadosť o výmaz, únik údajov alebo dotazník od veľkého klienta, je rozdiel medzi firmou so živým záznamom a firmou bez neho rozdiel medzi pokojným popoludním a týždňom paniky.

Ak si chcete postaviť ROPA, ktorý vám reálne slúži, a nie iba leží pre kontrolu, a nechcete to riešiť sami, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.