Регистър на дейностите по обработване, DPIA и приключване на прехода @@OMSCHRИПЦИЯ@@

Модул 9: Хора и правила · Време за четене: 12 минути

Учебна цел: След този урок ще можете да актуализирате регистъра на дейностите по обработване и декларацията за поверителност след прехода, да прецените дали е необходима DPIA, да организирате коректното премахване на старата услуга и официално да приключите прехода с финален контролен списък.

Основни понятия: регистър на дейностите по обработване (чл. 30), изключение за по-малко от 250 служители, оценка на въздействието върху защитата на данните (DPIA) (чл. 35), списък на КЗЛД за DPIA, декларация за поверителност (чл. 13 и 14), получатели, предаване на данни, задължение за уведомяване при нарушение на сигурността на данните (чл. 33), премахване при старата услуга, потвърждение за премахване, оценка, финален контролен списък

Преходът е завършен едва когато документацията е в ред

Пощата работи, файловете са налице, всички работят в новата среда. Технически сте готови. Но от гледна точка на ОРЗД все още има работа: Вашата документация все още описва старото положение. При въпрос от клиент, проверка или нарушение на сигурността на данните ще искате да покажете как стоят нещата сега. Този урок приключва прехода.

Това е обяснение, а не правен съвет.

Регистърът на дейностите по обработване

Член 30, параграф 1 от ОРЗД задължава администратора да поддържа регистър на дейностите по обработване. В него за всяка обработка (например „поръчки на клиенти“, „администрация на персонала“, „бюлетин“) се посочва:

• име и данни за контакт на администратора (и евентуално на длъжностното лице по защита на данните);
• целите на обработването;
• категориите субекти на данни и лични данни;
• получателите, включително обработващите лични данни;
• предаванията към държави извън ЕИП, заедно с гаранциите;
• сроковете за съхранение, доколкото е възможно;
• общо описание на мерките за сигурност, доколкото е възможно.

Важи ли това и за малка организация?

Член 30, параграф 5 съдържа изключение за организации с по-малко от 250 служители. Това изключение обаче не важи, ако обработването вероятно води до риск, ако то не е инцидентно, или ако включва специални категории лични данни (например данни за здравето) или данни, свързани с наказателни присъди. Комисията за защита на личните данни (КЗЛД) обяснява, че на практика обработванията рядко са инцидентни: щом имате служители или постоянни клиенти, обработвате данни структурно. За Bakkerij De Korrel с администрация на заплати, поръчки на клиенти и отсъствия по болест изключението следователно не важи.

Налице е европейско предложение за облекчаване на задължението за водене на регистър за по-малки организации (така нареченият пакет Omnibus IV; през юни 2026 г. Съветът и Парламентът постигнаха временно споразумение). Докато то не влезе в сила, важи настоящият член 30. А и след това един преглед остава полезен: той е необходим, за да можете да изпълнявате останалите си задължения.

Какво адаптирате след прехода?

Прегледайте всеки ред от регистъра си и го адаптирайте:

Преходът е добър момент най-после наистина да уредите сроковете за съхранение. За данъчна документация в Нидерландия по правило важи задължение за съхранение от седем години; за данни от кандидатури за работа нидерландският надзорен орган (AP) по принцип препоръчва четири седмици след приключване на процедурата. Проверете кои срокове важат за Вашия сектор.

Трябва ли да направите DPIA?

DPIA (оценка на въздействието върху защитата на данните, в ОРЗД „оценка на въздействието върху защитата на данните“) е структуриран предварителен анализ на риска. Член 35 задължава извършването на DPIA, ако дадено обработване вероятно води до висок риск за субектите на данни, особено при нови технологии.

Как разбирате дали случаят е такъв?

1. Списъкът на AP. Нидерландският надзорен орган (Autoriteit Persoonsgegevens) е публикувал през 2019 г. списък със седемнадесет вида обработвания, за които DPIA винаги е задължителна. В него са посочени, наред с другото, мащабна обработка на здравни данни, видеонаблюдение, наблюдение на служители, комуникационни данни, данни за местоположение, профилиране и биометрия. Имайте предвид, че това е списъкът на нидерландския надзорен орган (AP); всеки надзорен орган в ЕС съставя собствен списък за DPIA (чл. 35, параграф 4).
2. Европейските критерии. Европейските надзорни органи са установили девет критерия (като чувствителни данни, голям мащаб, уязвими субекти на данни, системно наблюдение, нови технологии). Ако дадено обработване отговаря на два или повече от тях, по правило е необходима DPIA.

За пекарна, която прехвърля поща и файлове, DPIA обикновено не е задължителна. За лекарска практика, която прехвърля комуникацията с пациенти към нова услуга, или за училище с данни за ученици, положението е различно. Дори когато не е задължителна, кратък анализ на риска може да бъде полезен. Преценката от урок 1.5 е добра отправна точка за това. Ако вече имате DPIA за старата услуга, актуализирайте я.

Декларацията за поверителност

В своята декларация за поверителност информирате субектите на данни (клиенти, кандидати за работа, посетители на уебсайта) как обработвате техните данни (чл. 13 и 14). В нея се посочват, наред с другото, получателите или категориите получатели и евентуалните предавания извън ЕИП. Ако е пишело „ние използваме услуги на компании в Съединените щати на основание EU-U.S. Data Privacy Framework“, адаптирайте това. Не променяйте нищо, което не отговаря на истината: посочвайте само това, в което сте напълно сигурни въз основа на споразумението за обработване на данни и списъка на подизпълнителите.

Нарушения на сигурността на данните: знайте на кого се обаждате

След прехода доставчикът Ви се е променил, а заедно с него и процедурата при нарушение на сигурността на данните. Включете в процедурата си:

• адреса за контакт на новия доставчик за инциденти със сигурността;
• срока, в който доставчикът Ви уведомява съгласно споразумението за обработване на данни;
• кой във Вашата организация решава дали да се подаде уведомление, тъй като уведомяването на надзорния орган трябва да стане в срок до 72 часа от установяването (чл. 33);
• къде водите регистъра на нарушенията на сигурността на данните: и нарушенията, които не е нужно да докладвате, трябва да документирате вътрешно (чл. 33, параграф 5).

Приключване при старата услуга

Прекратете старата услуга едва след като всичко работи добре в продължение на няколко седмици (урок 3.3). След това:

1. Последна проверка: всичко прехвърлено ли е? Има ли споделени папки, формуляри или връзки, които все още сочат към старата услуга?
2. Експортирайте последен архив за собствената си документация, ако желаете да го запазите (например поща, която попада под задължението за съхранение). Съхранявайте го криптирано.
3. Изтрийте акаунтите и данните при старата услуга, или възложете тяхното изтриване. Член 28, параграф 3, буква ж) задължава стария обработващ лични данни да изтрие или върне данните след приключването, по Ваш избор. Поискайте потвърждение за изтриване и го съхранявайте заедно с регистъра си.
4. Отстранете връзките: връзки тип „влизане с“ при други услуги, приложения с достъп, и записи за проверка във Вашия DNS (урок 4.3).
5. Адаптирайте регистъра, декларацията за поверителност и процедурата за нарушения на сигурността на данните (вижте по-горе).

Оценка

Планирайте кратка оценка с посланиците на прехода (урок 9.1) един месец след смяната. Какво мина добре, какво не, какво бихте направили по различен начин следващия път? Запишете и плана за изход за новата услуга (урок 8.2) и отбележете в календара дата, на която да го тествате ежегодно.

На практика: как изглежда това при доставчик

Много доставчици имат функция за изтегляне на Вашите данни или за изтриване на акаунта Ви. При WebOké в ръководството на WebOké е описано как да изтеглите или да поискате изтриване на данните си. При големи американски услуги това обикновено се нарича „export data“ и „delete account“, а администраторът на акаунт на организация разполага със собствени функции за експортиране. Проверете предварително колко дълго услугата съхранява данни в резервни копия след изтриване; това обикновено е посочено в декларацията за поверителност или в споразумението за обработване на данни.

Финален контролен списък

• [ ] Всички компоненти от инвентаризацията (урок 3.1) са налице в новата среда и са проверени
• [ ] Сключени и съхранени споразумения за обработване на данни с новия(те) доставчик(ци) (урок 9.2)
• [ ] Регистърът на дейностите по обработване е актуализиран: получатели, предавания, сигурност, срокове за съхранение
• [ ] Оценена е необходимостта от DPIA (нужна или не, и защо, документирано)
• [ ] Декларацията за поверителност е адаптирана
• [ ] Процедурата за нарушения на сигурността на данните е с нови данни за контакт
• [ ] Старата услуга е прекратена, данните са изтрити, потвърждението е съхранено
• [ ] Връзките и старите DNS записи са премахнати
• [ ] Резервно копие на новата среда е настроено и тествано (урок 8.1)
• [ ] Планът за изход за новата услуга е документиран (урок 8.2)
• [ ] Проведена е оценка

Резюме

• След прехода актуализирайте регистъра на дейностите по обработване: получатели, предавания, сигурност и срокове за съхранение.
• Изключението за по-малко от 250 служители на практика рядко важи; предложение за неговото облекчаване все още не е влязло в сила (към ноември 2026 г.).
• DPIA е задължителна при висок риск (списък на КЗЛД, европейски критерии); за обичайни офисни данни обикновено не е.
• Адаптирайте декларацията си за поверителност и процедурата за нарушения на сигурността на данните.
• Накарайте старата услуга да изтрие данните Ви и поискайте потвърждение.

Тест

Задача

Задача E9.3: Завършете преминаването си. За три обработвания от Вашата организация актуализирайте редовете в регистъра на дейностите по обработване (получатели, предаване, сигурност, срок за съхранение), прецените с помощта на списъка на КЗЛД и европейските критерии дали е необходима DPIA, и попълнете финалния контролен списък.

Допълнително четене

Стъпките в тези статии важат за услугите на WebOké; при други доставчици процесът е подобен.

• Ръководство на WebOké 11.7: Поверителност: изтегляне или изтриване на Вашите данни
• Nextcloud наръчник 16.7: Колега напуска фирмата: безопасно поемане на файлове, календар и споделени папки
• Nextcloud наръчник 15.13: Често задавани въпроси за сигурността и поверителността
• Регламент (ЕС) 2016/679 (ОРЗД), членове 13, 14, 28, 30, 33 и 35, на EUR-Lex
• Решение относно списъка на обработванията на лични данни, за които DPIA е задължителна (нидерландски надзорен орган AP, Stcrt. 2019), на wetten.overheid.nl (BWBR0042812); имайте предвид, че това е публикация на нидерландския надзорен орган (AP), а не на надзорния орган на Вашата страна
• Комисия за защита на личните данни, теми „Регистър на дейностите по обработване“ и „DPIA“: https://www.autoriteitpersoonsgegevens.nl