På den här sidan
Registerförteckningen enligt artikel 30 i GDPR är en skriftlig översikt över vilka personuppgifter ni behandlar, varför och hur de skyddas. Den är grunden för resten av dataskyddsarbetet och ska kunna lämnas till IMY på begäran.
Vad är en registerförteckning?
En förteckning över verksamhetens behandlingar av personuppgifter - till exempel lönehantering, rekrytering, kundregister, nyhetsbrev och kameraövervakning. Den ska finnas skriftligt, vilket även inkluderar elektroniskt format, och hållas tillgänglig för IMY.
Vem måste ha en?
Huvudregeln är att alla personuppgiftsansvariga och personuppgiftsbiträden ska föra en registerförteckning. Det finns ett undantag för verksamheter med färre än 250 anställda, men det gäller inte om behandlingen sannolikt medför en risk för de registrerade, om den inte är tillfällig eller om den omfattar känsliga personuppgifter eller uppgifter om lagöverträdelser. Eftersom de flesta har löpande behandlingar, som personaladministration eller kundregister, behöver i praktiken nästan alla verksamheter en förteckning - åtminstone för de behandlingarna.
Vad ska den innehålla?
Som personuppgiftsansvarig ska förteckningen innehålla:
- Namn och kontaktuppgifter för den personuppgiftsansvarige och i förekommande fall dataskyddsombudet.
- Ändamålen med behandlingen.
- Kategorier av registrerade (till exempel anställda, kunder) och kategorier av personuppgifter.
- Kategorier av mottagare, inklusive mottagare i tredjeland.
- Eventuella överföringar till tredjeland och vilka skyddsåtgärder som används.
- Om möjligt de planerade tidsfristerna för radering.
- Om möjligt en allmän beskrivning av de tekniska och organisatoriska säkerhetsåtgärderna.
Personuppgiftsansvarig eller personuppgiftsbiträde
Som personuppgiftsbiträde - till exempel en IT-leverantör eller en lönebyrå som behandlar uppgifter för kunders räkning - ska ni föra en egen, enklare förteckning: vilka ansvariga ni arbetar för, vilka kategorier av behandlingar ni utför, eventuella tredjelandsöverföringar och en beskrivning av säkerhetsåtgärderna. Många verksamheter är båda: ansvariga för sin egen personal och sina kunder, och biträden i sina kunduppdrag.
Så håller ni den uppdaterad
En förteckning som tagits fram en gång och sedan glömts bort ger lite. Gör den till en del av löpande rutiner:
- Utse en ansvarig och gå igenom förteckningen minst en gång per år.
- Uppdatera när ni inför ett nytt system, en ny leverantör eller ett nytt ändamål.
- Koppla den till leverantörsförteckningen, så att biträden och tredjelandsöverföringar stämmer.
- Använd den som utgångspunkt för riskbedömningar och konsekvensbedömningar.
Vanliga misstag
Vanliga brister är att förteckningen beskriver system i stället för ändamål, att gallringstider saknas eller är formulerade som "så länge det behövs", att molntjänster med lagring utanför EU/EES inte finns med, och att förteckningen inte stämmer med informationen i integritetspolicyn. Läs förteckningen och integritetspolicyn bredvid varandra - de ska beskriva samma verklighet.
Vill ni se det med er egen verksamhet?
Att komma igång som kund tar några minuter. Ni väljer regelverk, svarar i den takt ni hinner och bygger efterlevnaden steg för steg - utan konsultarvode.