TL;DR
W rejestrze czynności: katalog 35 środków z art. 32 do zaznaczenia i uzupełnienia, 26 rodzajów danych pod sześcioma kategoriami prawnymi oraz państwo docelowe wybierane z listy, która wskazuje jego status według rozdziału V. Żadne z tych trzech nie decyduje za Ciebie.
Problem: to samo zdanie, przy każdej czynności
Kto prowadzi rejestr z art. 30 dla kilku administratorów, zna tę scenę: pole środków bezpieczeństwa to pusta ramka, a w środku za każdym razem przepisuje się to samo. Kontrola dostępu, kopie zapasowe, antywirus. Potem kolejna czynność i od nowa. Nie chodzi tylko o czas: środek napisany w pośpiechu jest napisany źle, a podczas kontroli niespójna lista między czynnościami tego samego administratora rzuca się w oczy jako pierwsza.
Katalog, który podpowiada, a niczego nie zamyka
35 środków ujęto w dziewięciu grupach zakotwiczonych w artykule, który je wymienia: kontrola dostępu, szyfrowanie i pseudonimizacja, kopie zapasowe, ciągłość, ochrona sieci, urządzenia, środki organizacyjne, rejestrowanie, weryfikacja i usuwanie. Zaznacza się je, pojawiają się jako etykiety na karcie, a pole tekstowe zostaje obok na to, co w konkretnym przypadku jest inne. Żaden już wypełniony rejestr nie traci ani linijki.
- Podpowiedzi na górze wynikają z samej czynności: szczególne kategorie wysuwają szyfrowanie w spoczynku, rejestrowanie dostępu i silne uwierzytelnianie; przekazanie poza UE przywołuje środki uzupełniające omawiane po wyroku Schrems II.
- Wśród pozycji jest okresowa weryfikacja skuteczności, której wymaga art. 32 ust. 1 lit. d, a której prawie żaden rejestr nie odnotowuje.
- Eksport CSV łączy zaznaczone środki z tekstem swobodnym: kto otworzy plik, zobaczy to samo, co na ekranie.
Kategorie danych: sześć prawnych zostaje, poniżej pojawia się szczegół
Sześć pól — dane zwykłe, szczególne kategorie, wyroki skazujące, małoletni, biometryczne, genetyczne — mówi, na jakiej podstawie dane są przetwarzane, i służy powiązaniu z podstawą z art. 6 oraz warunkiem z art. 9 ust. 2. Nie mówią, jakie to dane. Teraz pod każdą z nich jest 26 rodzajów opisowych, plus pole na własne. Przyspiesza to wypełnianie, ale przede wszystkim pomaga odpowiedzieć osobie, która pyta, jakie dane jej dotyczą, jak wymaga art. 15 ust. 1 lit. b.
«Stany Zjednoczone są adekwatne» to zdanie, które szkodzi najbardziej
W karcie przekazania — i w karcie podmiotu przetwarzającego — państwo nie jest już polem tekstowym. Wybiera się je z listy pogrupowanej według statusu, a poniżej pojawia się, co to oznacza. Kluczowy jest przypadek adekwatności częściowej: decyzja dotycząca Stanów Zjednoczonych obejmuje wyłącznie organizacje certyfikowane w ramach Data Privacy Framework i tylko zadeklarowane operacje; decyzja dotycząca Kanady — wyłącznie organizacje komercyjne podlegające PIPEDA. Poza tym potrzebny jest instrument z art. 46 wraz z oceną skutków przekazania.
Czego program nie robi
Nie rozstrzyga, czy środki są odpowiednie: odpowiedniość zależy od ryzyka, stanu wiedzy technicznej i kosztów (art. 32 ust. 1), a ta ocena należy do osoby podpisującej. Nie wyprowadza kwalifikacji prawnej danych: jeśli wskażesz dane o zdrowiu bez zaznaczenia «szczególnych kategorii», formularz to zasygnalizuje i na tym poprzestanie. I nie zastępuje wykazu Komisji dotyczącego decyzji o adekwatności, który pozostaje źródłem do sprawdzenia: przypadki zmienne — Zjednoczone Królestwo i Stany Zjednoczone — noszą odpowiednie oznaczenie.
Wszystkie trzy zmiany wynikają z uwagi otrzymanej podczas bezpłatnego okresu próbnego. Jeśli coś Cię spowalnia w pracy z platformą, warto o tym napisać: tak właśnie rzeczy się poruszają.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
