Част 9: Прословутите регистри не са нищо страшно

Според Регламента писмен регистър на дейностите по обработване на данните трябва да поддържа всеки администратор или обработващ лични данни на физически лица, но е предвидено следното изключение: той не е задължителен за предприятия или дружества с по-малко от 250 души служители. Има и изключение от изключението: регистър все пак ще е задължителен и за тези малки фирми, ако "има вероятност извършеното от тях обработване да породи риск за правата и свободите на субектите на данните", ако обработването не е спорадично или включва "чувствителни данни" или лични данни, свързани с присъди и нарушения. 

Очевидно при списването на законопроекта за изменение на ЗЗЛД и привеждането му в съотвествие с регламента, в Комисията за защита на личните данни са приели, че риск за правата на субектите на данни винаги има. И затова в ЗИД на ЗЗЛД е записано, че регистри трябва да водят всички администратори. Какво ще приеме парламентът обаче тепърва ще стане ясно.

Да видим какво представлява този регистър. 

Той не е нищо ново - такива регистри представяха и поддържаха и досега администраторите на лични данни. Трябва да е писмен - на хартиен или електронен носител. И да съдържа следните данни:

1.    наименованието на администратора и координатите за връзка с него. А сега вече ще трябва да се посочват и координатите на длъжностното лице по защита на данните, ако има такова,

2.    целите на обработването на данните;
3.   категориите получатели, пред които са или ще бъдат разкрити личните данни, включително получателите в трети държави или международни организации;
4.    описание на категориите субекти на данни и на категориите лични данни;
5.    когато е приложимо, използването на профилиране;
6.  когато е приложимо, категориите предаване на лични данни на трета държава или международна организация;
7.    посочване на правното основание за операцията по обработване, включително предаването на данни, за която са предназначени личните данни;
8.  когато е възможно, предвидените срокове за изтриване на различните категории лични данни;
9.  когато е възможно, общо описание на техническите и организационните мерки за сигурност. 

Това е задължителното съдържание. Досега имаше практика да се водят по няколко различни регистри: отделно  за персонала, отделно за контрагентите, отделно за чувствителните данни - ако има такива, отделно за видеонаблюдението.  Сега обаче в закона се говори за един регистър с "всички категории дейности по обработване".

Няма задължителна форма на регистъра - не са "спуснати" указания как трябва да бъде оформен, важното е да съдържа задължителната информация. Но трябва да се поддържа в писмен вид, "включително в електронен формат", казва законът.

И още нещо: при поискване администраторът и обработващият лични данни трябва да са в състояние да предоставят достъп до регистрите си на КЗЛД.