Cartografierea prelucrarilor de date cu caracter personal

Toti operatorii din sistemul public, persoanele imputernicite de operator, precum si operatorii din sistemul privat cu peste 250 de angajati, au obligatia cartografierii prelucrarilor de date cu caracter personal efectuate, raportat la prevederile art. 30 din Regulamentul General privind Protectia Datelor.
Chiar si operatorii din sistemul privat cu mai putin de 250 de angajati au obligatia cartografierii prelucrarilor in cazurile in care prelucrarea pe care o efectueaza este susceptibila sa genereze un risc pentru drepturile si libertatile persoanelor vizate, in cazul in care prelucrarea nu este ocazionala sau prelucrarea include categorii speciale de date ori date cu caracter personal referitoare la condamnari penale si infractiuni.
in acest sens:
Pentru a evalua in mod eficient impactul RGPD asupra activitatii entitatii, este necesara identificarea prelucrarilor de date cu caracter personal efectuate si pastrarea evidentei activitatilor de prelucrare.
Pentru a avea o evidenta completa si exacta a prelucrarilor de date cu caracter personal efectuate si pentru a raspunde noilor exigente, trebuie identificate, in prealabil, cu precizie:
- diferitele prelucrari de date cu caracter personal;
- categoriile de date cu caracter personal prelucrate;
- scopurile urmarite prin operatiunile de prelucrare a datelor;
- persoanele care prelucreaza aceste date;
- fluxurile de date, indicAnd originea si destinatia datelor, in special pentru a identifica eventualele transferuri de date in afara Uniunii Europene.
Evidenta pastrata de operator va cuprinde:
(a) numele si datele de contact ale operatorului si, dupa caz, ale operatorului asociat, ale reprezentantului operatorului si ale responsabilului cu protectia datelor;
(b) scopurile prelucrarii;
(c) o descriere a categoriilor de persoane vizate si a categoriilor de date cu caracter personal;
d) categoriile de destinatari carora le-au fost sau le vor fi divulgate datele cu caracter personal, inclusiv destinatarii din tari terte sau organizatii internationale;
(e) daca este cazul, transferurile de date cu caracter personal catre o tara terta sau o organizatie internationala, inclusiv identificarea tarii terte sau a organizatiei internationale respective si, in cazul transferurilor mentionate la articolul 49 alineatul (1) al doilea paragraf din Regulamentul General privind Protectia Datelor, documentatia care dovedeste existenta unor garantii adecvate;
(f) acolo unde este posibil, termenele-limita preconizate pentru stergerea diferitelor categorii de date;
(g) acolo unde este posibil, o descriere generala a masurilor tehnice si organizatorice de securitate mentionate la articolul 32 alineatul (1) din Regulamentul General privind Protectia Datelor.

Sursa: DataProtection.ro