Nëse pyesni një inspektor të Komisionerit se nga nis, përgjigjja është pothuajse gjithmonë e njëjta: më tregoni regjistrin e veprimtarive të përpunimit. ROPA është harta e gjithçkaje që një organizatë bën me të dhënat personale. Pa të, çdo pyetje tjetër - cila është baza juaj ligjore, sa gjatë e ruani këtë, me kë e ndani, ku shkon - nuk ka ku të mbështetet. Me të, një inspektim bëhet bisedë e strukturuar dhe jo gjueti në errësirë.

Çfarë kërkon ligji

Neni 27 i Ligjit 124/2024 u kërkon kontrolluesve, dhe përpunuesve brenda sferës së tyre, të mbajnë një regjistër me shkrim të veprimtarive të përpunimit. Ky është ekuivalenti shqiptar i Nenit 30 të GDPR, dhe numërimi vlen vënë re me kujdes: materialet e shkruara për një audiencë GDPR shpesh citojnë Nenin 30, i cili sipas ligjit shqiptar rregullon diçka krejt tjetër.

"Me shkrim" përfshin formën elektronike, dhe regjistri duhet t'i vihet në dispozicion Komisionerit sipas kërkesës. Ky nuk është këshillim. Është detyrim i përhershëm që ekziston pavarësisht nëse dikush ka kërkuar ndonjëherë ta shohë dokumentin, dhe mungesa e tij është në vetvete një gjetje që inspektori mund ta bëjë mëngjesin e parë.

Çfarë duhet të përmbajë vërtet një zë i regjistrit

Një zë i dobishëm nuk është etiketë njërreshtëshe. Për çdo veprimtari përpunimi regjistri duhet të kapë, si minimum:

  • Kontrolluesin, me bashkëkontrollues dhe përpunues kur është e rëndësishme, dhe pikat e kontaktit përfshirë nëpunësin e mbrojtjes së të dhënave ose personin që e ka veprimtarinë në ngarkim. Nëse një kontrollues i huaj mbështetet në një përfaqësues shqiptar, ai caktim bën pjesë këtu.
  • Qëllimin, të thënë konkretisht. "Administrimi i marrëdhënies së punës" është qëllim; "punë burimesh njerëzore" nuk është. Kur një veprimtari u shërben disa qëllimeve, secili emërtohet, sepse secili mund të mbartë bazën e vet ligjore dhe afatin e vet të ruajtjes.
  • Bazën ligjore, të lidhur me një bazë të caktuar: pëlqimi, ekzekutimi i kontratës, detyrimi ligjor, interesat jetike, detyra me interes publik, ose interesat legjitime. Kur baza është interesi legjitim, zëri duhet të tregojë vlerësimin e balancimit që e justifikon. Kur përfshihen të dhëna të kategorive të veçanta, zëri duhet të emërtojë edhe kushtin shtesë që e lejon.
  • Kategoritë e subjekteve: punonjës, kandidatë, klientë, vizitorë të faqes, personel i furnitorëve, fëmijë, e kështu me radhë.
  • Kategoritë e të dhënave personale, të përshkruara aq saktë sa të zbulojnë rrezikun. "Kontakte, numër identifikimi, llogari bankare, pagë, vlerësime performance, të dhëna të lejeve shëndetësore" i thotë lexuesit shumë më tepër se "të dhëna punonjësish", dhe kjo është dallimi mes një zëri që inspektori e pranon dhe një zëri që e vë në pyetje.
  • Marrësit: departamentet e brendshme, përpunuesit si zyrat e pagave, strehuesit cloud dhe platformat e emailit, si dhe autoritetet publike si administrata tatimore ose organi i sigurimeve shoqërore.
  • Transfertat ndërkombëtare: nëse të dhënat dalin nga Shqipëria, drejt cilit vend dhe marrës, dhe mbi çfarë garancie sipas Neneve 39-42, ekuivalenti shqiptar i Neneve 44-49 të GDPR. Një fushë bosh këtu është pohim se asgjë nuk del nga vendi. Sigurohuni që të jetë e vërtetë, sepse një mjet SaaS i strehuar në SHBA është transfertë.
  • Afatin e ruajtjes: periudhën konkrete, ose kriterin që e përcakton, si "kohëzgjatja e marrëdhënies së punës plus afati ligjor i parashkrimit". Jo "sa të jetë e nevojshme", që nuk dokumenton asgjë.
  • Masat e sigurisë, të përshkruara në një nivel që tregon se janë reale: kontrolle aksesi, enkriptim në qetësi dhe në transit, leje sipas rolit, regjistrim, rezervim dhe rikuperim.

Kjo është anatomia e një rreshti. Regjistri janë shumë rreshta të tillë, të mbajtur aktualë si çështje rutine.

Një shembull i punuar: pagat

Abstraksionet janë të lehta për t'u miratuar me kokë dhe të vështira për t'u riprodhuar, prandaj ja një veprimtari e vetme e dokumentuar ashtu si e do inspektori.

  • Veprimtaria: administrimi i pagave. Përgjegjësi: Drejtuesi i Burimeve Njerëzore. Mbikëqyrja: DPO-ja.
  • Qëllimet: llogaritja dhe pagesa e rrogave; mbajtja dhe derdhja e tatimit mbi të ardhurat dhe e kontributeve shoqërore e shëndetësore; nxjerrja e fletëpagesave dhe raportimi ligjor.
  • Baza ligjore: ekzekutimi i kontratës së punës për pagesën e rrogës; përmbushja e detyrimit ligjor për raportimin tatimor dhe të kontributeve. Dy baza, sepse të njëjtat të dhëna u shërbejnë dy qëllimeve me rregulla të ndryshme.
  • Subjektet: punonjësit aktualë, dhe ata të larguar së fundi brenda afatit të ruajtjes.
  • Kategoritë e të dhënave: emri, numri i identifikimit, adresa, llogaria bankare, paga bruto dhe neto, tatimet e mbajtura, kontributet, dhe kur përpunohen raportet mjekësore, të dhënat e mungesave shëndetësore, që janë kategori e veçantë dhe lejohen sipas kushtit të së drejtës së punës.
  • Marrësit: ofruesi i jashtëm i pagave si përpunues sipas marrëveshjes me shkrim; banka që kryen transfertat; administrata tatimore dhe organet e sigurimeve.
  • Transfertat ndërkombëtare: asnjë, nëse sistemi strehohet në Shqipëri ose në një destinacion të mbuluar nga vendimi i përshtatshmërisë i Komisionerit. Nëse ofruesi streh diku tjetër, transferta dhe garancia e saj emërtohen këtu dhe nuk lihen bosh.
  • Ruajtja: periudha e kërkuar nga legjislacioni tatimor dhe i punës pas përfundimit të marrëdhënies, pastaj fshirje ose anonimizim.
  • Siguria: akses i kufizuar për burimet njerëzore dhe financën sipas nevojës për të ditur; enkriptim në transit dhe në qetësi; autentifikim shumëfaktorësh; regjistrim auditi; rezervime të rregullta.

Vini re sa nga kjo e di saktësisht vetëm Drejtuesi i Burimeve Njerëzore, dhe sa shpejt vjetërohet. Një ofrues i ri pagash, një ndryshim banke, një raport i ri ligjor, dhe tri fusha janë të vjetruara. Ky prishje është tema e vërtetë e këtij artikulli.

Pse dështon tabela vjetore

Vështirësia me regjistrin rrallë është ndonjë zë i veçantë. Është që informacioni ndodhet në koka të ndryshme. Burimet njerëzore dinë pagat dhe rekrutimin; marketingu di listën e emailit dhe etiketat e analitikës; IT-ja di sistemet dhe shitësit; financa di arkëtimet dhe arkivimin. Një DPO që e ndërton regjistrin vetëm, duke intervistuar të gjithë një herë në vit, përfundon me një fotografi që vjetërohet në çastin që adoptohet një mjet i ri ose ndërrohet një ofrues.

Kështu tabela prishet. Është e saktë ditën që bëhet, në heshtje e gabuar brenda pak muajsh, dhe më keq se e padobishme në inspektim, sepse dokumenton një realitet që nuk ekziston më. Pohon me bindje përpunime që organizata i ka ndalur, ndërsa harron tri mjetet që nisi t'i përdorë në pranverë. Një inspektor që kap një rresht të vjetruar pushon së besuari pjesën tjetër të dokumentit, dhe regjistri që synonte të tregonte kontroll tregon mungesën e tij.

Modeli i rifreskimit vjetor nuk dështon sepse njerëzit janë të pakujdesshëm. Dështon sepse shkon kundër mënyrës si ndryshojnë vërtet organizatat: vazhdimisht, brenda njësive, pa e kaluar çdo ndryshim nga DPO-ja.

Si e trajton PrivaxisOS

Moduli ROPA e trajton regjistrin si proces të vazhdueshëm dhe të shpërndarë pune, jo si punë vjetore. Çdo veprimtari përpunimi është një zë i strukturuar që kap përgjegjësin, qëllimin, bazën ligjore, kategoritë e të dhënave, subjektet, mbledhjen dhe ruajtjen, përpunuesit, afatin, sigurinë dhe transfertat ndërkombëtare - e gjithë anatomia e mësipërme, në fusha dhe jo në tekst të lirë, që asgjë të mos humbasë në heshtje.

Pronësia është e shpërndarë. DPO-ja mban mbikëqyrjen e gjithë regjistrit, por detajet mbahen aty ku është dija. Çdo njësi cakton një person kontakti: Drejtuesi i Burimeve Njerëzore mban veprimtaritë e tij, drejtuesi i marketingut të vetat, IT-ja sistemet dhe zërat e shitësve. Njerëzit që e drejtojnë një proces mbajnë regjistrimin e tij, sepse vetëm ata e dinë ditën që ndryshon. DPO-ja pushon së qeni pengesë që riintervistoon gjithë organizatën dhe bëhet shqyrtuesi dhe autoriteti, jo autori i vetëm.

Një proces formal rregullon çdo ndryshim. Çdo zë kalon nëpër gjendje të përcaktuara, nga draft në dorëzuar në miratuar. Personi i kontaktit harton ose ndryshon një veprimtari dhe e dorëzon; DPO-ja e shqyrton dhe ose e miraton, duke e mbyllur zërin si versionin autoritar, ose e kthen me arsye. Asgjë nuk hyn në regjistrin zyrtar pa u shqyrtuar, dhe asnjë ndryshim nuk mbetet i padukshëm. Regjistri mbart një gjurmë përgjegjshmërie: kush e ka çdo veprimtari, kush e ndryshoi së fundi, dhe kush e nënshkroi.

Shqyrtimi është i planifikuar, jo i improvizuar. Ciklet e shqyrtimit u kërkojnë personave të kontaktit të konfirmojnë ose përditësojnë zërat e tyre, duke u mbyllur me nënshkrimin përfundimtar, kështu që "aktual" është gjendje e mbajtur dhe jo supozim shprese. Dhe kur Komisioneri pyet, i gjithë regjistri eksportohet për paraqitje rregullatore ose auditim të brendshëm, pa vrap dhe pa rindërtim.

Çfarë kontrollon vërtet një inspektor

Inspektori rrallë i lexon të gjithë rreshtat. Ai heton. Zgjedh një veprimtari që e sheh nga jashtë - kamerën te dera, buletinin që i dërguat javën e kaluar, shpalljen e punës në faqen tuaj - dhe kërkon të shohë zërin përkatës. Pastaj provon nëse dokumenti përputhet me realitetin: a ka kuptim baza ligjore për qëllimin, a ka afat ruajtjeje që është afat i vërtetë, a janë listuar përpunuesit që dukshëm i përdorni, dhe a e pranon fusha e transfertave mjetin cloud logoja e të cilit ndodhet në ekranin tuaj të hyrjes?

Një regjistër që e kalon atë provë është ai ku zërat janë shkruar nga njerëzit që i drejtojnë proceset dhe janë mbajtur aktualë mes inspektimeve. Pikërisht këtë regjistër prodhon një model i shpërndarë dhe i qeverisur nga procesi, dhe pikërisht këtë nuk mund ta prodhojë një tabelë vjetore.

Një kontroll i shkurtër gatishmërie

A keni një inventar të vetëm e të plotë të veprimtarive tuaja të përpunimit? A emërton çdo zë një bazë ligjore dhe një afat ruajtjeje të vërtetë? A i mbajnë aktualë zërat e tyre njerëzit që drejtojnë çdo proces? A ka një shqyrtim dhe nënshkrim për të cilin dikush është përgjegjës? A do ta eksportonit regjistrin sot nëse Komisioneri e kërkonte? Nëse përgjigjja e ndershme është "kemi një tabelë diku", regjistri është detyrim dhe jo pasuri.