Datový audit a mapa zpracování (mapování stavu)

Kdy použít

Na začátku, dřív než napíšete záznamy, doložky nebo zpracovatelské smlouvy. Nemůžete doložit soulad u zpracování, o kterém nevíte. Výstup auditu je podklad pro záznam o činnostech podle čl. 30, pro rozhodnutí, kde je potřeba DPIA, a pro seznam zpracovatelů, se kterými uzavřít smlouvu podle čl. 28.

Na co si dát pozor

Projděte všechna oddělení a systémy, ne jen ta zjevná: personalistika a mzdy, účetnictví, obchod a CRM, marketing, e-shop, kamery, IT logy, docházka, recepce. Nezapomeňte na papír, zálohy, sdílené disky a nástroje pořízené mimo IT. U každé činnosti přiřaďte právní základ podle čl. 6 (a u citlivých údajů výjimku podle čl. 9), ne obecně „souhlas”. Zvlášť označte zvláštní kategorie údajů (zdraví, biometrie) a činnosti s vysokým rizikem, ty míří na DPIA. U každého externího nástroje ověřte, kdo je zpracovatel a kam se data ukládají (třetí země).

Vzor

A. Auditní dotazník (na každé oddělení a systém)

1. Jaké osobní údaje a o kom v této agendě zpracováváte? [DOPLNIT]
2. Za jakým účelem a z jakého právního titulu (čl. 6, popř. čl. 9)? [DOPLNIT]
3. Odkud údaje pocházejí a komu je předáváte (interně, zpracovatelům, úřadům)? [DOPLNIT]
4. V jakých systémech a kde fyzicky leží (server, cloud, papír, zálohy)? Jde některý do třetí země? [DOPLNIT]
5. Jak dlouho je uchováváte a podle čeho tu dobu určujete? [DOPLNIT]
6. Jak jsou zabezpečeny a kdo k nim má přístup? [DOPLNIT]
7. Je to rozsáhlé, citlivé nebo systematické monitorování? (Pokud ano, kandidát na DPIA.) [DOPLNIT]

B. Mapa zpracování (přehledová tabulka)

Činnost a účel	Kategorie subjektů a údajů	Právní základ (čl. 6, popř. 9)	Příjemci a zpracovatelé	Předání do 3. země	Doba uložení	Vysoké riziko → DPIA?
Mzdová agenda	zaměstnanci a jejich identifikační, mzdové a zdravotní údaje	právní povinnost (písm. c)	mzdová účetní, ČSSZ, zdravotní pojišťovny	ne	dle zákona (mzdové listy 30 let)	ne
[DOPLNIT činnost]	[DOPLNIT]	[DOPLNIT]	[DOPLNIT]	[ano/ne]	[DOPLNIT]	[ano/ne]

Tabulku doplňte řádek po řádku za každou zmapovanou činnost. Pro reálný provoz ji přeneste do tabulkového procesoru, ať se dá filtrovat a udržovat.

Jsi seniorní český právník se specializací na ochranu osobních údajů. Piš česky, věcně, bez vaty.

ÚKOL: Připrav mi datový audit a mapu zpracování, kterou zmapuji, co, proč a čím zpracovávám.

MOJE SITUACE (doplň, co platí, zbytek smaž):
- Organizace a obor: [DOPLNIT]
- Oddělení a systémy, které mám projít: [DOPLNIT]

MUSÍ POKRÝT tyto body:
1. Auditní dotazník na každé oddělení: jaké údaje a o kom, účel a právní titul (článek 6, popř. 9), zdroje a příjemci, systémy a umístění včetně třetích zemí, doba uložení, zabezpečení, zda jde o rozsáhlé či citlivé zpracování
2. Přehledová tabulka: činnost, kategorie subjektů a údajů, právní základ, příjemci, třetí země, doba uložení, příznak vysokého rizika pro DPIA

PRAVIDLA:
- Vycházej jen z bodů výše a z mé situace. Nevymýšlej si paragrafy ani jejich obsah a neuváděj číslo paragrafu, které ti nedám.
- Kde mi údaj chybí, nech na tom místě výrazné [DOPLNIT: ...], nic si nedomýšlej.
- Piš srozumitelně, ne úřednickým jazykem.

VÝSTUP rozděl na dvě části:
A) Hotový text k použití.
B) Než ho použiju: co si mám doplnit nebo ověřit a co závisí na mé konkrétní situaci.