Töötlemisülevaate näidis: artikli 30 väljad ja näited

Kas otsite isikuandmete töötlemise registri näidist, mis vastab isikuandmete kaitse üldmääruse (GDPR) artiklile 30? Siin on kohandatav näidis koos väljade selgituste ja hüpoteetiliste näidetega. Töötlemise register on struktureeritud dokument, mis kirjeldab iga töötlemistoimingut koos eesmärgi, andmesubjektide ja andmete liikide, vastuvõtjate, säilituskriteeriumide ja turvameetmetega; see näidis lisab praktilise kontrollina ka õigusliku aluse. Andmekaitse Inspektsioon (AKI) selgitab ülevaate ülesehitust, kuid järelevalves küsitavate dokumentide järjekord sõltub asjast. Näidis ei muuda alla 250 töötajaga organisatsiooni automaatselt vabastatuks: mittejuhuslik, õigustele ohtu kujutav või artikli 9–10 andmeid hõlmav tegevus välistab selle tegevuse puhul artikli 30 lõike 5 erandi. Juhend annab kohandatava väljade tabeli, hüpoteetilised näited, kohandamisjuhise ja levinud vead. Registri õiguslikud nõuded on põhjalikult selgitatud meie artikli 30 juhendis.

Töötlemise registri mall: väljad

Järgmine tabel ühendab artikli 30 kohustuslikud väljad ja mõne kasuliku lisavälja. Märkige oma vormis selgelt, kumb on kumb:

Täidetud näide 1: personalihaldus

• Töötlemistoiming: Personalihaldus ja palgaarvestus
• Vastutav töötleja / kontakt: Näidis OÜ, personalijuht, dpo@naidis.ee
• Eesmärk: Töösuhte haldamine, töötasu maksmine, seadusest tulenevate kohustuste täitmine
• Õiguslik alus: Leping (art. 6 lg 1 p b) töösuhte osas; juriidiline kohustus (art. 6 lg 1 p c) maksu- ja tööõiguse osas; haigusandmete puhul art. 9 lg 2 p b
• Andmesubjektide liigid: Töötajad, endised töötajad, kandidaadid
• Isikuandmete liigid: Nimi, isikukood, kontaktandmed, kontonumber, palgaandmed; haigestumise korral terviseandmed (art. 9)
• Vastuvõtjad: Raamatupidamisteenuse pakkuja (volitatud töötleja), Maksu- ja Tolliamet, Tervisekassa, pensionifond
• Kolmandasse riiki edastamine: Kontrollida tegelikku juurdepääsu, tuge ja varukoopiaid; mitte järeldada üksnes tarnija aadressist
• Säilitustähtaeg: Täpsustada dokumentide liikide ja kohaldatava seaduse järgi; kandidaadiandmete säilitamine põhjendada eraldi
• Turvameetmed: Juurdepääsuõiguste haldus, krüpteerimine, logimine

Täidetud näide 2: e-poe kliendihaldus

• Töötlemistoiming: E-poe tellimuste ja kliendikonto haldamine
• Eesmärk: Tellimuste täitmine, arveldus, klienditugi
• Õiguslik alus: Leping (art. 6 lg 1 p b); raamatupidamise osas juriidiline kohustus (art. 6 lg 1 p c); uudiskirja osas nõusolek (art. 6 lg 1 p a)
• Andmesubjektide liigid: Kliendid, kontoga külastajad
• Isikuandmete liigid: Nimi, e-post, tarneaadress, telefon, ostuajalugu, makseandmed (osaliselt maksevahendaja juures)
• Vastuvõtjad: Maksevahendaja, kullerteenus ja e-kirjade platvorm; iga osalise roll kontrollida eraldi
• Kolmandasse riiki edastamine: Kui toimub edastamine kolmandasse riiki, märkida tegelik sihtriik, alus ja vajalik lisahindamine
• Säilitustähtaeg: Iga andmekategooria puhul määrata põhjendatud tähtaeg või kriteerium; arved ja konto andmed eristada
• Turvameetmed: HTTPS, juurdepääsuõigused, varukoopiad, maksete välistamine oma süsteemist

Pange tähele, et ühel töötlemistoimingul on sageli mitu õiguslikku alust eri osade jaoks ning eriliigilised andmed (tervis) nõuavad eraldi alust artikli 9 järgi. Just see nüanss jääb tühjas tabelimallis sageli kajastamata.

Kuidas näidist kohandada

Alusta protsesside kaardistamisest, mitte süsteemidest. Loetle organisatsiooni tegevused – personal, palk, kliendihaldus, turundus, IT-haldus, videovalve – ja koosta iga asjakohase eesmärgi kohta registririda. Register peab vastama küsimusele miks, mitte üksnes kus andmeid hoitakse.

Määra iga toimingu õiguslik alus eraldi kontrollina. Artikkel 30 ei nimeta seda eraldi kohustusliku registriväljana, kuid töötlemisel peab olema õiguspärane alus. Alus mõjutab ka seda, millised andmesubjekti õigused kohalduvad.

Seosta vastuvõtjad lepingutega. Iga tegelik volitatud töötleja vajab artikli 28 kohast lepingut või muud siduvat õigusakti; iga vastuvõtja ei ole volitatud töötleja. Register ja lepingud peavad omavahel kokku langema.

Märgi konkreetsed säilitustähtajad. Üksnes „nii kaua kui vaja” on sageli liiga ebamäärane. Määra võimaluse korral eri kategooriate kavandatud kustutamistähtajad või põhjendatud kriteeriumid ning kontrolli säilitamise piirangu juhendit.

Levinud vead

• Süsteemi kirjeldamine töötlemistoimingu asemel. Register lähtub eesmärkidest, mitte IT-süsteemidest.
• Puuduv õiguslik alus. Igal toimingul peab olema dokumenteeritud alus.
• Aegunud andmed. Uuendamata register on järelevalves väärtusetu.
• Ühtne säilitustähtaeg kõigile andmetele. Eri andmeliikidel on erinevad tähtajad.
• Registri ja lepingute lahknevus – registris nimetatud tegelike volitatud töötlejate jaoks puudub artikli 28 kohane leping või muu siduv liidu või liikmesriigi õigusakt.

Tabelarvutus võib olla sobiv püsiv lahendus, kui vastutus, juurdepääs ja muutuste ülevaatus on korras. Keerukama tööriista vajadust hinnake ROPA tarkvara valiku juures tegeliku töö järgi.

Täidetud näide 3: turundus ja veebianalüütika

Kolmas näide illustreerib töötlemistoimingut, mille õiguslik alus on kõige sagedamini vale.

• Töötlemistoiming: Turundus, uudiskiri ja veebianalüütika
• Eesmärk: Toodete ja pakkumiste tutvustamine, veebilehe kasutuse analüüs
• Õiguslik alus: Uudiskirja ja mittevajalike küpsiste osas nõusolek (art. 6 lg 1 p a); olemasolevatele klientidele sarnaste toodete pakkumise osas võib teatud tingimustel tugineda õigustatud huvile (art. 6 lg 1 p f)
• Andmesubjektide liigid: Uudiskirja tellijad, veebilehe külastajad, potentsiaalsed kliendid
• Isikuandmete liigid: Nimi, e-post, avamis- ja klõpsuandmed, IP-aadress, seadme- ja külastusandmed
• Vastuvõtjad: E-kirjade platvorm, veebianalüütika teenusepakkuja (volitatud töötlejad)
• Kolmandasse riiki edastamine: Tegelik sihtriik, edastamise alus ja vajalik lisahindamine kontrollida
• Säilitustähtaeg: Määrata eraldi kriteeriumid uudiskirja, küpsise ja analüütikaandmete jaoks
• Turvameetmed: Juurdepääsuõigused, nõusoleku tõendamise logi, pseudonümiseerimine analüütikas

Pange tähele, et sama toiming hõlmab mitut õiguslikku alust ja seob registri otse nõusolekuhalduse ja küpsiseribaga. See on koht, kus registri, privaatsuspoliitika ja nõusolekulahenduse omavaheline kooskõla muutub kriitiliseks: kõik kolm peavad kirjeldama sama töötlemist samamoodi.

Registri hooldamine ja versioonihaldus

Registri koostamine on üksnes algus – tegelik väärtus tekib selle hooldamisest. Määrake registrile selge omanik ja siduge ülevaatus muude tegevustega: uue teenusepakkuja kaasamisel kontrollige tema rolli, ajakohastage asjakohast registririda ning tagage tegeliku volitatud töötleja puhul artikli 28 kohane leping või muu siduv õigusakt, uue süsteemi kasutuselevõtul kontrollige andmevoogusid, seaduse muutumisel kohandage säilitustähtaegu. Hea tava on säilitada registri versioonid, et järelevalves saaks näidata, millal ja mida muudeti. Register ilma selge omanikuta vananeb kiiresti ja kaotab järelevalves oma kaitsva väärtuse.

Registri vorming: tabelarvutusest spetsiaalse tööriistani

Registri võib pidada eri vormingutes ja valik sõltub organisatsiooni suurusest ning töötlemistoimingute arvust. Tabelarvutus (näiteks üks rida töötlemistoimingu kohta) on hea lähtepunkt väikesele organisatsioonile, kellel on vähe toiminguid. Selle eelis on lihtsus ja madal kulu; puudus on see, et tabel vananeb kiiresti, seda on raske versioonida ja siduda teiste dokumentidega, ning suure hulga toimingute puhul muutub see raskesti hallatavaks.

Dokumendipõhine register sobib, kui iga töötlemistoiming vajab põhjalikumat kirjeldust, kuid ka see kannatab sama ajakohastamise probleemi all. Spetsiaalne andmekaitsetarkvara võib aidata hallata kinnitusi, seoseid ja ekspordi ajalugu. Ärge eeldage, et see seob volitatud töötleja lepingud, säilitustähtajad ja andmekaitsetingimused automaatselt õigesti; proovige toimivat näidet oma andmetega.

Sõltumata vormingust on määrav sisu täielikkus ja ajakohasus, mitte vorm. GDPR nõuab registri pidamist kirjalikult, sealhulgas elektrooniliselt, kuid ei näe ette kindlat vormingut ega tööriista. Valikul tasub lähtuda toimingute arvust, muutumissagedusest ja sellest, kui tihedalt register on seotud teiste dokumentidega.

Millal on ülevaade nõutav ka alla 250 töötajaga ettevõttes?

IKÜM artikli 30 lõige 5 ei anna kõigile väikestele ettevõtetele üldist vabastust. Hinnake erandit töötlemistoimingu kaupa: alla 250 töötajaga ettevõtte erand ei kohaldu toimingule, mis ei ole juhuslik, võib ohustada inimeste õigusi ja vabadusi või hõlmab artikli 9 eriliigilisi või artikli 10 süüteoandmeid. Need on erandit välistavad olukorrad, mitte tingimused, mis lubaksid registri koostamata jätta. Näiteks igakuine palgaarvestus ei ole juhuslik isegi siis, kui töötajaid on vähe. AKI töötlemisülevaate juhend rõhutab samuti tavapäraste töötaja- ja kliendiandmete pidevat töötlemist. Kui mõne eraldi harva esineva toimingu suhtes erandit kaalute, talletage põhjendus; ülejäänud toimingud vajavad siiski nõuetekohast ülevaadet.

Ärge taandage registrit ka sündmuste logiks. AKI selgitab, et artikkel 30 puudutab tegevuste ülevaadet, mitte iga üksiku päringu või faili avamise kronoloogilist loetelu. Palgaarvestus võib olla üks kirjeldatav tegevus, kuid selle eesmärgid, andmesubjektid, andmeliigid ja kustutamiskriteeriumid tuleb siiski piisavalt eristada. Teisalt võib üks tarkvarasüsteem teenindada palgaarvestust, töötajate värbamist ja kliendituge; nende koondamine üheks reaks „süsteem X” peidaks erinevad eesmärgid. Süsteemikaart võib aidata leida allikad, kuid ei asenda tegevuspõhist ülevaadet.

Eristage kohustuslikud ja organisatsiooni enda väljad

Vastutava töötleja seaduslik miinimum tuleb artikli 30 lõikest 1: vastutava töötleja ning vajaduse korral kaasvastutava töötleja, esindaja ja andmekaitsespetsialisti nimed ning kontaktandmed; eesmärgid; andmesubjektide ja andmete kategooriad; vastuvõtjate kategooriad; kolmandatesse riikidesse või rahvusvahelistele organisatsioonidele edastamise teave, sealhulgas artikli 49 lõike 1 teise lõigu erijuhul sobivate kaitsemeetmete dokumentatsioon; võimaluse korral eri andmekategooriate kavandatud kustutamistähtajad; ning võimaluse korral üldine turvameetmete kirjeldus. Õiguslik alus ei ole selles loetelus eraldi registriveerg. Käsitlus peab mujal olema õiguspärane, mistõttu aluse lisamine võib olla väga kasulik, kuid nimetage seda oma kontrollväljaks. Nii ei muutu praktiline näidis ekslikult väiteks, et määrus nõuab ühte konkreetset tabelit.

Volitatud töötleja ülevaate sisu on teistsugune. Artikli 30 lõige 2 nõuab tema enda ning nende vastutavate töötlejate ja vajaduse korral esindajate ning andmekaitsespetsialisti nimesid ja kontaktandmeid, kelle nimel ta tegutseb, iga vastutava töötleja nimel tehtava töötlemise kategooriaid, asjakohaseid kolmandatesse riikidesse või rahvusvahelistele organisatsioonidele edastamisi ja artikli 49 lõike 1 teise lõigu erijuhu kaitsemeetmete dokumentatsiooni ja võimaluse korral üldist turvameetmete kirjeldust. Kui pilveteenuse pakkuja töötleb kliendi andmeid kliendi juhiste järgi, ei pea ta kliendi eest ise välja mõtlema eesmärki ega õiguslikku alust. Samal ettevõttel võib olla eraldi vastutava töötleja ülevaade oma töötajate kohta. Roll selgub tegelikest otsustest, mitte faili pealkirjast.

Proovige malli kahe rolliga. OÜ peab oma töötajate tööaja üle arvestust ja majutab kliendi teenindusandmeid. Esimese tegevuse puhul määrab ta ise eesmärgi; teise puhul tuleb uurida kliendi juhiseid ning volitatud töötleja kokkulepet. Kui mõlemad on ühes failis, kasutage selget rolli- ja vastutava töötleja välja ning eraldi kohustuslike väljade vaateid. Pelk ühine kontaktide veerg ei taga, et klienditeenuse töötlemise kategooriad oleksid õigesti esitatud. Küsige teenuse omanikult, kas toimingu kirjeldus vastab päriselt osutatavale teenusele.

Täitke näited kontrollitavate eeldustega

Näidise palgaarvestusreas tuleb enne kasutamist lahutada mitu eesmärki. Töölepingu täitmine, seadusest tulenev maksuarvestus ja haigusandmete töötlemine ei saa automaatselt sama artikli 6 alust; terviseandmete korral uurige lisaks artikli 9 erandit ja kohaldatavat tööõigust. Endised töötajad ning kandidaadid ei ole tingimata sama säilitamisreegliga rühm. Näites esitatud võimalik säilitusaeg ei ole kõigi palgaandmete või kandidaatide üldine tähtaeg. Kirjutage välja konkreetne dokumentide liik, kohaldatav seadus, tähtaja algus ja erandid, seejärel vaadake säilitamise piirangu juhendit.

E-poe näites tuleb lepinguline tellimuse täitmine, raamatupidamiskohustus ja uudiskiri eristada ka siis, kui neid haldab üks klienditabel. Maksevahendaja või kuller võib olla iseseisev vastutav töötleja, volitatud töötleja või mõnes piiratud tegevuses teistsuguses rollis; ärge nimetage kõiki automaatselt alltöövõtjateks. Uudiskirja õiguslik alus ja nõusoleku küsimus sõltuvad täpsest sõnumist ning kehtivatest turundusreeglitest. E-poe konto sulgemine ei tähenda tingimata kõigi arveandmete kohe kustutamist, kuid ka arve säilitamise vajadus ei anna alust hoida kogu kliendiprofiili sama kaua. Kirjutage need piirid näites eraldi.

Välismaise teenuse puhul märkige tegelik juurdepääs, teenuse asukoht, saajariik ja edastamise alus, mitte pelk tarnija registriaadress. Kui kolmanda riigi edastamiseks kasutatakse tüüptingimusi, ei ole sõna „SCC” üksi lõplik vastus: kontrollige vajadust hinnata sihtriigi olusid ja lisameetmeid. Kui teenusepakkuja kinnitab, et andmed jäävad Euroopa Majanduspiirkonda, küsige ka kaugtoe ja varukoopiate kohta. Registrisse ei pea lisama kogu lepingut, kuid viide põhjendusele ja selle omanikule aitab hiljem näha, kas üleminek või teenuse muutus vajab uut kontrolli.

Kooskõlastage registririda teiste dokumentidega

Artikli 30 ülevaade on sisemine dokument, mis tuleb järelevalveasutusele nõudmisel kättesaadavaks teha. Andmekaitsetingimused selgitavad inimestele töötlemist artiklite 12–14 järgi; need ei ole lihtsalt registri avalik koopia. Registris võib olla turvameetmete üldkirjeldus ja sisemine omanik, mida avalikus teates ei avaldata. Vastupidi võib teates olla õiguste ja kaebuse esitamise teave, mida artikkel 30 registri kohustusliku väljana ei loetle. Võrrelge siiski eesmärke, andmete liike, saajaid ja säilitamise selgitust, et vastuolud ei jääks kahe teksti vahele.

Kui registririda nimetab e-posti platvormi, kontrollige, kas ta on just selle tegevuse puhul volitatud töötleja, kas kehtib artikli 28 leping või muu siduv õigusakt ning kas tegelik kasutus vastab dokumentidele. Samuti võib uue eesmärgi, suure riski või ulatusliku eriliigiliste andmete töötlemise puhul tekkida andmekaitsealase mõjuhinnangu küsimus. Ülevaade aitab seda küsimust märgata, kuid ei asenda mõjuhinnangut. AKI soovitabki kaardistamist seostada teiste dokumentide ajakohastamisega; see on praktiline töökorraldus, mitte iga registrirea kohustuslik lisa.

Muudatuse läbimängimine ja ülevaate väljastamine

Valige üks päris muudatus, näiteks uue palgaarvestusteenuse kasutuselevõtt. Enne käivitamist küsige, kas eesmärk jääb samaks, kas teenusepakkuja töötleb uut andmeliiki, kas tal tekib uus alltöötleja või kolmanda riigi kaugtoe võimalus ning kes saab andmetele ligi. Märkige, millised faktid on kinnitatud ja millised ootavad tarnija vastust. Kui teenus asendab vana, kirjeldage vana keskkonna andmete tagastamist või kustutamist; kaks paralleelset koopiat võivad tekitada eri säilitamistähtaegu. Muudatuse omanik kinnitab faktilise voo, andmekaitsetöötaja vaatab kirje loetavuse üle.

Seejärel proovige ülevaadet välja võtta. Artikli 30 lõige 3 lubab kirjalikku, sealhulgas elektroonilist vormi, ning lõige 4 näeb ette esitamise järelevalveasutusele nõudmisel. Testige, kas ekspordis säilivad tegevused, eri rollid, vajalikud väljad ja kuupäevad ning kas sisemised märkused ei lekita tarbetuid isikuandmeid. Tabelarvutus võib seda teha hästi, kui versioonid ja juurdepääsud on korras. Tarkvara ei ole seadusest tulenev eeldus; ROPA tööriista valikul on mõtet võrrelda muudatuste kontrolli ja ekspordi tegelikku tulemust, mitte pelgalt vormi ilu.

Kontrollige korduvat tööd enne uue vormi loomist

Registri hooldamist ei saa lükata määramata „aastase ülevaatuse” peale. Seadus ei anna kõigile sama perioodilist uuendamiskuupäeva, kuid dokument peab kirjeldama tegelikku töötlemist. Looge ühendus hangete, uute eesmärkide, töötajaprotsesside ja teenuse sulgemisega. Iga muudatus ei pruugi nõuda uut rida; mõnikord piisab olemasoleva kirje saajate või säilitamiskriteeriumi muutmisest. Hoidke varasem versioon või muutuse põhjus alles, et hiljem oleks näha, miks kirjeldus erineb eelmise kuu omadest.

Väikeses ettevõttes võib üks vastutav inimene koguda faktid, kuid ärge eeldage, et ta teab kõiki tehnilisi ja õiguslikke üksikasju üksi. Paluge personalil kinnitada töötajate andmed, IT-l juurdepääsud, hankel tarnijad ja äriprotsessi omanikul eesmärk. Näidismall on siis küsimuste raam, mitte automaatne vastavust tõendav dokument. Kui fakt on teadmata, kirjutage küsimus ja vastutav isik; ärge täitke tühikut oletusega, mis muutub hiljem ametlikuks registrikirjeks.

Otsustage, kas ühes reas on üks või mitu eesmärki

Mall ei määra iseenesest õiget ridade arvu. Näiteks kliendikonto loomine ja tellimuse täitmine võivad jagada sama süsteemi, kuid neil on erinev eesmärk, erinevad andmed ja mõnikord erinev säilitamise põhjus. Kui sama rida muutub nii pikaks, et ühegi välja juures ei saa öelda, millisele eesmärgile see kehtib, jagage tegevus kaheks. Teisalt ei ole vaja teha eraldi rida iga töötaja iga sisselogimise kohta. AKI rõhutab ülevaadet, mitte üksikute toimingute logiraamatut. Kirjeldage tööprotsess sellise täpsusega, et omanik suudab vastata, kes andmeid saab ja millal need kustutatakse.

Pange proovile ka vastuvõtjate veerg. Kui palgaarvestuse andmed jõuavad maksuhaldurile seaduse alusel, teenusepakkujale kliendi nimel töötlemiseks ja pangale makse tegemiseks, ei pruugi nende kolme osalise õiguslik roll olla sama. Märkige vähemalt vastuvõtjate kategooria, kuid hoidke kõrval tööfailis konkreetne osaline ja rolli põhjendus. Kui tarnija muutub, saate nii kontrollida, kas registri kategooria endiselt kirjeldab tegelikkust ning kas töötlemisleping või muu siduv alus on asjakohane. Kõigi saajate automaatne nimetamine volitatud töötlejaks varjaks seda analüüsi.

Viimaks eristage kindel fakt, kavandatud meede ja teadmata teave. „Krüpteeritud varukoopia” on registris eksitav, kui IT ei ole krüpteerimist kontrollinud; „kontrollitakse” võib olla õiglane tööolek, kuid lõplikus ülevaates peab olema tegelik üldkirjeldus. Samuti ei tõenda failinime lõpus olev aasta, et kustutustähtaega rakendatakse süsteemis. Paluge protsessi omanikul näidata üks hiljutine kustutus või põhjendada, miks andmeid tuleb alles hoida. Sellised prooviküsimused teevad näidisest töövahendi, mitte dekoratiivse tabeli.

Korduma kippuvad küsimused

Kas register ja privaatsuspoliitika peavad kokku langema?

Jah. Andmekaitsetingimused ja artikkel 30 ülevaade teenivad eri eesmärke: esimesed annavad inimesele artiklite 12–14 teabe, teine kirjeldab organisatsiooni tegevusi sisemiselt. Võrrelge neis kattuvaid eesmärke, saajaid ja säilitamist. Kui poliitika mainib töötlemist, mida registris ei ole (või vastupidi), on tegemist ebakõlaga, mida järelevalves märgatakse. Register on sisemine, üksikasjalik dokument; privaatsuspoliitika on selle andmesubjektile arusaadav kokkuvõte.

Kas registrit tuleb pidada kindlas vormingus?

Ei. GDPR nõuab registri pidamist kirjalikult, sealhulgas elektrooniliselt, kuid ei näe ette kindlat vormingut. Tabel, andmebaas või spetsiaalne tarkvara sobivad kõik – oluline on sisu täielikkus ja ajakohasus, mitte vorm.

Kui üksikasjalik peab register olema?

Vastutava töötleja ülevaade peab sisaldama artikli 30 lõikes 1 nimetatud elemente asjakohaste tegevuste kohta; volitatud töötleja sisu tuleneb lõikest 2, kuid ei pea loetlema iga üksikut andmevälja. Piisab andmete ja andmesubjektide liikide kirjeldamisest. Liigne detailsus muudab registri raskesti hooldatavaks.

Kes peab registrit pidama?

Artikli 30 lõiked 1 ja 2 käsitlevad vastutava ja volitatud töötleja eri ülevaateid. Alla 250 töötajaga organisatsiooni erand ei kohaldu tegevusele, mis ei ole juhuslik, võib ohustada inimeste õigusi või hõlmab artikli 9 või 10 andmeid; nende tegevuste jaoks tuleb vastav ülevaade koostada. Praktikas võib seda hallata andmekaitsespetsialist või määratud vastutaja, kuid vastutus jääb organisatsioonile.

Kokkuvõte

Töötlemise registri näidis annab konkreetse aluse, mille põhjal ehitada oma register toiming toimingu haaval. Kasuta ülaltoodud välju ja täidetud näiteid mudelina, alusta protsesside kaardistamisest eesmärkide järgi, määra iga toimingu õiguslik alus, kontrolli vastuvõtjate rolli ning seo tegelikud volitatud töötlejad artikli 28 lepingu või muu siduva liidu või liikmesriigi õigusaktiga ja märgi konkreetsed säilitustähtajad. Hoia ülevaade elavana: selle väärtus sõltub tegelike tegevuste ja muutuste kajastamisest, mitte malli esmakordsest täitmisest. Registri täieliku õigusliku käsitluse leiad meie artikli 30 juhendist.

Allikad, kontrollitud 27.09.2026: IKÜM artikkel 30 ja AKI isikuandmete töötlemisülevaate juhend.