Etter personvernforordningen (GDPR) artikkel 30 skal det lages en protokoll over hvilken behandling av personopplysninger som skjer i en virksomhet. Her er maler for å lage protokollen på en enkel måte.
Selv om kravet om å lage protokoll i utgangspunktet gjelder virksomheter med mer enn 250 ansatte, er det omfattende unntak som gjør at kravet om å føre protokoll omfatte stort sett alle virksomheter (som også er anbefalt bl.a. av Datatilsynet). En annen ting er at det er anbefalt å lage en oversikt over behandlingen gjennom en slik protokoll for å få kontroll på behandlingen. De fleste virksomheter bør derfor lage en slik protokoll.
Datatilsynet har laget en standard protokoll som oppfyller minimumskravene etter personvernforordningen, se her.
Nedenfor har jeg laget versjoner for henholdsvis behandlingsansvarlig og for databehandler som er minimumsversjoner for kravene etter GDPR artikkel 30.
En enkel måte å ha en behandlingsprotokoll i en virksomhet er å bruke Sharepoint. Derfor har jeg lagt ut en CSV-fil nedenfor, som kan importeres til Sharepoint. Da vil det opprettes et område som kan benyttes som behandlingsprotokoll. Du kan teste protokollen i Sharepoint her.
Det er imidlertid min erfaring er at det er en del andre opplysninger som er nødvendig for å vurdere om man behandler personopplysningene innenfor regelverket. Jeg har derfor laget en mer omfattende versjon av mal for behandlingsprotokoll som omfatter også disse opplysningene som kan lastes ned nedenfor.
Etter personvernforordningen bør det også gjøres en risikovurdering av behandlingen. I mange tilfelle kan dette gjøres enkelt, og knyttet til behandlingsaktivitetene som tas inn i behandlingsprotokoll. Det er derfor tatt inn en enkel matrise for å foreta risikovurdering i den omfattende versjonen av behandlingsprotokollen.
Last ned her:
