Register, DPIA & TIA för GDPR

Vanliga frågor om behandlingsregister, DPIA och TIA

Vad är ett behandlingsregister, och behöver vårt företag ett?

Ett behandlingsregister (ofta kallat RoPA) är den lagstadgade översikten över hur din organisation samlar in, använder och delar personuppgifter — ett krav enligt GDPR artikel 30 för de flesta personuppgiftsansvariga och personuppgiftsbiträden, med endast smala undantag för mycket små organisationer med sällsynt, lågrisk-behandling. I praktiken behöver de flesta medelstora företag ett register, eftersom undantagen sällan håller när man behandlar anställd- eller kunddata i någon större skala.

NorthGRCs modul Records håller registret som ett levande, strukturerat register i stället för ett statiskt kalkylblad, där varje behandlingsaktivitet är kopplad till de leverantörer, system och kontroller den faktiskt involverar — och artikel 30-rapporter kan exporteras direkt från systemet när Integritetsskyddsmyndigheten frågar.

Vad är skillnaden mellan ett behandlingsregister, en DPIA och en TIA?

Ett behandlingsregister dokumenterar vilka personuppgifter ni behandlar, och varför. En konsekvensbedömning avseende dataskydd (DPIA) går djupare in i den konkreta risken vid en högrisk-behandlingsaktivitet och i hur risken minskas. En Transfer Impact Assessment (TIA) undersöker om personuppgifter som överförs till ett tredjeland fortfarande får ett skydd som i praktiken motsvarar det de skulle haft inom EU. De svarar på olika frågor men bygger på samma grundläggande fakta om en behandlingsaktivitet.

I modulen Records genereras DPIA:er och TIA:er direkt utifrån en befintlig behandlingsaktivitet, så att registrerade, datakategorier och leverantörer inte behöver registreras på nytt för varje bedömning.

Hur vet jag om en behandlingsaktivitet kräver en fullständig DPIA?

GDPR kräver en DPIA när en behandlingsaktivitet sannolikt medför hög risk för enskildas rättigheter och friheter — till exempel storskalig behandling av känsliga personuppgifter, systematisk övervakning eller automatiserat beslutsfattande med rättslig verkan. De flesta organisationer börjar med en kort förbedömning mot dessa kriterier innan de går vidare till en fullständig DPIA.

Modulen Records har en inbyggd DPIA-förbedömning: genom att besvara en uppsättning vägledande frågor om en behandlingsaktivitet ser ni om en fullständig DPIA sannolikt krävs, så att beslutet bygger på strukturerade kriterier snarare än en subjektiv bedömning.

Kan vi skapa en Transfer Impact Assessment (TIA) utan att göra om arbete vi redan gjort i behandlingsregistret?

Ja — en TIA behöver inte börja från noll om den underliggande behandlingsaktiviteten redan är dokumenterad. De registrerade, datakategorier och leverantörer en överföring involverar finns oftast redan registrerade där organisationen för sitt behandlingsregister.

I NorthGRC skapas en TIA genom att välja en befintlig behandlingsaktivitet, vilket automatiskt importerar dess registrerade, datakategorier och leverantörsinformation — så att ni kan ta bort datatyper som faktiskt inte ingår i överföringen och fokusera på den överföringsspecifika risken i stället för att dokumentera samma sak igen.

Vi för redan vårt behandlingsregister i Excel — kan vi migrera det utan att börja om från noll?

Ja, att flytta ett befintligt register ut ur kalkylblad behöver inte innebära att varje behandlingsaktivitet måste registreras manuellt igen. De flesta integritetsteam migrerar gradvis genom att mappa sina befintliga kolumner mot en strukturerad mall, i stället för att bygga upp hela registret på en gång.

Modulen Records stödjer bulkimport av ett befintligt Excel-baserat behandlingsregister, där kolumner från kalkylbladet mappas mot NorthGRCs fält för behandlingsaktiviteter, så att befintlig dokumentation följer med och struktur och samband kan byggas upp därifrån.

Hur visar vi för tillsynsmyndigheten att vårt behandlingsregister och våra DPIA:er har granskats och godkänts korrekt?

Tillsynsmyndigheter förväntar sig bevis på granskning och ansvarsskyldighet — inte bara ett dokument som säger rätt saker. Det innebär versionshistorik, en namngiven godkännare och en registrering av när och av vem något godkändes. Utan ett formellt arbetsflöde hamnar den dokumentationen ofta utspridd över mejl och filversioner.

Modulen Records stödjer formella godkännandeflöden för DPIA:er och TIA:er, inklusive granskning av ett dataskyddsombud eller ledningen. När en bedömning är godkänd låses och versionshanteras den, vilket skapar ett försvarbart granskningsspår som är redo att visas upp vid behov.

Records

Hantera register, DPIA och TIA i en sammanhängande modul

Centralisera personuppgiftsdokumentation utan att skapa nya silos

Fatta riskbaserade DPIA-beslut med strukturerad vägledning

Skapa Transfer Impact Assessments med utgångspunkt i befintligt register

Behåll tydlig överblick över leverantörer och behandlingsrelationer

Förbli revisionsredo med godkännanden, versionshantering och rapportering

Kom igång snabbt med bulkimport av befintliga register