Vad är en registerförteckning?
En registerförteckning (på engelska record of processing activities, RoPA) är en intern översikt över hur din organisation behandlar personuppgifter. Den ska beskriva varje behandling: vilka kategorier av uppgifter, ändamål, rättslig grund, mottagare, lagringstid och säkerhetsåtgärder.
Till skillnad från integritetspolicyn — som riktar sig utåt till kunder och besökare — är registerförteckningen främst ett internt dokument. IMY kan begära att se den vid tillsyn.
Vem måste ha en registerförteckning?
Enligt artikel 30 i GDPR ska organisationer med fler än 250 anställda ha en registerförteckning. Men även mindre organisationer omfattas om behandlingen:
- inte är tillfällig
- kan medföra risk för registrerades rättigheter
- omfattar känsliga uppgifter eller brottsliga förseelser
I praktiken betyder det att de flesta svenska företag med webbplats, kundregister eller anställda bör ha en registerförteckning — även enskilda firmor och mikroföretag.
Vad ska finnas i registerförteckningen?
För varje behandling dokumenterar du bland annat:
- namn och kontaktuppgifter till personuppgiftsansvarig
- ändamål med behandlingen
- kategorier av registrerade och personuppgifter
- kategorier av mottagare (inklusive personuppgiftsbiträden)
- överföringar till tredjeland (utanför EU/EES)
- lagringstid eller kriterier för hur länge uppgifter sparas
- tekniska och organisatoriska säkerhetsåtgärder
Exempel på behandlingar i ett litet företag
Ett typiskt konsultbolag eller e-handelsföretag kan ha behandlingar som:
- Kundregister — namn, e-post, orderhistorik (rättslig grund: avtal)
- Nyhetsbrev — e-postadress (rättslig grund: samtycke)
- Webbanalys — IP-adress, cookies (rättslig grund: berättigat intresse eller samtycke)
- Personaladministration — anställningsavtal, löneuppgifter (rättslig grund: avtal/rättslig förpliktelse)
Så kommer du igång
Börja med att lista alla system och processer där personuppgifter förekommer. Complyo skapar en registerförteckning automatiskt baserat på dina svar i onboarding — tillsammans med integritetspolicy och checklista.
Håll registerförteckningen uppdaterad när ni inför nya verktyg eller ändrar hur ni behandlar data. Läs mer om integritetspolicy och personuppgiftsbiträdesavtal.