Tratamendu jardueren erregistroa RGPDaren dokumentu aipatuenetako eta gaizki ulertuenetako bat da. Enpresa askok uste dute ez zaiela aplikatzen langile gutxi dituztelako, eta ia beti oker daude. Gida honek azaltzen du zer den TJEa, nor dagoen benetan behartuta, zer informazio izan behar duen eta nolakoa den benetako sarrera bat, zure erakundera egokitzeko prest dagoen errenkada-adibide batekin.
15 segundotan
- TJEa erakundearen datu-tratamendu guztiak inbentariatzen dituen RGPDren 30. art.eko dokumentua da.
- Arduraduna (30.1 art.) zein tratamenduaren enkargatzailea (30.2 art.) behartzen ditu.
- 250 langile baino gutxiagoko enpresentzako salbuespena (30.5 art.) ia inoiz ez da aplikatzen: langileen edo bezero errekurrenteen datuekin indargabetzen da.
- Eguneratuta mantendu behar da: izoztutako TJE batek benetako enpresa deskribatzeari uzten dio.
Zer da Tratamendu Jardueren Erregistroa?
Tratamendu Jardueren Erregistroa erakunde batek egiten dituen datu pertsonalen tratamendu guztiak inbentariatzen dituen dokumentua da, RGPDren 30. art.ean aurreikusia. Tratamendu bakoitzerako deskribatzen du zer datu kudeatzen dituen, zer helbururekin, zein pertsonaren gainean, zenbat denboraz eta zer segurtasun-neurrirekin. Barnekoa da eta ez da argitaratzen.
Zure enpresaren datuen mapa gisa ulertu behar da. Ez da inolako agintaritzaren aurreko inskripzio-izapide bat, ezta webean zintzilikatzen den zerbait ere. Zeuk mantentzen duzun erregistro propioa da, eskuragarri dagoena eta kontrol-agintaritzak eska diezazukeena. Bere benetako balioa ez dago gordeta izatean, baizik eta erakundea datu bakoitzarekin zer egiten duen zehaztasunez jakitera behartzen duelako.
2018 aurretik Agentziaren aurrean fitxategiak jakinarazteko sistema bat zegoen. RGPDak erantzukizun proaktiboaren eredu honengatik ordezkatu zuen: jada ez da ezer aurretiaz jakinarazten, baina enpresak edozein unetan frogatu ahal izan behar du bere jarduera dokumentatuta eta kontrolpean duela. TJEa da frogapen horren erdiko pieza.
Nor dago behartuta TJEa eramatera?
TJEak arduraduna zein tratamenduaren enkargatzailea behartzen ditu (RGPDren 30. art.). 250 langile baino gutxiagoko erakundeentzako 30.5 art.eko salbuespena dirudiena baino askoz estuagoa da: ez da aplikatzen tratamenduak interesdunen eskubideentzako arriskua ekar badezake, noizbehinkakoa ez bada, edo kategoria bereziak edo datu penalak barne baditu. Praktikan, langileak edo bezero errekurrenteak dituen ia edozein enpresa behartuta dago.
Hemen dago gaizki-ulertu zabalduena. Ohikoa da entzutea "250 langile baino gutxiago ditut, ez dut TJErik behar". Irakurketa hori okerra da kasu gehienetan, 30.5 art.eko salbuespena desaktibatzen duten hiru baldintzak alde batera uzten dituelako:
- Interesdunen eskubide eta askatasunentzako arriskua. Eguneroko tratamendu askok neurri handiago edo txikiagoan dakarte.
- Noizbehinkakoa ez den tratamendua. Hau da gakoa. Langileen nominak hilez hil kudeatzea, edo etengabe fakturatzen diozun bezero-zorro bat, ez da noizbehinkakoa: negozioaren ohiko jarduera da.
- Kategoria bereziak (RGPDren 9. art.) edo datu penalak (10. art.). Osasun-datuak, sindikatu-afiliazioa, arau-hausteei buruzko datuak, etab.
Nahikoa da baldintza horietako bakar bat betetzea salbuespena indargabetzeko. Nominak ordaintzen dituen enpresa batek bere langileen datuak modu iraunkorrean tratatzen ditu; ohiko bezeroei saltzen dienak tratamendu jarraitua mantentzen du. Bi kasuetan jarduera ez da noizbehinkakoa eta TJEa berriro derrigorrezkoa da, langile-kopurua edozein dela ere. Horregatik, benetako erakunde gehienetan, galdera ez da TJEa behar den, baizik eta nola eraiki ondo.
Zer informazio izan behar duen TJEak
Erregistroaren gutxieneko edukia arduradun edo enkargatzaile gisa jarduten duzun araberakoa da. RGPDren 30.1 art.ak arduradunaren TJEaren edukia finkatzen du; 30.2 art.ak, enkargatzailearena, laburragoa dena. Ez da formatu zurruna: erregistroak tratamendu bakoitzerako estali behar dituen eremuen zerrenda bat da.
Tratamenduaren arduradunarentzat, 30.1 art.ak tratamendu bakoitzeko hau dokumentatzea eskatzen du:
- Arduradunaren, korrespondentea baldin badago, ordezkariaren eta datuen babeseko ordezkariaren (DBO) baldin badago, izena eta kontaktu-datuak.
- Tratamenduaren helburuak: zertarako erabiltzen diren datuak.
- Interesdunen kategoriak (bezeroak, langileak, hornitzaileak, hautagaiak…) eta tratatutako datu pertsonalen kategoriak.
- Datuak jasotzen dituzten edo jasoko dituzten hartzaileen kategoriak, beste herrialde batzuetakoak barne.
- Hirugarren herrialde edo erakundeetarako nazioarteko transferentziak, herrialdearen eta aplikatutako bermeen identifikazioarekin.
- Datu-kategoria desberdinak ezabatzeko aurreikusitako epeak.
- RGPDren 32. art.eko segurtasun-neurri tekniko eta organizatiboen deskribapen orokorra.
Enkargatzailearen TJEa (30.2 art.) laburragoa da. Bere kontura jarduten duen arduradun bakoitzeko dokumentatzen ditu egiten dituen tratamendu-kategoriak, hala badagokio nazioarteko transferentziak eta segurtasun-neurrien deskribapen orokorra. Ez da helburuetan sartzen, horiek arduradunak erabakitzen baititu, ez enkargatzaileak.
Adibide praktikoa: TJEko errenkada bat
Teoria hobeto ulertzen da kasu konkretu batekin. Hau da langileria duen edozein enpresaren tratamendurik ohikoenerako arduradunaren TJEko sarrera bat: langileen kudeaketa. Zutabe bakoitza RGPDren 30.1 art.eko eremuetako bati dagokio.
| Eremua (30.1 art.) | Errenkadaren edukia — "Langileen kudeaketa" |
|---|---|
| Arduraduna | Adibide Enpresa S.L. · IFK B00000000 · X kalea, Burgos · rgpd@empresa.es |
| Tratamenduaren helburuak | Langileekiko harremanaren lan-, kontratu-, ordainsari- eta prebentzio-kudeaketa. |
| Interesdunen kategoriak | Plantillako langileak eta baja-prozesuan dagoen langileria. |
| Datuen kategoriak | Identifikatzaileak, kontaktukoak, bankarioak, profesionalak eta kotizaziokoak. Osasun-datuak bajen kudeaketara mugatuta (kategoria berezia, 9. art.). |
| Hartzaileen kategoriak | Gizarte Segurantzaren Diruzaintza Nagusia, Zerga Agentzia, banku-erakundea, kanpoko gestoretxea. |
| Nazioarteko transferentziak | Ez dira aurreikusten. |
| Ezabaketa-epea | Lan-harremanean zehar eta ondorengo lan-, zerga- eta Gizarte Segurantzako preskripzio-epeetan. |
| Segurtasun-neurriak (32. art.) | Rolaren araberako sarbide-kontrola, gailuen zifratzea, segurtasun-kopiak, langileriaren konfidentzialtasuna. |
Batez besteko enpresa baten TJE osoa hau bezalako errenkada anitzeko taula bat da: bat benetako tratamendu bakoitzeko. Ohikoa da langileen kudeaketarako, bezeroetarako, hornitzaileetarako, langileen hautaketarako, bideozaintzarako (baldin badago) eta merkataritza-komunikazioetarako sarrerak izatea. Akatsik ohikoena ez da xehetasun-falta, baizik eta existitzen ez diren tratamenduak asmatzea edo, alderantziz, benetan egiten den bat ahaztea.
"TJEa ez da behin betetzen eta artxibatzen den PDF bat. Zure enpresak datuekin egiten duenaren erradiografia bizia da. Softwarez aldatzen zaren edo hornitzaile bat gehitzen duzun egunean, eta erregistroak hori islatzen ez badu, ezertarako balio izateari uzten dio."
Mario P. Talamillo · Zuzendari bazkidea, Certix®
Zer gertatzen da eguneratuta ez baduzu?
Eguneratu gabeko TJE batek jada existitzen ez den enpresa bat deskribatzen du, eta horrek erabilgarritasunik gabe uzten du. 30. art.ak eskatzen du erregistroak une bakoitzean benetako tratamendu-jarduera islatzea. Softwarez aldatu baduzu, hornitzaile bat gehitu edo helburu berri bat ireki eta erregistroak berdin jarraitzen badu, jada ez du dokumentatzen datuekin benetan egiten duzuna.
TJE zaharkitu baten arazo praktikoa da RGPD osoa oinarritzen den erantzukizun proaktiboaren printzipioa hausten duela. Erakundeak ezin badu frogatu zer tratatzen duen eta nola, gainerako betebeharrak sostengatzen dituen oinarria galtzen du: klausula informatiboak, enkargatzaileekiko 28. art.eko kontratuak, kontserbazio-epeak edo eskubide-eskaera baten aurreko erantzuna.
Kate-efektu bat dago, erraz ohartzen ez dena. Bezero batek bere sarbide- edo ezabaketa-eskubidea erabiltzen duenean, TJEa da bere datuak non dauden eta nork dituen jakiteko abiapuntua. Erregistroak duela hilabete batzuk gehitutako software edo hornitzaile bat islatzen ez badu, erantzun hori osatugabea aterako da. TJEa ez da dokumentu isolatu bat: gainerako guztiaren koherentzia sostengatzen duena da.
Nola laguntzen dizun Certix-ek egunean mantentzen
TJEa lehen aldiz egiteak erakunde osoa zeharkatzea eta bere jarduera ondo definitutako tratamenduetara itzultzea eskatzen du. Gero mantentzea etengabeko lana da: software-, hornitzaile- edo helburu-aldaketa bakoitza erregistroan islatu beharko litzateke. Hor geratzen da TJE bat zaharkituta praktikan, ez asmo txarragatik, baizik eta negozioa aldatzen denean inork ez duelako berrikusten.
Certix-en Tratamendu Jardueren Erregistroa zure jardueraren benetako azterketa batetik abiatuta egiten dugu, ez txantiloi generiko batetik. Benetan egiten dituzun tratamenduak identifikatzen ditugu, RGPDren 30. art.eko edukiarekin dokumentatzen ditugu eta bakoitza bere oinarri juridikoarekin, kontserbazio-epeekin eta segurtasun-neurriekin lotzen dugu. Gainerako pribatutasun-lana eraikitzen den oinarria da.
Eta egunean mantentzen dugu. Tresna berri bat gehitzen duzunean, hornitzaile bat kontratatzen edo helburu desberdin bat abiarazten duzunean, erregistroa eguneratzen da benetako enpresa islatzen jarrai dezan. Gure datuen babeseko autoebaluazio-testetik hasi zaitezke edo TJEa Certix-en datuen babeseko zerbitzuen barruan nola egokitzen den ikus dezakezu.
Ohiko galderak
Nire enpresak 250 langile baino gutxiago ditu, TJEtik salbuetsita nago?
Kasu gehienetan, ez. RGPDren 30.5 art.eko salbuespena indargabetzen da tratamenduak interesdunen eskubideentzako arriskua ekar badezake, noizbehinkakoa ez bada, edo kategoria bereziak (9. art.) edo datu penalak (10. art.) barne baditu. Nominak edo bezero-zorro errekurrentea kudeatzen dituen enpresa batek noizbehinkakoak ez diren tratamenduak egiten ditu, beraz salbuespena ez zaio aplikatzen eta TJEa eraman behar du berdin-berdin.
Zer da zehazki Tratamendu Jardueren Erregistroa?
RGPDren 30. art.eko dokumentua da, tratamenduz tratamendu inbentariatzen duena erakunde batek zer datu pertsonal kudeatzen dituen, zer helbururekin, zein pertsonaren gainean, zenbat denboraz eta zer segurtasun-neurrirekin. Barnekoa da: ez da argitaratzen ezta erregistro publiko batean inskribatzen ere, baina kontrol-agintaritzak eska dezake. Enpresaren datu-jarduera osoaren mapa gisa funtzionatzen du.
Arduradunaren TJEa eta enkargatzailearena berdinak dira?
Ez. Arduradunaren TJEak (RGPDren 30.1 art.) enpresak berak erabakitzen dituen tratamenduak deskribatzen ditu: helburuak, interesdunen eta datuen kategoriak, ezabaketa-epeak. Enkargatzailearen TJEa (30.2 art.) laburragoa da: bera kontratatzen duen arduradun bakoitzaren kontura egiten dituen tratamendu-kategoriak dokumentatzen ditu, helburu propioetan sartu gabe. Enpresa berak bi erregistroak eraman behar izan ditzake.
Zenbatean behin eguneratu behar da TJEa?
RGPDak ez du aldizkakotasun itxirik finkatzen, baina 30. art.ak eskatzen du erregistroak une bakoitzean benetako tratamendu-jarduera islatzea. Praktikan, garrantzitsua den zerbait aldatzen den bakoitzean berrikusten da: software berri bat, hornitzaile berri bat, helburu berri bat, nazioarteko transferentzia bat edo datu mota berri bat. Denboran izoztutako TJE batek bere funtzioa betetzeari uzten dio.
Laburbilduz
Tratamendu Jardueren Erregistroa enpresa baten datuen babeseko lan osoa sostengatzen duen mapa da. Erakunde txikiak salbuetsita daudela dioen ideia, kasu gehienetan, faltsua da: nahikoa da langileak edo bezero-zorro errekurrente bat kudeatzea 30.5 art.eko salbuespena aplikatzeari uzteko. Zaila ez da TJEa behin sortzea, baizik eta errealitateari fidel mantentzea negozioa aldatzen denean. Zurearen egoera berrikusi nahi baduzu, hurrengo urratsa zure jardueraren banakako azterketa bat da.
Erlazionatutako irakurgaiak
- RGPDaren gida osoa — TJEa txertatzen den arau-esparrua.
- Certix-en datuen babeseko zerbitzuak — nola egokitzen den TJEa aholkularitza-lanean.
- Datuen babeseko autoebaluazio-testa — egiaztatu minututan zure erakundea zer puntutan dagoen.
Eduki hau orientagarria eta dibulgatiboa baino ez da; ez du inola ere aholkularitza juridiko espezializatua osatzen. Araudia kasu konkretu bakoitzari aplikatzeak banakako azterketa eskatzen du.
Zure TJEak zure enpresak benetan egiten duena islatzen duen jakin nahi duzu?
Certix-en zure Tratamendu Jardueren Erregistroa zure jardueraren benetako azterketa batetik abiatuta egiten eta egunean mantentzen dugu.
Aholkulari batekin hitz egin