سابقه فعالیت‌های پردازش: چگونه یک ثبت ماده ۳۰ بسازید که واقعاً به کارتان بیاید
7 دقیقه مطالعه · به‌روزرسانی 2026-11-12
ماده ۳۰ به سابقه فعالیت‌های پردازش الزام می‌کند. این فهرست کاری کارهایی است که با داده‌های شخصی میکنید. اگر دقیق باشد، بقیه کارها (اطلاعیه، توافق‌نامه‌ها، پاسخ به درخواست‌ها) آسان‌تر می‌شود. اگر یک صفحه گسترده یک‌باره باشد که دیگر باز نمی‌کنید، کمکی نمیکند.
چه کسی باید سابقه را نگه دارد
هم کنترل‌کنندگان و هم پردازندگان وظیفه ثبت دارند، با محتوایی کمی متفاوت. برای سازمان‌های با کمتر از ۲۵۰ کارمند معافیتی هست، اما محدود است. برای پردازشی که موردی نیست، احتمالاً برای افراد ریسک دارد، یا دسته‌های خاص یا داده‌های کیفری را در بر می‌گیرد، همچنان به سابقه نیاز دارید (ماده ۳۰ بند ۵). محصول معمول استارتاپ که حساب کاربران را به‌طور مستمر نگه می‌دارد، «موردی» نیست. برنامه داشته باشید که سابقه را نگه دارید.
چه باید نوشت
برای کنترل‌کننده، ماده ۳۰ بند ۱ این‌ها را می‌خواهد: نام و اطلاعات تماس شما (و مسئول حفاظت از داده، اگر دارید)؛ اهداف؛ دسته‌های اشخاص ذی‌نفع و داده‌های شخصی؛ دسته‌های گیرندگان؛ انتقال به کشور ثالث و ابزار انتقال؛ مهلت‌های پیش‌بینی‌شده حذف در صورت امکان؛ و توصیف کلی اقدامات امنیتی در صورت امکان. پردازندگان سابقه مشابهی از پردازشی که از طرف هر کنترل‌کننده انجام می‌دهند نگه می‌دارند (ماده ۳۰ بند ۲).
به زبانی بنویسید که تیمتان بفهمد. یک ردیف برای هر هدف روشن‌تر از یک ردیف برای هر ابزار است. تأمین‌کنندگان را ذیل گیرندگان بنویسید و برای هر کدام به توافق‌نامه ماده ۲۸ و ابزار انتقال اشاره کنید. وقتی ابزار می‌افزایید، هدف را عوض میکنید، یا قابلیتی را می‌بندید، ردیف را به‌روز کنید.
چگونه آن را زنده نگه دارید
وقتی تأمین‌کننده‌ای می‌آورید، قابلیتی راه‌اندازی میکنید، یا ارزیابی تأثیر حفاظت از داده (ماده ۳۵) میکنید، سابقه را بازبینی کنید. هنگام درخواست دسترسی از آن استفاده کنید تا از صفر جستجو نکنید. اگر AP آن را بخواهد، باید در دسترس بگذارید (ماده ۳۰ بند ۴).
گزارش با هویت بصری همان سابقه نیست، اما یک ارزیابی خوب نشان می‌دهد کجا سابقه نازک است. پذیرش و گزارش‌های DPOne برای تغذیه این کار ساخته شده‌اند، نه برای جایگزینی سابقه‌ای که مسئولیت آن با شماست.
پرسش‌های پرتکرار
سابقه باید به چه زبانی باشد؟
مقررات زبانی را اجباری نمیکند. آن را به زبانی نگه دارید که تیمتان و در صورت نیاز AP بتوانند با آن کار کنند. برای شرکت هلندی، هلندی یا انگلیسی معمول است. اگر به چند زبان کار میکنید، یکدست و دقیق باشید.
آیا ارزیابی تأثیر همان سابقه پردازش است؟
خیر. ارزیابی تأثیر حفاظت از داده تحت ماده ۳۵ تحلیلی عمیقتر برای پردازش پرریسک است. سابقه، سیاهه است. اغلب به هر دو نیاز دارید و سابقه ورودی ارزیابی تأثیر است.
راهنماهای مرتبط
- پایبندی به مقررات عمومی حفاظت از داده در هلند: شروعی عملی برای استارتاپ‌ها
- تنظیم توافق‌نامه پردازش داده: آنچه ماده ۲۸ می‌خواهد
- استخدام مسئول حفاظت از داده: چه زمانی الزامی است و چه زمانی اختیاری
- همچنین صفحه اطلاعات تنظیم‌گری ما را برای اسناد حقوقی که اکنون در محدوده بررسی هستند ببینید.
- یک حساب رایگان DPOne بسازید