Detyrimet e kontrolluesit dhe të përpunuesit

Ligji nuk kërkon vetëm që rregullat të respektohen, por që organizata të jetë në gjendje ta provojë këtë. Detyrimi i përgjithshëm për regjistrim te Komisioneri është zëvendësuar nga dokumentimi i brendshëm, që vihet në dispozicion kur kërkohet.

Përgjegjshmëria (nenet 22 dhe 23)

• Kontrolluesi zbaton masa teknike dhe organizative të përshtatshme, i rishikon dhe i përditëson sipas nevojës.
• Mbrojtja e të dhënave merret parasysh që në projektimin e një sistemi ose procesi, jo pasi ai është ndërtuar.
• Si rregull i paracaktuar, përpunohen vetëm të dhënat e nevojshme për çdo qëllim.

Përpunuesit (neni 26)

• Kontrolluesi përdor vetëm përpunues që ofrojnë garanci të mjaftueshme.
• Përpunimi bëhet në bazë të një kontrate me shkrim, që përcakton objektin, kohëzgjatjen, natyrën dhe qëllimin e përpunimit, llojin e të dhënave dhe kategoritë e subjekteve.
• Përpunuesi përpunon vetëm sipas udhëzimeve me shkrim të kontrolluesit.
• Përpunuesi nuk angazhon një përpunues tjetër pa autorizimin paraprak me shkrim të kontrolluesit.

Regjistri i veprimtarive të përpunimit (neni 27)

Kontrolluesi mban, me shkrim dhe në format elektronik, dokumentacion për veprimtaritë e tij përpunuese: të dhënat e kontaktit të kontrolluesit dhe të nëpunësit të mbrojtjes së të dhënave, qëllimet, kategoritë e subjekteve dhe të të dhënave, kategoritë e marrësve, transferimet jashtë vendit dhe, kur është e mundur, afatet e fshirjes dhe një përshkrim të masave të sigurisë. Regjistri i vihet në dispozicion Komisionerit kur e kërkon.

Ky detyrim nuk zbatohet për shoqëritë dhe organizatat me më pak se 250 të punësuar, përveçse kur përpunimi mund të sjellë rrezik për të drejtat dhe liritë e subjekteve, nuk është rastësor, ose përfshin të dhëna sensitive ose penale (neni 27, pika 4). Në praktikë, shumica e organizatave që përpunojnë rregullisht të dhëna klientësh ose punonjësish nuk përfitojnë nga ky përjashtim.

Siguria e përpunimit (neni 28)

• Pseudonimizim dhe enkriptim i të dhënave personale.
• Aftësi për të garantuar konfidencialitetin, integritetin, disponueshmërinë dhe qëndrueshmërinë e sistemeve.
• Aftësi për të rikthyer aksesin në të dhëna brenda një kohe të arsyeshme pas një incidenti.
• Një proces për testimin dhe vlerësimin e rregullt të masave.