Czy przeprowadzanie audytów zewnętrznych powinno być wyodrębnione w rejestrze czynności przetwarzania?

ODPOWIEDŹ

Nie traktowałabym tego jako odrębny proces. Należy jednak wpisać audytora zewnętrznego w rejestrze czynności przetwarzania w rubryce poświęconej  odbiorcom danych – jako procesora lub odrębnego administratora, we wszystkich tych procesach, gdzie z uwagi na jego zaangażowanie powinien być uwzględniony.

Zatem, jeśli audytor zewnętrzny ma dostęp do danych pracowników, to należy uwzględnić  go w odbiorcach danych w procesie zatrudnienia, jeśli zaś ma dostęp do danych naszych klientów – uwzględnić  go w odbiorcach danych w procesach klienckich. Uwaga: zaangażowany przez organizację biegły rewident to również  odbiorca danych, ale wykonując swoje czynności w ramach i na podstawie ustawy co do zasady posiada status odrębnego administratora.