Član 32. Zakon o zaštiti ličnih podataka

(Evidencija o obradi ličnog podatka) (1) Svaki kontrolor podataka i predstavnik kontrolora podataka, ako je primjenjivo, vodi evidenciju aktivnosti obrade za koje je odgovoran. Evidencija sadrži sljedeće informacije: a) ime i kontakt-podatke kontrolora podataka i, ako je primjenjivo, zajedničkog kontrolora podataka, predstavnika kontrolora podataka i službenika za zaštitu podataka; b) svrhe obrade; c) opis kategorija nosilaca podataka i kategorija ličnih podataka; d) kategorije primalaca kojima su lični podaci otkriveni ili će im biti otkriveni, uključujući i primaoce u drugim državama ili međunarodnim organizacijama; e) ako je primjenjivo, o prijenosu ličnih podataka u drugu državu ili međunarodnu organizaciju, uključujući identifikaciju druge države ili međunarodne organizacije i, u slučaju prijenosa iz člana 51. stav (2) ovog zakona, dokumentaciju o odgovarajućim zaštitnim mjerama; f) ako je moguće, predviđene rokove za brisanje različitih kategorija podataka; g) ako je moguće, opći opis tehničkih i organizacionih sigurnosnih mjera iz člana 34. stav (1) ovog zakona. (2) Svaki obrađivač i predstavnik obrađivača, ako je primjenjivo, vodi evidenciju o svim aktivnostima obrade koje se obavljaju uime kontrolora podataka, koja sadrži: a) ime i kontaktne podatke jednog ili više obrađivača i svakog kontrolora podataka u čije ime obrađivač djeluje te ako je primjenjivo, predstavnika kontrolora podataka ili obrađivača kao i službenika za zaštitu podataka; b) vrste obrade koje se vrše uime svakog kontrolora podataka; c) ako je primjenjivo, informacije o prijenosu ličnih podataka u drugu državu ili međunarodnu organizaciju, s identifikacijom te druge države ili međunarodne organizacije i u slučaju prijenosa iz člana 51. stav (2) ovog zakona, dokumentaciju o odgovarajućim zaštitnim mjerama; d) ako je moguće, opći opis tehničkih i organizacionih sigurnosnih mjera iz člana 34. stav (1) ovog zakona. (3) Evidencija iz st. (1) i (2) ovog člana mora biti u pisanoj formi, što uključuje i elektronsku formu. (4) Kontrolor podataka ili obrađivač te predstavnik kontrolora podataka ili obrađivača, ako je primjenjivo, na zahtjev Agencije omogućavaju uvid u evidenciju. (5) Obaveze iz st. (1) i (2) ovog člana ne primjenjuju se na privredni subjekat ili organizaciju u kojoj je zaposleno manje od 250 lica, osim kada postoji vjerovatnoća da će obrada koju obavlja predstavljati visok rizik za prava i slobode nosioca podataka, ako obrada nije povremena ili ako obrada obuhvata posebne kategorije podataka iz člana 11. stav (1) ovog zakona, ili su u pitanju lični podaci koji se odnose na krivičnu osuđivanost i krivična djela.