Czym jest rejestr czynności przetwarzania danych osobowych
Rejestr czynności przetwarzania to dokument, który zawiera szczegółowe informacje na temat sposobów i celów przetwarzania danych osobowych przez podmioty, które są do tego zobowiązane. Obowiązek jego prowadzenia wynika z art. 30 RODO i dotyczy zarówno administratorów danych, jak i podmiotów przetwarzających (procesorów). Dokument ten jest kluczowy dla zapewnienia transparentności i kontroli nad danymi osobowymi oraz może być wymagany przez organy nadzorcze w trakcie kontroli.
Kto jest administratorem i podmiotem przetwarzającym danych?
Administrator danych to osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. To na nim spoczywa główny obowiązek prowadzenia rejestru czynności przetwarzania.
Z kolei podmiot przetwarzający to organizacja lub osoba, która przetwarza dane osobowe w imieniu administratora. Podmiot ten również ma obowiązek prowadzenia rejestru, jednak dokument ten różni się zakresem – nazywany jest rejestrem kategorii czynności przetwarzania i obejmuje wszystkie czynności wykonywane na zlecenie administratora.
Kto musi prowadzić rejestr czynności przetwarzania danych?
Obowiązek prowadzenia rejestru mają wszyscy administratorzy danych oraz podmioty przetwarzające, które wykonują czynności na ich rzecz. W praktyce oznacza to, że niemal każdy przedsiębiorca przetwarzający dane osobowe, zwłaszcza dane pracowników, jest zobligowany do prowadzenia takiego rejestru.
Dotyczy to również małych i średnich firm, ponieważ wyjątek przewidziany dla podmiotów zatrudniających mniej niż 250 osób został mocno ograniczony. Nawet jeśli firma zatrudnia mniej niż 250 osób, obowiązek prowadzenia rejestru powstaje, jeśli przetwarzanie danych:
- może powodować ryzyko naruszenia praw i wolności osób,
- nie ma charakteru sporadycznego,
- obejmuje szczególne kategorie danych, takie jak dane zdrowotne lub dane dotyczące wyroków skazujących.
W efekcie niemal każdy przedsiębiorca, który przetwarza dane osobowe pracowników lub klientów, musi prowadzić rejestr czynności przetwarzania.
Jakie informacje zawiera rejestr czynności przetwarzania?
Rejestr administratora to szczegółowy dokument, który powinien zawierać:
- cele przetwarzania danych,
- kategorie osób, których dane dotyczą,
- kategorie danych osobowych,
- odbiorców danych,
- informacje o przekazywaniu danych do państw trzecich lub organizacji międzynarodowych,
- przewidywany termin usunięcia danych,
- opis zastosowanych środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych.
Z kolei rejestr procesora zawiera kategorię czynności przetwarzania wykonywanych w imieniu administratora, dane o administratorach i ich przedstawicielach oraz informacje o stosowanych środkach bezpieczeństwa.
Jak wygląda proces decyzyjny w sprawie obowiązku prowadzenia rejestru?
Każdy przedsiębiorca powinien najpierw zweryfikować liczbę zatrudnionych osób. Jeśli firma zatrudnia mniej niż 250 pracowników, konieczne jest dokonanie oceny ryzyka związanego z przetwarzaniem danych, częstotliwości tych czynności oraz rodzaju danych osobowych. Spełnienie chociaż jednego z kryteriów ryzyka oznacza, że rejestr musi być prowadzony.
W przypadku podmiotów zatrudniających więcej niż 250 osób, prowadzenie rejestru jest obligatoryjne bez względu na ryzyko czy charakter przetwarzania. Warto zauważyć, że w praktyce prawie każdy przedsiębiorca musi prowadzić taki rejestr, ponieważ przetwarza dane pracownicze, co eliminuje dotychczasowy wyjątek dla mniejszych firm.
W jakiej formie powinien być prowadzony rejestr i jakie są obowiązki związane z jego udostępnianiem?
Rejestr musi mieć formę pisemną, co obejmuje zarówno dokumenty papierowe, jak i elektroniczne. Powinien być prowadzony w sposób umożliwiający szybki dostęp i aktualizację danych. Administrator i procesor są zobowiązani do udostępnienia rejestru organowi nadzorczemu na jego żądanie.
Ten wymóg przesunął odpowiedzialność z organów państwowych bezpośrednio na administratorów danych, którzy sami kontrolują procesy przetwarzania i odpowiadają za ich dokumentację.
Podsumowanie
Obowiązek prowadzenia rejestru czynności przetwarzania dotyczy niemal wszystkich podmiotów przetwarzających dane osobowe, w szczególności administratorów i procesorów. Wyjątki dla mniejszych firm są bardzo ograniczone i dotyczą tylko sytuacji niskiego ryzyka i sporadycznego przetwarzania bez danych szczególnie wrażliwych. Rejestr musi być prowadzony w formie pisemnej i gotowy do udostępnienia na żądanie organów nadzorczych. W praktyce oznacza to, że każdy przedsiębiorca przetwarzający dane osobowe, w tym dane pracowników, powinien zadbać o odpowiednią dokumentację i aktualizację rejestru czynności przetwarzania.
Wykorzystane materiały
- https://gdpr.pl/baza-wiedzy/akty-prawne/interaktywny-tekst-gdpr/artykul-30-rejestrowanie-czynnosci-przetwarzania
- https://uodo.gov.pl/pl/file/708
- https://poradnikprzedsiebiorcy.pl/-kiedy-jest-konieczny-i-jak-opracowac-rejestr-czynnosci-przetwarzania
- https://sawaryn.com/publikacje/jak-prowadzic-rejestr-czynnosci-przetwarzania-danych-osobowych-zgodnie-z-rodo/
- https://gdpr.pl/wp-content/uploads/2018/06/Belgia_Zalecenie_w_sprawie_Rejestru_czynno%C5%9Bci_przetwarzania_danych.pdf