Problem klienta · RODO

Czy muszę prowadzić rejestr czynności przetwarzania?

Obowiązek prowadzenia rejestru dotyczy większości organizacji - zwolnienie dla małych podmiotów jest węższe, niż powszechnie się sądzi.

Zgodnie z art. 30 RODO, ze zwolnienia z obowiązku prowadzenia rejestru mogą skorzystać jedynie organizacje zatrudniające mniej niż 250 osób, i to tylko wtedy, gdy przetwarzanie nie jest regularne, nie stwarza ryzyka dla praw osób, których dane dotyczą, i nie obejmuje danych szczególnych kategorii ani danych o wyrokach skazujących.

Rejestr musi zawierać m.in. nazwę i dane kontaktowe administratora (oraz IOD, jeśli został wyznaczony), cele przetwarzania, opis kategorii osób, których dane dotyczą, i kategorii danych, kategorie odbiorców, informację o ewentualnym przekazywaniu danych do państw trzecich, planowane terminy usunięcia poszczególnych kategorii danych oraz ogólny opis technicznych i organizacyjnych środków bezpieczeństwa. Musi być prowadzony w formie pisemnej, w tym elektronicznej, i udostępniany organowi nadzorczemu na jego żądanie.

W praktyce niemal każda organizacja przetwarza dane pracowników w sposób regularny, co samo w sobie eliminuje zwolnienie - dlatego rejestr czynności przetwarzania prowadzi się niemal zawsze, niezależnie od wielkości firmy.

Rejestr nie jest dokumentem tworzonym raz na zawsze - trzeba go aktualizować przy każdej zmianie w procesach przetwarzania danych, np. wdrożeniu nowego systemu, zmianie dostawcy usług IT czy rozpoczęciu nowej kampanii marketingowej wymagającej innych danych niż dotychczas.

Podstawa prawna

art. 30 RODO