Rejestr przetwarzania danych

Rejestr przetwarzania danych (ang. record of processing activities) jest dokumentem, który musi prowadzić każdy administrator danych oraz podmiot przetwarzający, jeżeli ich działalność podlega RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. o ochronie osób fizycznych w związku z przetwarzaniem ich danych osobowych i w sprawie swobodnego przepływu takich danych). Dokument ten ma na celu zapewnienie przejrzystości procesów przetwarzania oraz umożliwienie organom nadzorczym kontrolę zgodności z obowiązującymi przepisami.

Podstawa prawna

Obowiązek prowadzenia Rejestru wynika z art. 30 RODO, który nakłada na administratora i podmiot przetwarzający obowiązek udokumentowania wszelkich czynności przetwarzania danych osobowych. W Polsce szczegółowe wymogi określa Ustawa o ochronie danych osobowych z 10 maja 2018 r.

Elementy rejestru

Rejestr powinien zawierać następujące informacje:

• Nazwa i dane kontaktowe administratora oraz, w razie potrzeby, przedstawiciela administratora w UE;
• Kontakt do inspektora ochrony danych (IOD), jeśli został wyznaczony;
• Cel przetwarzania – opis tego, dlaczego dane są przetwarzane;
• Opis kategorii osób, których dane dotyczą (np. pracownicy, klienci, kontrahenci);
• Kategorie danych osobowych (np. dane identyfikacyjne, dane wrażliwe, dane biometryczne);
• Kategorie odbiorców danych (np. podmioty świadczące usługi IT, organy publiczne);
• Transfery danych poza UE – informacja o krajach docelowych oraz zastosowanych zabezpieczeniach;
• Planowane terminy usunięcia lub anonimizacji danych;
• Opis zastosowanych środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych (np. szyfrowanie, pseudonimizacja).

Kto jest zobowiązany do prowadzenia rejestru?

Obowiązek prowadzenia rejestru dotyczy:

1. Administratorów danych, którzy przetwarzają dane regularnie i w dużej skali;
2. Podmiotów przetwarzających działających na zlecenie administratora;
3. Organizacji publicznych, jeżeli ich przetwarzanie nie jest objęte wyłączeniami określonymi w art. 30 ust. 3 RODO.

Małe podmioty, które przetwarzają dane osobowe jedynie okazjonalnie i nie wchodzą w zakres ryzyka, mogą być zwolnione z tego obowiązku, o ile ich przetwarzanie nie obejmuje szczególnie wrażliwych kategorii danych.

Forma i dostępność rejestru

Rejestr może być prowadzony w formie elektronicznej lub papierowej, pod warunkiem że zapewnia:

• Możliwość szybkiego wyszukiwania i aktualizacji wpisów;
• Chronione przechowywanie (dostęp tylko dla upoważnionych osób);
• Zgodność z ogólnymi zasadami ochrony danych osobowych.

Kontrola i sankcje

Organem nadzorczym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (UODO). W przypadku stwierdzenia nieprawidłowości, UODO może nałożyć:

• Kary administracyjne sięgające nawet 20 milionów euro lub 4 % całkowitego rocznego światowego obrotu przedsiębiorstwa;
• Zobowiązania do usunięcia nieprawidłowych danych lub wprowadzenia poprawek do rejestru;
• Wydanie zaleceń dotyczących wdrożenia dodatkowych środków bezpieczeństwa.

Związek z innymi elementami systemu ochrony danych

Rejestr przetwarzania danych jest ściśle powiązany z innymi obowiązkami wynikającymi z RODO, takimi jak:

• Ocena oddziaływania na ochronę danych (DPIA) – dokumentacja analizy ryzyka;
• Prawo do bycia zapomnianym – mechanizmy usuwania danych;
• Zgoda osoby, której dane dotyczą – wymóg uzyskania i dokumentacji zgody;
• Inspektor ochrony danych (IOD) – jego rola w monitorowaniu zgodności.

Przykładowy szablon wpisu w rejestrze

Nazwa procesu: „Obsługa zamówień internetowych”
Administrator: XYZ Sp. z o.o., ul. Przykładowa 10, 00-001 Warszawa
IOD: Jan Kowalski, e-mail: iod@xyz.pl
Cel przetwarzania: realizacja zamówień, fakturowanie, obsługa reklamacji
Kategorie osób: Klienci, kontrahenci
Kategorie danych: imię i nazwisko, adres zamieszkania, e‑mail, numer telefonu, dane płatności
Odbiorcy danych: firma kurierska, bank, podwykonawcy IT
Transfery poza UE: brak
Środki bezpieczeństwa: szyfrowanie danych w tranzycie (TLS), pseudonimizacja w bazie danych
Termin usunięcia danych: 5 lat od zakończenia realizacji zamówienia
    

Zobacz także

• RODO – Rozporządzenie o Ochronie Danych Osobowych
• Dane osobowe
• Administrator danych
• Podmiot przetwarzający
• Ustawa o ochronie danych osobowych (Polska)
• Inspektor ochrony danych (IOD)
• Ocena oddziaływania na ochronę danych (DPIA)
• Prawo do bycia zapomnianym

Literatura

W publikacjach i aktach prawnych rozwinięto szczegółowe wytyczne dotyczące prowadzenia rejestru, m.in. w:

• Rozporządzenie UE 2016/679 (RODO);
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych;
• Wskazówki Prezesa UODO dotyczące art. 30 RODO;
• Podręcznik „Ochrona danych osobowych w praktyce” – I. Jaworski, W. Mazur, 2022.