Rejestr czynności przetwarzania: wzór i co musi zawierać
Rejestr czynności przetwarzania to dokument z art. 30 RODO, w którym administrator opisuje każdy proces przetwarzania danych osobowych: cel, kategorie osób i danych, odbiorców, przekazania do państw trzecich, terminy usunięcia i zabezpieczenia. Prowadzi się go w formie pisemnej, także elektronicznej, i udostępnia Prezesowi UODO na żądanie. Wyjątek dla firm poniżej 250 osób jest wąski.
Co musi zawierać rejestr czynności przetwarzania?
Siedem elementów z art. 30 ust. 1 RODO, od danych administratora po opis zabezpieczeń. Dwa ostatnie, terminy usunięcia i opis środków bezpieczeństwa, wpisuje się, „jeżeli jest to możliwe”.
| Element | Art. 30 ust. 1 | Przykład (rekrutacja) |
|---|---|---|
| Administrator, współadministratorzy, inspektor ochrony danych i dane kontaktowe | lit. a | Firma-przyklad.pl sp. z o.o., adres, e-mail |
| Cele przetwarzania | lit. b | Przeprowadzenie rekrutacji |
| Kategorie osób i kategorie danych | lit. c | Kandydaci: imię, nazwisko, kontakt, wykształcenie, doświadczenie |
| Kategorie odbiorców | lit. d | Dostawca systemu rekrutacyjnego |
| Przekazania do państwa trzeciego | lit. e | Brak |
| Planowane terminy usunięcia | lit. f | Po zakończeniu rekrutacji |
| Ogólny opis środków bezpieczeństwa | lit. g | Dostęp tylko dla HR, weryfikacja dwuetapowa |
Podmiot przetwarzający, na przykład biuro rachunkowe, prowadzi osobny rejestr kategorii czynności z art. 30 ust. 2: dane swoje i każdego administratora, kategorie przetwarzań, przekazania do państw trzecich i ogólny opis zabezpieczeń.
Kto musi prowadzić rejestr czynności przetwarzania?
Każdy administrator i podmiot przetwarzający. Obowiązek nie dotyczy podmiotu zatrudniającego mniej niż 250 osób, chyba że przetwarzanie może powodować ryzyko naruszenia praw lub wolności osób, nie ma charakteru sporadycznego albo obejmuje dane szczególnych kategorii lub dane o wyrokach (art. 30 ust. 5).
UODO wyjaśnia, że do powstania obowiązku wystarczy, że zachodzi którakolwiek z tych sytuacji, a rejestr prowadzi się wtedy dla tych rodzajów przetwarzania. Przytacza też stanowisko Grupy Roboczej Art. 29: mała organizacja najprawdopodobniej systematycznie przetwarza dane swoich pracowników, więc takie przetwarzanie nie jest sporadyczne i musi być w rejestrze.
- Firma z jednym pracownikiem i listą płac: przetwarzanie stałe, rejestr potrzebny dla tej czynności.
- Firma z danymi o zdrowiu pracowników: dane szczególnych kategorii, rejestr potrzebny.
- Jednoosobowa działalność bez pracowników, z kontrahentami będącymi firmami: ocena zależy od tego, czy przetwarzanie jest sporadyczne. Rejestr i tak porządkuje obowiązki informacyjne.
Jak przygotować rejestr czynności przetwarzania?
Wiersz w rejestrze to jedna czynność, czyli proces z jednym celem, na przykład „rekrutacja” albo „rozliczanie wynagrodzeń”, a nie system czy dokument.
- 1
Wypisz procesy
Kadry i płace, rekrutacja, obsługa klientów, sprzedaż, marketing, monitoring, windykacja, kontakt z kontrahentami.
- 2
Opisz każdy proces
Cel, kategorie osób, kategorie danych oraz podstawa prawna (dobra praktyka, art. 30 jej nie wymaga).
- 3
Dopisz odbiorców
Biuro rachunkowe, bank, dostawca systemu, kurier. Sprawdź, czy z podmiotami przetwarzającymi są umowy powierzenia.
- 4
Ustal terminy usunięcia
Z przepisów szczególnych, z okresu przedawnienia roszczeń albo z decyzji firmy.
- 5
Opisz zabezpieczenia
Ogólnie: kontrola dostępu, szyfrowanie, kopie zapasowe, szkolenia.
- 6
Wyznacz przegląd
Rejestr aktualizuje się przy każdym nowym procesie lub narzędziu. Organ nadzorczy może żądać jego udostępnienia (art. 30 ust. 4).
Jakie czynności przetwarzania ma typowa mała firma?
Kilka powtarzalnych procesów, które da się wypisać w godzinę. Poniższa tabela to przykład do sprawdzenia we własnej firmie, a nie gotowa lista: podstawy prawne i odbiorcy zależą od tego, jak proces naprawdę przebiega.
| Czynność | Kategorie osób | Przykładowi odbiorcy |
|---|---|---|
| Zatrudnienie i rozliczanie wynagrodzeń | Pracownicy, zleceniobiorcy | Biuro rachunkowe, bank, ZUS, urząd skarbowy |
| Rekrutacja | Kandydaci do pracy | Dostawca systemu rekrutacyjnego |
| Obsługa klientów i realizacja umów | Klienci, osoby kontaktowe klientów | Dostawca poczty i hostingu, kurier |
| Wystawianie i przechowywanie faktur | Kontrahenci będący osobami fizycznymi | Biuro rachunkowe, dostawca programu księgowego |
| Marketing i newsletter | Odbiorcy, którzy zostawili dane | Dostawca narzędzia do wysyłki |
| Dochodzenie roszczeń | Dłużnicy będący osobami fizycznymi | Kancelaria, sąd, komornik |
Czy UODO udostępnia wzór rejestru?
Tak. Prezes UODO opublikował szablony rejestru czynności przetwarzania i rejestru kategorii czynności z przykładami, zastrzegając, że nie należy ich traktować jako jedynych prawidłowych wzorów. Wzór poniżej ma te same elementy co art. 30 ust. 1. Niezależnie od wzoru liczy się to, żeby administrator umiał czytelnie przedstawić wymagane elementy dla wszystkich prowadzonych procesów przetwarzania.
Jak prowadzić rejestr czynności w EXCORE?
EXCORE nie ma osobnego modułu rejestru czynności przetwarzania, ale ma dane, z których rejestr powstaje. Rejestr Systemy i narzędzia mówi, gdzie leżą dane, kto odpowiada za system i kto jest dostawcą.
- Gotowy rejestr trzymasz jako dokument w module Dokumenty.
- Politykę ochrony danych publikujesz w Politykach firmowych i zbierasz potwierdzenia zapoznania.
- Sprawy z RODO, na przykład żądanie usunięcia danych, prowadzisz w Sprawach prawnych z typem RODO i terminem.
- Kontrolę UODO odnotowujesz w module Audyty i kontrole, z zakresem, wynikiem i terminem odwołania.
- Weryfikację dwuetapową, którą wpisujesz w rejestrze jako środek bezpieczeństwa, administrator może w EXCORE wymusić dla całej firmy.
Tekst ma charakter informacyjny i nie zastępuje porady. Zawartość rejestru warto skonsultować z prawnikiem albo inspektorem ochrony danych.
Wzór do pobrania
Rejestr czynności przetwarzania danych osobowych
REJESTR CZYNNOŚCI PRZETWARZANIA DANYCH OSOBOWYCH
prowadzony na podstawie art. 30 ust. 1 RODO
Administrator: [nazwa firmy], [adres], NIP [NIP], e-mail: [adres]
Współadministratorzy (jeśli są): [nazwa i dane kontaktowe]
Przedstawiciel administratora (jeśli wyznaczony): [dane kontaktowe]
Inspektor ochrony danych (jeśli wyznaczony): [imię i nazwisko, dane kontaktowe]
Stan na: [data]
Czynność 1. [nazwa, np. Zatrudnienie i rozliczanie wynagrodzeń]
- Cel przetwarzania: [np. wykonanie umowy o pracę, obowiązki pracodawcy]
- Podstawa prawna (element dodatkowy): [np. art. 6 ust. 1 lit. b i c RODO]
- Kategorie osób, których dane dotyczą: [np. pracownicy, członkowie ich rodzin]
- Kategorie danych osobowych: [np. dane identyfikacyjne, kontaktowe, dane o wynagrodzeniu]
- Kategorie odbiorców: [np. biuro rachunkowe, bank, ZUS, urząd skarbowy]
- Przekazanie do państwa trzeciego lub organizacji międzynarodowej: [brak / nazwa państwa i dokumentacja zabezpieczeń]
- Planowany termin usunięcia danych: [okres wynikający z przepisów]
- Ogólny opis środków bezpieczeństwa: [np. dostęp tylko dla uprawnionych, weryfikacja dwuetapowa, kopie zapasowe]
Czynność 2. [nazwa, np. Rekrutacja]
- Cel przetwarzania: [...]
- Podstawa prawna (element dodatkowy): [...]
- Kategorie osób, których dane dotyczą: [...]
- Kategorie danych osobowych: [...]
- Kategorie odbiorców: [...]
- Przekazanie do państwa trzeciego lub organizacji międzynarodowej: [...]
- Planowany termin usunięcia danych: [...]
- Ogólny opis środków bezpieczeństwa: [...]
Czynność 3. [nazwa, np. Obsługa klientów i kontrahentów]
- Cel przetwarzania: [...]
- Podstawa prawna (element dodatkowy): [...]
- Kategorie osób, których dane dotyczą: [...]
- Kategorie danych osobowych: [...]
- Kategorie odbiorców: [...]
- Przekazanie do państwa trzeciego lub organizacji międzynarodowej: [...]
- Planowany termin usunięcia danych: [...]
- Ogólny opis środków bezpieczeństwa: [...]
Historia zmian
- [data], [opis zmiany], [osoba]
Rejestr prowadzi się w formie pisemnej, w tym elektronicznej (art. 30 ust. 3 RODO), i udostępnia organowi nadzorczemu na żądanie (art. 30 ust. 4 RODO).
W EXCORE ten wzór działa jako szablon dokumentu. Umów prezentację
Pytania
Czy rejestr czynności przetwarzania musi być papierowy?
Nie. Art. 30 ust. 3 RODO wymaga formy pisemnej, w tym elektronicznej. Arkusz albo dokument w systemie wystarczy.
Czy podstawa prawna musi być w rejestrze?
Art. 30 ust. 1 jej nie wymienia, ale wpisanie podstawy z art. 6 przy każdej czynności ułatwia wykazanie zgodności i przygotowanie klauzul informacyjnych.
Czym różni się rejestr czynności od rejestru kategorii czynności?
Rejestr czynności prowadzi administrator (art. 30 ust. 1). Rejestr kategorii czynności prowadzi podmiot przetwarzający dane w imieniu administratorów (art. 30 ust. 2).
Czy rejestr czynności trzeba wysłać do UODO?
Nie. Rejestru się nie zgłasza ani nie rejestruje w urzędzie. Administrator udostępnia go organowi nadzorczemu na żądanie (art. 30 ust. 4).
Źródła
EXCORE jest otwierany dla pierwszych firm.
Zobaczmy, czy pasuje do Twojej organizacji. Zostaw kontakt, a umówimy prezentację.
Umów prezentację