Rejestr czynności przetwarzania (RCP) to podstawowy dokument RODO: opis tego, po co, o kim i jakie dane organizacja przetwarza, komu je przekazuje i kiedy je usuwa. Wymaga go art. 30 RODO, a w praktyce prowadzić go musi prawie każda szkoła, gmina, biblioteka i firma. Poniżej wyjaśniamy, co musi zawierać, kogo dotyczy i jakie błędy powtarzają się najczęściej.
Co musi zawierać rejestr administratora
Art. 30 ust. 1 RODO wymienia elementy rejestru prowadzonego przez administratora:
- imię i nazwisko lub nazwę oraz dane kontaktowe administratora, współadministratora, przedstawiciela i inspektora ochrony danych, jeśli go wyznaczono,
- cele przetwarzania,
- opis kategorii osób, których dane dotyczą, i kategorii danych osobowych,
- kategorie odbiorców, którym dane ujawniono lub zostaną ujawnione, w tym odbiorców w państwach trzecich i organizacjach międzynarodowych,
- przekazania danych do państwa trzeciego lub organizacji międzynarodowej, a w przypadkach z art. 49 ust. 1 akapit drugi - dokumentację odpowiednich zabezpieczeń,
- jeśli to możliwe, planowane terminy usunięcia poszczególnych kategorii danych,
- jeśli to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa z art. 32 ust. 1.
Rejestr prowadzi się w formie pisemnej, w tym elektronicznej (art. 30 ust. 3), i udostępnia na żądanie organowi nadzorczemu (art. 30 ust. 4). Arkusz, dokument tekstowy albo system - każda forma jest dopuszczalna, byle rejestr był kompletny i aktualny.
Kto musi prowadzić rejestr
Obowiązek dotyczy administratorów i podmiotów przetwarzających. Art. 30 ust. 5 przewiduje wyjątek dla organizacji zatrudniających mniej niż 250 osób, ale wyjątek nie działa, jeśli przetwarzanie:
- może powodować ryzyko naruszenia praw lub wolności osób,
- nie ma charakteru sporadycznego,
- obejmuje szczególne kategorie danych (art. 9 ust. 1) lub dane dotyczące wyroków skazujących i czynów zabronionych (art. 10).
Wystarczy jeden z tych warunków. Dlatego wyjątek rzadko pomaga w praktyce: kadry i płace, obsługa klientów czy ewidencja uczniów to przetwarzanie stałe, a nie sporadyczne. Szkoła przetwarza dane o zdrowiu uczniów, ośrodek pomocy społecznej dane szczególnych kategorii, a jednostka samorządowa prowadzi dziesiątki stałych czynności. Nawet tam, gdzie wyjątek formalnie by zadziałał, rejestr jest najprostszym sposobem wykazania zgodności (art. 5 ust. 2) - i punktem wyjścia dla klauzul informacyjnych i analizy ryzyka.
Ten wyjątek może się zmienić: Komisja Europejska zaproponowała w 2025 r. złagodzenie art. 30 ust. 5 w ramach upraszczania przepisów UE. Zanim się na niego powołasz, sprawdź jego aktualne brzmienie.
Rejestr administratora a rejestr podmiotu przetwarzającego
Organizacja, która przetwarza dane w imieniu innych - biuro rachunkowe, firma informatyczna, dostawca internetu obsługujący dane klientów partnera - prowadzi drugi rejestr: rejestr kategorii czynności przetwarzania (art. 30 ust. 2). Zawiera on:
- nazwę i dane kontaktowe podmiotu przetwarzającego, każdego administratora, w którego imieniu działa, ich przedstawicieli i inspektora ochrony danych,
- kategorie przetwarzań dokonywanych w imieniu każdego administratora,
- przekazania do państw trzecich,
- jeśli to możliwe, ogólny opis środków bezpieczeństwa.
| Rejestr administratora | Rejestr podmiotu przetwarzającego | |
|---|---|---|
| Podstawa | art. 30 ust. 1 | art. 30 ust. 2 |
| Opisuje | własne czynności i ich cele | kategorie czynności dla każdego administratora |
| Terminy usunięcia | tak, jeśli to możliwe | nie - decyduje administrator |
| Kategorie osób i danych | tak | nie wprost - wynikają z umowy powierzenia |
| Środki bezpieczeństwa | ogólny opis, jeśli to możliwe | ogólny opis, jeśli to możliwe |
Ta sama firma bywa jednocześnie administratorem (swoich pracowników i klientów) i podmiotem przetwarzającym (danych powierzonych). Wtedy prowadzi oba rejestry.
Najczęstsze błędy
Jedna karta na zbiór danych zamiast na czynność
Dawne przepisy kazały myśleć zbiorami danych. RODO mówi o czynnościach przetwarzania, wyznaczonych przez cel. Karta „Kadry” opisująca wszystko, co dzieje się z danymi pracowników, łączy rekrutację, zatrudnienie, wynagrodzenia, szkolenia BHP i świadczenia socjalne - a każda z nich ma inny cel, inną podstawę i inny termin usunięcia. Dobra karta odpowiada jednemu celowi. Zbiory danych warto prowadzić obok, jako wykaz powiązany z czynnościami, bo przydają się w analizie ryzyka i upoważnieniach.
Brak terminów usunięcia
„Przez okres niezbędny” nie jest terminem. Art. 30 ust. 1 lit. f dopuszcza pominięcie terminu tylko wtedy, gdy nie da się go ustalić. Zwykle się da: wynika z przepisu (na przykład archiwalnego albo podatkowego), z umowy, z czasu trwania celu albo z okresu przedawnienia roszczeń. W jednostkach publicznych pomocny jest jednolity rzeczowy wykaz akt.
Brak podstaw prawnych
Art. 30 ust. 1 nie wymienia podstawy prawnej wprost, ale rejestr bez niej jest niepełny w praktyce. Podstawę z art. 6 ust. 1 (a przy danych szczególnych - warunek z art. 9 ust. 2) trzeba podać w klauzuli informacyjnej (art. 13 ust. 1 lit. c) i wykazać przy kontroli. Gdy jest w rejestrze, klauzula i rejestr mówią to samo.
Ogólniki zamiast kategorii
„Dane osobowe” to nie kategoria danych, a „podmioty uprawnione” to nie kategoria odbiorców. Wpisz konkretnie: dane kontaktowe, numer PESEL, dane o zdrowiu; biuro rachunkowe, dostawca poczty elektronicznej, organ prowadzący, ZUS.
Rejestr, który przestał odpowiadać rzeczywistości
Rejestr spisany przy wdrożeniu i odłożony do segregatora szybko się starzeje. Nowa platforma do kontaktu z klientami, nowy dostawca kadr, monitoring w drugim budynku - każda taka zmiana powinna trafić do rejestru, a za nim do klauzul, upoważnień i analizy ryzyka.
Jak zacząć
- Spisz działy, stanowiska i systemy, w których pojawiają się dane osobowe.
- Dla każdego działu wypisz cele, w jakich przetwarza dane - jeden cel to jedna czynność.
- Do każdej czynności dopisz osoby, dane, podstawę, odbiorców, przekazania i termin usunięcia.
- Powiąż czynności z systemami, pomieszczeniami i dostawcami, którym powierzono dane.
- Ustal, kto i kiedy przegląda rejestr, i wpisz datę ostatniej zmiany.
Rejestr prowadzony w ten sposób jest też fundamentem całej dokumentacji RODO w szkole i każdej innej jednostki, a przy naruszeniu pozwala szybko ustalić, czyje dane i jakie kategorie zostały dotknięte (naruszenie ochrony danych krok po kroku).
Rejestr, z którego składa się reszta dokumentacji
W Cyberenu rejestr czynności powstaje z gotowych kart katalogu dla Twojej branży - z celami, podstawami prawnymi, kategoriami danych i okresami przechowywania. Kopia karty pokazuje, co zmieniło się w katalogu od chwili, gdy ją zrobiono. Czynność wpisana raz trafia do klauzuli informacyjnej, upoważnień i analizy ryzyka, a konsultant lub inspektor ochrony danych sprawdza ją przed wydaniem. Więcej na stronie dokumentacji RODO, formy współpracy opisuje oferta, a pytania zadasz przez stronę kontaktową.
