GIODO podpowiada, jak rejestrować czynności przetwarzania zgodnie z RODO

Ogólne rozporządzenie o ochronie danych (RODO) zobowiązuje administratorów i podmioty przetwarzające do rejestrowania czynności przetwarzania. W tym celu administrator powinien prowadzić rejestr czynności przetwarzania danych osobowych, a podmiot przetwarzający rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratora. Informacje, co powinno znaleźć się w takich rejestrach, zawiera art. 30 RODO. Aby ułatwić realizację tych obowiązków, GIODO przygotował przykładowe wzory tych rejestrów, a także wskazówki i wyjaśnienia dotyczące ich wykonywania. Organ odpowiada w nich na m.in. następujące pytania:

• Jaki jest cel prowadzenia rejestrów?
• Kto jest zobowiązany do prowadzenia rejestru czynności i rejestru kategorii czynności?
• Jak należy rozumieć pojęcie „czynności przetwarzania”?
• Czy w zakresie „kategorii odbiorców” należy wpisywać do rejestru podmioty działające z upoważnienia administratora wewnątrz jego struktury organizacyjnej?
• Czy rejestr czynności może obejmować inne elementy niż wskazane w art. 30 ust. 1 RODO?
• Jak należy rozumieć pojęcie „kategorii czynności przetwarzania” oraz „kategorii przetwarzań”?
• Dlaczego rejestr kategorii czynności przetwarzania z art. 30 ust. 2 RODO nie obejmuje tych samych elementów, co rejestr czynności z art. 30 ust. 1 RODO?
• Jakie inne elementy niż „kategorie przetwarzań” może obejmować rejestr kategorii czynności?
• Jak powinien wyglądać ogólny opis technicznych i organizacyjnych środków bezpieczeństwa?
• W jakiej formie należy prowadzić rejestr czynności i kategorii czynności?
• Czy informacje zawarte w rejestrach i wykazach zbiorów prowadzonych na podstawie ustawy o ochronie danych osobowych mogą być wykorzystane do tworzenia rejestrów, o których mowa w RODO?