Urząd zatrudnia mniej niż 250 osób – czy musi prowadzić rejestr czynności przetwarzania

Zgodnie z art. 30 ust. 1 ogólnego rozporządzenia o ochronie danych (RODO) każdy administrator musi prowadzić rejestr czynności przetwarzania danych osobowych, za które odpowiada. Ustęp 5 tego artykułu zawiera jednak wyjątek od tej zasady. Rejestru czynności przetwarzania danych osobowych według RODO nie będą musiały prowadzić podmioty, które zatrudniają mniej niż 250 osób, chyba że:

• prowadzą przetwarzanie danych, które może powodować ryzyko naruszenia praw i wolności osób fizycznych,
• przetwarzanie, które prowadzą, nie ma charakteru sporadycznego, lub
• przetwarzanie obejmuje szczególne kategorie danych osobowych (art. 9 RODO) lub dane dotyczące wyroków skazujących i naruszeń prawa (art. 10 RODO).

Nawet jeżeli urząd gminy lub urząd miasta zatrudnia mniej niż 250 osób, dopiero jeśli nie będzie spełniał wymienionych warunków, nie będzie musiał prowadzić rejestru czynności przetwarzania danych osobowych. Jeżeli więc urząd nie przetwarza danych sporadycznie lub przetwarza szczególne kategorie danych bądź przetwarzanie danych może powodować ryzyko naruszenia praw i wolności osób fizycznych, będzie musiał prowadzić rejestr czynności przetwarzania. Po przeanalizowaniu tych wszystkich czynników należy podjąć decyzję o prowadzeniu bądź nie rejestru czynności przetwarzania danych osobowych.