Jak może wyglądać rejestr czynności przetwarzania danych osobowych

Ogólne rozporządzenie o ochronie danych (RODO) liberalizuje przepisy dotyczące prowadzenia dokumentacji ochrony danych osobowych. Administratorzy oraz podmioty przetwarzające będą jednak zobowiązani do prowadzenia w formie pisemnej rejestru czynności przetwarzania danych (w przypadku podmiotów przetwarzających będzie to rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratora). Może on być prowadzony zarówno w formie papierowej, jak i elektronicznej. Podstawowym celem prowadzenia rejestru jest dokumentowanie czynności przetwarzania danych osobowych. W przypadku kontroli organu nadzorczego administrator lub podmiot przetwarzający będzie musiał udostępnić rejestr kontrolującym.

Z obowiązku prowadzenia rejestru zwolnieni będą administratorzy zatrudniający mniej niż 250 pracowników, chyba że przetwarzanie danych przez te podmioty:

• może powodować ryzyko naruszenia praw i wolności osób, których dane dotyczą,
• nie ma charakteru sporadycznego,
• obejmuje szczególne kategorie danych osobowych,
• dotyczy danych na temat wyroków skazujących i naruszeń praw.

Katalog informacji, jakie będą musiały znaleźć się w rejestrze czynności przetwarzania danych, w dużej mierze pokrywa się z informacjami, jakie dotychczas administratorzy danych podawali, zgłaszając zbiór do Generalnego Inspektora Ochrony Danych Osobowych. Zgodnie z art. 30 RODO rejestr czynności przetwarzania danych powinien zawierać:

• imię i nazwisko lub nazwę oraz dane kontaktowe administratora, a także wszelkich współadministratorów, i gdy ma to zastosowanie – przedstawiciela administratora oraz inspektora ochrony danych,
• cel przetwarzania,
• opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych,
• kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub organizacjach międzynarodowych,
• przekazanie danych osobowych do państwa trzeciego lub organizacji międzynarodowej,
• planowane terminy usunięcia poszczególnych kategorii danych,
• opis technicznych i organizacyjnych środków bezpieczeństwa mających zapewnić odpowiedni poziom bezpieczeństwa, o których mowa w art. 32 ust. 1 RODO.

Rejestr czynności przetwarzania danych osobowych