Rejestr czynności przetwarzania danych – kiedy nie ma obowiązku jego prowadzenia

Co do zasady prowadzenie rejestru czynności przetwarzania to prawny obowiązek. Są jednak z jego zwolnieni administratorzy zatrudniający mniej niż 250 pracowników. Dotyczy to odpowiednio rejestru kategorii czynności przetwarzania prowadzonego przez procesorów. Rozwiązanie to zostało przewidziane w art. 30 ust. 5 RODO z uwagi na specyfikę ochrony danych osobowych w mikroprzedsiębiorstwach, a także małych i średnich przedsiębiorstwach.

Od tej reguły w przepisach RODO przewidziano jednak istotne wyjątki. W razie ich wystąpienia prowadzenie rejestru będzie obowiązkowe, nawet jeżeli administrator danych osobowych (podmiot przetwarzający) zatrudnia mniej niż 250 pracowników.

Wystarczy spełnienie jednego z powyższych warunków, a administrator (procesor) będzie musiał prowadzić rejestr bez względu na liczbę pracowników. Niestety wyjątki przedstawione w art. 30 ust. 5 RODO budzą wątpliwości interpretacyjne, ponieważ zawierają sformułowania nieostre. Dlatego warto sięgnąć do Wytycznych Grupy Roboczej Art. 29.

W odniesieniu do pierwszego z wyjątków Grupa Robocza Art. 29 wskazuje, że ryzyko naruszenia praw lub wolności osób, których dotyczą dane, wcale nie musi być wysokie. Oznacza to, że co do zasady każde ryzyko naruszenia skutkuje obowiązkiem prowadzenia rejestru bez względu na liczbę pracowników. Wyjątkiem jest sytuacja, w której wystąpienie takiego ryzyka jest mało prawdopodobne.

Odnośnie do sporadycznego przetwarzania danych, Grupa Robocza Art. 29 podała przykład z zakresu kadr. Otóż przetwarzanie danych osobowych pracowników, niezależnie od ich liczby, zwykle trudno uznać za sporadyczne.

Trzeci z wyjątków, odmiennie od wyżej wymienionych, jest akurat dość oczywisty. Dotyczy on bowiem przetwarzania danych:

• wrażliwych (art. 9 RODO),
• dotyczących wyroków skazujących lub czynów zabronionych (art. 10 RODO).

Grupa Robocza Art. 29 sformułowała jeszcze jeden dosyć istotny wniosek. Otóż w przypadku wystąpienia jednego z przedstawionych wyjątków organizacja musi prowadzić rejestr jedynie w zakresie czynności (kategorii czynności) przetwarzania objętych tym wyjątkiem.