Rejestr czynności przetwarzania — jak go prowadzić

Kto ma obowiązek prowadzić rejestr

Obowiązek wynika z art. 30 ust. 1 RODO i dotyczy administratora danych. Przepis przewiduje wyłączenie dla podmiotów zatrudniających mniej niż 250 osób (ust. 5), ale jest ono obwarowane trzema warunkami i odpada, gdy spełniony jest choćby jeden z nich:

• przetwarzanie może powodować ryzyko naruszenia praw lub wolności osób,
• przetwarzanie nie ma charakteru sporadycznego,
• przetwarzanie obejmuje szczególne kategorie danych (art. 9 ust. 1) albo dane dotyczące wyroków skazujących i czynów zabronionych (art. 10).

W praktyce wystarczy zatrudniać pracowników: prowadzenie akt osobowych i wypłacanie wynagrodzeń jest przetwarzaniem regularnym, a nie sporadycznym. Dlatego wyłączenie, na które wiele podmiotów się powołuje, prawie nigdy nie działa — a spór o to toczy się już po kontroli, w najgorszym możliwym momencie.

W jednostkach samorządu sprawa ma dodatkowe piętro: administratorem nie jest gmina jako taka. Odrębnymi administratorami bywają wójt (burmistrz, prezydent), rada gminy, kierownik urzędu stanu cywilnego czy ośrodek pomocy społecznej — każdy z nich prowadzi własny rejestr. Wrzucenie ich do jednego pliku jest najczęstszym błędem konstrukcyjnym w dokumentacji jednostek publicznych.

Co musi zawierać każdy wpis

Art. 30 ust. 1 RODO wymienia siedem elementów. Wpis, w którym brakuje któregokolwiek, jest niekompletny:

1. Dane administratora — nazwa i dane kontaktowe, a gdy dotyczy: współadministratora, przedstawiciela oraz inspektora ochrony danych.
2. Cele przetwarzania — po co dane są przetwarzane w tej konkretnej czynności.
3. Kategorie osób i kategorie danych — czyich danych dotyczy czynność i jakie to dane.
4. Kategorie odbiorców — komu dane są lub będą ujawniane, łącznie z odbiorcami w państwach trzecich i organizacjach międzynarodowych.
5. Przekazania do państwa trzeciego — jeżeli występują: nazwa państwa lub organizacji, a przy przekazaniach z art. 49 ust. 1 akapit drugi także dokumentacja zabezpieczeń.
6. Planowane terminy usunięcia poszczególnych kategorii danych — jeżeli jest to możliwe.
7. Ogólny opis środków bezpieczeństwa z art. 32 ust. 1 — jeżeli jest to możliwe.

Zwróć uwagę na to, czego na tej liście nie ma: podstawy prawnej. Art. 30 ust. 1 jej nie wymaga i jest to jedno z częstszych nieporozumień. Mimo to podstawę należy wpisywać — bez niej rejestr nie odpowiada na pytanie, czy przetwarzanie w ogóle jest legalne, a to administrator musi umieć wykazać (art. 5 ust. 2 RODO). Jeżeli podstawą jest prawnie uzasadniony interes z art. 6 ust. 1 lit. f, do wpisu powinien istnieć osobny test równowagi.

Rejestr ma mieć formę pisemną, w tym elektroniczną (ust. 3), i jest udostępniany Prezesowi UODO na żądanie (ust. 4).

Dwa rejestry, nie jeden

Art. 30 opisuje dwa różne rejestry i mylenie ich jest błędem, który trudno naprawić późno:

Wiele podmiotów jest jednocześnie jednym i drugim: urząd jest administratorem swoich danych kadrowych, a biuro rachunkowe obsługujące jego płace jest wobec nich podmiotem przetwarzającym i prowadzi rejestr z ust. 2. Jeżeli świadczysz usługi na cudzych danych, potrzebujesz obu rejestrów.

Pięć błędów, które widać najczęściej

1. Jeden rejestr dla kilku administratorów. Najczęstsze w gminach i związkach międzygminnych. Rejestr z art. 30 jest z definicji przypisany do jednego administratora — połączony nie daje się ani okazać, ani rzetelnie zaktualizować.
2. Puste terminy usunięcia. Przepis mówi „jeżeli jest to możliwe”, co bywa czytane jako furtka. W praktyce dla dokumentacji pracowniczej czy akt sprawy termin wynika wprost z przepisów o archiwizacji — jest więc możliwy do ustalenia i jego brak jest brakiem, a nie skorzystaniem z zastrzeżenia.
3. Opis systemu zamiast opisu czynności. Rejestr nie jest spisem programów komputerowych. Czynnością jest „prowadzenie akt osobowych”, a nie „system kadrowy” — ta sama aplikacja obsługuje zwykle kilka różnych czynności o różnych celach i różnych terminach usunięcia.
4. Rejestr aktualizowany raz w roku. Dokument opisuje stan faktyczny. Nowa usługa, nowy system czy nowa umowa powierzenia zmieniają go z dnia na dzień, a przegląd roczny oznacza, że przez większość czasu rejestr jest nieprawdziwy.
5. Brak śladu zmian. Art. 5 ust. 2 wymaga wykazania zgodności. Rejestr w arkuszu nie odpowiada na pytanie, kto i kiedy zmienił wpis — a to właśnie bywa przedmiotem pytania podczas kontroli.

Jak zacząć, gdy rejestru nie ma wcale

Najskuteczniejsza kolejność jest odwrotna do intuicyjnej. Nie zaczyna się od formularza, tylko od listy administratorów danych w jednostce — bo ona przesądza, ile rejestrów w ogóle powstanie. Potem, dla każdego z nich:

1. spisz komórki organizacyjne i zadania, które realizują,
2. dla każdego zadania nazwij czynność przetwarzania i jej cel,
3. ustal podstawę prawną — przy zadaniach publicznych zwykle art. 6 ust. 1 lit. c lub e wraz z przepisem, który zadanie nakłada,
4. dopiero na końcu uzupełniaj kategorie danych, odbiorców i terminy.

Rejestr zbudowany od zadań jest kompletny, bo zadania są spisane w regulaminie organizacyjnym. Rejestr budowany „z pamięci” zawsze pomija te same rzeczy: monitoring, rekrutację, zakładowy fundusz świadczeń socjalnych i korespondencję.

Najczęstsze pytania

W praktyce

Jak wygląda rejestr czynności w SZODO

SZODO prowadzi rejestr z art. 30 ust. 1 jako osobny rejestr dla każdego administratora danych — w jednej opłacie za organizację, więc gmina z wójtem, radą i USC nie płaci trzy razy. Formularz ma pola wymagane przez przepis, a nazwy kategorii i odbiorców pochodzą ze słowników, więc te same rzeczy nazywają się tak samo w całym rejestrze.

Każdy zapis tworzy wersję wpisu z datą i autorem, a rejestr drukuje się do PDF w układzie do okazania. Wpisy oparte na art. 6 ust. 1 lit. f aplikacja sama wskazuje jako wymagające testu równowagi, a przy czynnościach o wysokim ryzyku — jako wymagające oceny skutków.

Słowniki, które dopisujesz sam

Cele przetwarzania, kategorie danych, kategorie osób, odbiorcy, podstawy prawne i środki bezpieczeństwa pochodzą ze słowników, a nie z pól tekstowych. Dzięki temu ta sama rzecz nazywa się tak samo w całym rejestrze — co przy kilkuset wpisach jest różnicą między dokumentem a zbiorem notatek.

Słowniki są otwarte: możesz dodawać własne pozycje, zmieniać ich nazwy i archiwizować te, których już nie używasz (pozycja użyta w jakimkolwiek wpisie nie znika — archiwizacja ukrywa ją tylko przy nowych wyborach, żeby stare wpisy pozostały czytelne). Część słowników jest wspólna dla instalacji, część należy do konkretnego administratora danych — komórki organizacyjne czy programy i zasoby są w każdej jednostce inne. Import CSV dopisuje brakujące pozycje sam, więc rejestr przeniesiony z arkusza nie wymaga wcześniejszego uzupełniania list.