Rejestr czynności przetwarzania – generator dokumentu

Rejestr czynności przetwarzania to pierwszy dokument, o który prosi Urząd Ochrony Danych Osobowych podczas kontroli. Nie polityka, nie klauzule na stronie, nie zgody. Rejestr – bo z niego widać, czy firma w ogóle wie, jakie dane przetwarza i po co.

Krążące po sieci wzory w Wordzie mają jedną wspólną wadę: są puste. Kolumny są, treści nie ma, a jej wymyślenie zajmuje więcej czasu niż zbudowanie rejestru od zera.

Co robi to narzędzie

Buduje gotowy rejestr wypełniony treścią, a nie pustą tabelę. Cele przetwarzania, kategorie danych, podstawy prawne i terminy usunięcia są wpisane na podstawie przepisów – Wy sprawdzacie, czy odpowiadają temu, co dzieje się u Was, i poprawiacie to, co się różni.

• Zaczyna od pytania, czy w ogóle musicie go prowadzić. Art. 30 ust. 5 zwalnia podmioty poniżej 250 osób, ale ma trzy wyjątki i wystarczy jeden, żeby obowiązek wrócił. Narzędzie sprawdza to zanim cokolwiek wygeneruje.
• Rozróżnia dwa rejestry. Rejestr administratora z art. 30 ust. 1 i rejestr podmiotu przetwarzającego z art. 30 ust. 2 to dwa różne dokumenty o różnej treści, nie jeden z ukrytymi polami.
• Podaje terminy przechowywania z konkretnych przepisów – 10 lat dla dokumentacji pracowniczej, 3 miesiące dla monitoringu, 20 lat dla dokumentacji medycznej, 5 lat dla dokumentów księgowych. Z artykułem przy każdym.
• Braki oznacza, nie ukrywa. Czego nie da się ustalić za Was, zostaje wyróżnione w dokumencie na czerwono, razem z listą do uzupełnienia.

Wszystko liczy się w przeglądarce. Nie zbieramy adresu e-mail, nie wymagamy rejestracji i nie zapisujemy ani jednej odpowiedzi.

„Zatrudniamy mniej niż 250 osób, więc nas to nie dotyczy”

To najczęstsze zdanie w rozmowie o rejestrze i prawie zawsze jest nieprawdziwe. Art. 30 ust. 5 RODO rzeczywiście zwalnia podmiot zatrudniający mniej niż 250 osób – chyba że przetwarzanie:

• może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą,
• nie ma charakteru sporadycznego, albo
• obejmuje szczególne kategorie danych z art. 9 ust. 1 lub dane o wyrokach skazujących z art. 10.

Przesłanki są rozłączne. Wystarczy jedna. A druga z nich przesądza sprawę w każdej działającej firmie: kadry, płace i obsługa klientów toczą się nieprzerwanie, więc przetwarzanie nie ma charakteru sporadycznego. Wyłączenie z art. 30 ust. 5 w praktyce dotyczy podmiotu, który przetwarza dane raz na jakiś czas i nie zatrudnia nikogo.

Wzory krążące w internecie albo ten ustęp pomijają, albo cytują pierwsze zdanie i urywają przed słowem „chyba że”. Firma zostaje z przekonaniem, że ma zwolnienie, którego nie ma.

Co musi zawierać rejestr administratora

Art. 30 ust. 1 wymienia siedem elementów i nie zostawia miejsca na uznaniowość – poza dwoma, przy których ustawodawca dopisał „jeżeli jest to możliwe”.

• lit. a – dane administratora, współadministratorów, przedstawiciela i inspektora ochrony danych;
• lit. b – cele przetwarzania;
• lit. c – kategorie osób i kategorie danych osobowych;
• lit. d – kategorie odbiorców, w tym w państwach trzecich;
• lit. e – przekazania poza EOG wraz z nazwą państwa i dokumentacją zabezpieczeń;
• lit. f – planowane terminy usunięcia, jeżeli jest to możliwe;
• lit. g – ogólny opis środków bezpieczeństwa z art. 32 ust. 1, jeżeli jest to możliwe.

Rejestr ma formę pisemną, w tym elektroniczną (ust. 3), i jest udostępniany na żądanie organu nadzorczego (ust. 4). Nie trzeba go nikomu wysyłać z góry – trzeba go mieć, kiedy ktoś zapyta.

Rejestr podmiotu przetwarzającego to inny dokument

Jeżeli przetwarzacie dane w cudzym imieniu – jako biuro rachunkowe, dostawca IT, firma kadrowa czy hosting – prowadzicie rejestr z art. 30 ust. 2. Ma cztery elementy zamiast siedmiu i inną oś: układa się wokół administratorów, dla których pracujecie, a nie wokół własnych celów. Nie ma w nim ani celów przetwarzania, ani kategorii osób, ani terminów usunięcia, bo o tym wszystkim decyduje administrator.

Wiele firm jest jednym i drugim naraz. Biuro rachunkowe jest administratorem wobec danych własnych pracowników i podmiotem przetwarzającym wobec danych klientów swoich klientów. Wtedy prowadzi się dwa rejestry.

Placówki medyczne – obowiązek bez wyjątków

Podmiot leczniczy przetwarza dane dotyczące zdrowia, czyli dane szczególnej kategorii w rozumieniu art. 9 ust. 1 RODO. To uruchamia trzeci wyjątek z art. 30 ust. 5, więc rejestr jest obowiązkowy niezależnie od tego, ilu pracowników zatrudnia gabinet – także w praktyce jednoosobowej.

Narzędzie ma osobny zestaw czynności dla ochrony zdrowia: dokumentacja medyczna, rejestracja i umawianie wizyt oraz badania profilaktyczne pracowników. Każdy z podstawą z art. 9 ust. 2 lit. h RODO i z terminami przechowywania z art. 29 ustawy o prawach pacjenta – łącznie z tymi, o których łatwo zapomnieć: 22 lata dla dokumentacji dzieci do drugiego roku życia i 2 lata dla skierowania, po które pacjent się nie zgłosił.

Co dalej po zbudowaniu rejestru

Rejestr opisuje stan faktyczny. Jeśli wpisujecie „kopie zapasowe wykonywane cyklicznie i testowane przez odtworzenie”, a ostatni test odbył się dwa lata temu, dokument działa przeciwko Wam – sami zadeklarowaliście środek, którego nie stosujecie. Sprawdzenie, czy praktyka odpowiada deklaracjom, to audyt bezpieczeństwa IT.

Rejestr dobrze łączy się z pozostałymi dokumentami: polityką bezpieczeństwa informacji opisującą zasady, procedurą zgłaszania incydentu na wypadek naruszenia i procedurą kopii zapasowych. Wszystkie przygotujecie tymi samymi narzędziami, bezpłatnie. Jeśli oprócz RODO dotyczą Was także przepisy o krajowym systemie cyberbezpieczeństwa, sprawdźcie to testem NIS2.