Rejestr czynności przetwarzania — generator dokumentu

Rejestr czynności przetwarzania to pierwszy dokument, o który prosi Urząd Ochrony Danych Osobowych podczas kontroli. Nie polityka, nie klauzule na stronie, nie zgody. Rejestr — bo z niego widać, czy firma w ogóle wie, jakie dane przetwarza i po co.

Krążące po sieci wzory w Wordzie mają jedną wspólną wadę: są puste. Kolumny są, treści nie ma, a jej wymyślenie zajmuje więcej czasu niż zbudowanie rejestru od zera.

Co robi to narzędzie

Buduje gotowy rejestr wypełniony treścią, a nie pustą tabelę. Cele przetwarzania, kategorie danych, podstawy prawne i terminy usunięcia są wpisane na podstawie przepisów — Wy sprawdzacie, czy odpowiadają temu, co dzieje się u Was, i poprawiacie to, co się różni.

• Zaczyna od pytania, czy w ogóle musicie go prowadzić. Art. 30 ust. 5 zwalnia podmioty poniżej 250 osób, ale ma trzy wyjątki i wystarczy jeden, żeby obowiązek wrócił. Narzędzie sprawdza to zanim cokolwiek wygeneruje.
• Rozróżnia dwa rejestry. Rejestr administratora z art. 30 ust. 1 i rejestr podmiotu przetwarzającego z art. 30 ust. 2 to dwa różne dokumenty o różnej treści, nie jeden z ukrytymi polami.
• Podaje terminy przechowywania z konkretnych przepisów — 10 lat dla dokumentacji pracowniczej, 3 miesiące dla monitoringu, 20 lat dla dokumentacji medycznej, 5 lat dla dokumentów księgowych. Z artykułem przy każdym.
• Braki oznacza, nie ukrywa. Czego nie da się ustalić za Was, zostaje wyróżnione w dokumencie na czerwono, razem z listą do uzupełnienia.

Wszystko liczy się w przeglądarce. Nie zbieramy adresu e-mail, nie wymagamy rejestracji i nie zapisujemy ani jednej odpowiedzi.

„Zatrudniamy mniej niż 250 osób, więc nas to nie dotyczy”

To najczęstsze zdanie w rozmowie o rejestrze i prawie zawsze jest nieprawdziwe. Art. 30 ust. 5 RODO rzeczywiście zwalnia podmiot zatrudniający mniej niż 250 osób — chyba że przetwarzanie:

• może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą,
• nie ma charakteru sporadycznego, albo
• obejmuje szczególne kategorie danych z art. 9 ust. 1 lub dane o wyrokach skazujących z art. 10.

Przesłanki są rozłączne. Wystarczy jedna. A druga z nich przesądza sprawę w każdej działającej firmie: kadry, płace i obsługa klientów toczą się nieprzerwanie, więc przetwarzanie nie ma charakteru sporadycznego. Wyłączenie z art. 30 ust. 5 w praktyce dotyczy podmiotu, który przetwarza dane raz na jakiś czas i nie zatrudnia nikogo.

Wzory krążące w internecie albo ten ustęp pomijają, albo cytują pierwsze zdanie i urywają przed słowem „chyba że”. Firma zostaje z przekonaniem, że ma zwolnienie, którego nie ma.

Co musi zawierać rejestr administratora

Art. 30 ust. 1 wymienia siedem elementów i nie zostawia miejsca na uznaniowość — poza dwoma, przy których ustawodawca dopisał „jeżeli jest to możliwe”.

• lit. a — dane administratora, współadministratorów, przedstawiciela i inspektora ochrony danych;
• lit. b — cele przetwarzania;
• lit. c — kategorie osób i kategorie danych osobowych;
• lit. d — kategorie odbiorców, w tym w państwach trzecich;
• lit. e — przekazania poza EOG wraz z nazwą państwa i dokumentacją zabezpieczeń;
• lit. f — planowane terminy usunięcia, jeżeli jest to możliwe;
• lit. g — ogólny opis środków bezpieczeństwa z art. 32 ust. 1, jeżeli jest to możliwe.

Rejestr ma formę pisemną, w tym elektroniczną (ust. 3), i jest udostępniany na żądanie organu nadzorczego (ust. 4). Nie trzeba go nikomu wysyłać z góry — trzeba go mieć, kiedy ktoś zapyta.

Rejestr podmiotu przetwarzającego to inny dokument

Jeżeli przetwarzacie dane w cudzym imieniu — jako biuro rachunkowe, dostawca IT, firma kadrowa czy hosting — prowadzicie rejestr z art. 30 ust. 2. Ma cztery elementy zamiast siedmiu i inną oś: układa się wokół administratorów, dla których pracujecie, a nie wokół własnych celów. Nie ma w nim ani celów przetwarzania, ani kategorii osób, ani terminów usunięcia, bo o tym wszystkim decyduje administrator.

Wiele firm jest jednym i drugim naraz. Biuro rachunkowe jest administratorem wobec danych własnych pracowników i podmiotem przetwarzającym wobec danych klientów swoich klientów. Wtedy prowadzi się dwa rejestry.

Placówki medyczne — obowiązek bez wyjątków

Podmiot leczniczy przetwarza dane dotyczące zdrowia, czyli dane szczególnej kategorii w rozumieniu art. 9 ust. 1 RODO. To uruchamia trzeci wyjątek z art. 30 ust. 5, więc rejestr jest obowiązkowy niezależnie od tego, ilu pracowników zatrudnia gabinet — także w praktyce jednoosobowej.

Narzędzie ma osobny zestaw czynności dla ochrony zdrowia: dokumentacja medyczna, rejestracja i umawianie wizyt oraz badania profilaktyczne pracowników. Każdy z podstawą z art. 9 ust. 2 lit. h RODO i z terminami przechowywania z art. 29 ustawy o prawach pacjenta — łącznie z tymi, o których łatwo zapomnieć: 22 lata dla dokumentacji dzieci do drugiego roku życia i 2 lata dla skierowania, po które pacjent się nie zgłosił.

Co dalej po zbudowaniu rejestru

Rejestr opisuje stan faktyczny. Jeśli wpisujecie „kopie zapasowe wykonywane cyklicznie i testowane przez odtworzenie”, a ostatni test odbył się dwa lata temu, dokument działa przeciwko Wam — sami zadeklarowaliście środek, którego nie stosujecie. Sprawdzenie, czy praktyka odpowiada deklaracjom, to audyt bezpieczeństwa IT.

Rejestr dobrze łączy się z pozostałymi dokumentami: polityką bezpieczeństwa informacji opisującą zasady, procedurą zgłaszania incydentu na wypadek naruszenia i procedurą kopii zapasowych. Wszystkie przygotujecie tymi samymi narzędziami, bezpłatnie. Jeśli oprócz RODO dotyczą Was także przepisy o krajowym systemie cyberbezpieczeństwa, sprawdźcie to testem NIS2.