Kto prowadzi rejestr
Każdy administrator prowadzi rejestr czynności przetwarzania danych osobowych, za które odpowiada (art. 30 ust. 1).
Zwolnienie dotyczy przedsiębiorcy lub podmiotu zatrudniającego mniej niż 250 osób – ale nie, gdy przetwarzanie (art. 30 ust. 5):
- może powodować ryzyko naruszenia praw lub wolności osób,
- nie ma charakteru sporadycznego,
- obejmuje szczególne kategorie danych (art. 9 ust. 1) albo dane o wyrokach skazujących i naruszeniach prawa (art. 10).
Wskazówka: jeśli przyjmujesz rezerwacje albo zamówienia na bieżąco, sprawdź warunek „nie ma charakteru sporadycznego” – w razie wątpliwości bezpieczniej prowadzić rejestr.
Co wpisać do rejestru (art. 30 ust. 1)
Administrator
Imię i nazwisko lub nazwa oraz dane kontaktowe administratora i współadministratorów, a gdy ma to zastosowanie – przedstawiciela i inspektora ochrony danych (lit. a).
Cele przetwarzania
Np. obsługa rezerwacji, realizacja zamówień, wysyłka newslettera (lit. b).
Kategorie osób i danych
Np. goście – imię, nazwisko, adres, telefon; subskrybenci – e-mail (lit. c).
Kategorie odbiorców
Komu dane zostały lub zostaną ujawnione, także w państwach trzecich (lit. d).
Przekazanie poza UE
Gdy ma to zastosowanie – nazwa państwa trzeciego lub organizacji międzynarodowej (lit. e).
Terminy usunięcia
Jeżeli to możliwe – planowane terminy usunięcia poszczególnych kategorii danych (lit. f).
Zabezpieczenia
Jeżeli to możliwe – ogólny opis technicznych i organizacyjnych środków bezpieczeństwa z art. 32 ust. 1 (lit. g).
Forma i kontrola
Na piśmie lub elektronicznie
Rejestr ma formę pisemną, w tym elektroniczną – wystarczy plik (art. 30 ust. 3).
Na żądanie organu
Rejestr udostępniasz na żądanie organu nadzorczego (art. 30 ust. 4).
Gdy przetwarzasz dane dla kogoś
Podmiot przetwarzający – np. firma zarządzająca apartamentami w imieniu właścicieli – prowadzi osobny rejestr kategorii przetwarzań dokonywanych w imieniu administratora (art. 30 ust. 2).
Rejestr z gotowymi przykładami – pakiet RODO
Źródła
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO), Dz.U. UE L 119 z 4.5.2016, CELEX 32016R0679 – tekst w EUR-Lex. Stosuje się od 25 maja 2018 r. (art. 99 ust. 2), bezpośrednio we wszystkich państwach UE.
Art. 30 ust. 1–5 – rejestr czynności przetwarzania; art. 9 ust. 1 i art. 10 – szczególne kategorie danych i dane o wyrokach; art. 32 ust. 1 – środki bezpieczeństwa.
Opis według tekstu RODO opublikowanego w Dzienniku Urzędowym UE. Nie omawiamy polskich przepisów uzupełniających. To materiał informacyjny, nie porada prawna.
Pytania
Czy mała firma musi prowadzić rejestr czynności przetwarzania?
Firmy zatrudniające mniej niż 250 osób są zwolnione, chyba że przetwarzanie może powodować ryzyko naruszenia praw lub wolności osób, nie ma charakteru sporadycznego albo obejmuje szczególne kategorie danych lub dane o wyrokach (art. 30 ust. 5 RODO).
Co musi zawierać rejestr czynności przetwarzania?
Dane administratora, cele przetwarzania, kategorie osób i danych, kategorie odbiorców, przekazania poza UE, a jeśli to możliwe – terminy usunięcia danych i opis zabezpieczeń (art. 30 ust. 1 lit. a–g RODO).
Czy rejestr może być w Excelu?
RODO wymaga formy pisemnej, w tym elektronicznej (art. 30 ust. 3) – plik elektroniczny spełnia ten wymóg formy.
Zobacz też
Klauzula informacyjna RODO: co musi zawierać i kiedy ją podać
Oznaczanie treści z AI w firmie: kiedy i jak (AI Act)
Pakiet RODO: generator klauzuli, rejestr czynności i kalkulator terminów
Pakiet AI w firmie: oznaczenia treści, rejestr szkoleń, polityka AI
Prawda czy fałsz? Sprawdź, co wiesz o nowych przepisach
Darmowa lista kontrolna: RODO w małej firmie
Najważniejsze obowiązki RODO dla wynajmujących, sklepów i małych firm w jednym PDF-ie – z artykułem przy każdym punkcie. Wyślemy ją na Twój adres e-mail.