Słownik pojęć e-MSI

Rejestr czynności przetwarzania

Rejestr czynności przetwarzania to prowadzony na piśmie lub elektronicznie wykaz procesów, w których organizacja przetwarza dane osobowe, wymagany przez art. 30 RODO. Dla każdej czynności podaje cel, kategorie osób i danych, odbiorców, przekazania do państw trzecich, a jeśli to możliwe - terminy usunięcia i ogólny opis zabezpieczeń. Udostępnia się go na żądanie Prezesa UODO.

6 pytań i odpowiedzi5 powiązane hasła

Po co prowadzi się rejestr czynności przetwarzania

Rejestr to mapa danych osobowych w organizacji: pokazuje, w jakich procesach dane się pojawiają, w jakim celu, komu trafiają i kiedy powinny zniknąć. RODO wymaga od administratora nie tylko przestrzegania zasad, ale też umiejętności wykazania, że ich przestrzega - to zasada rozliczalności z art. 5 ust. 2. Rejestr jest do tego punktem wyjścia. Na żądanie organu nadzorczego trzeba go udostępnić, a w codziennej pracy korzystają z niego inspektor ochrony danych, dział prawny i IT: przy ocenie skutków dla ochrony danych, przy odpowiedzi na żądanie dostępu do danych i przy analizie naruszenia. Jedna pozycja rejestru to jedna czynność, czyli proces z jednym celem - rekrutacja, obsługa reklamacji, obieg faktur kosztowych, monitoring wizyjny.

Kto musi prowadzić rejestr czynności przetwarzania

Obowiązek ma każdy administrator - firma, urząd, szkoła, fundacja - oraz każdy podmiot przetwarzający, czyli ten, kto przetwarza dane na zlecenie: biuro rachunkowe, agencja kadrowa, dostawca systemu w chmurze. Administrator prowadzi rejestr czynności, podmiot przetwarzający - rejestr kategorii czynności wykonywanych w imieniu każdego klienta.

Art. 30 ust. 5 RODO zwalnia z obowiązku podmioty zatrudniające mniej niż 250 osób, ale wyjątek jest wąski. Nie działa, gdy przetwarzanie może powodować ryzyko dla praw lub wolności osób, nie ma charakteru sporadycznego albo obejmuje dane szczególnych kategorii lub dane o wyrokach skazujących. Wystarczy jeden z tych warunków. UODO, powołując się na stanowisko europejskich organów nadzorczych, podaje przykład: mała firma, która systematycznie przetwarza dane pracowników, nie robi tego sporadycznie. W praktyce rejestr prowadzi więc prawie każdy pracodawca. Komisja Europejska zaproponowała w maju 2025 r. złagodzenie wyjątku, a w czerwcu 2026 r. Parlament Europejski i Rada UE wstępnie uzgodniły zmiany. Dopóki nie zostaną formalnie przyjęte i nie zaczną obowiązywać, stosuje się próg 250 osób i opisane wyżej warunki.

Co zawiera rejestr czynności - elementy z art. 30 RODO

Imię i nazwisko lub nazwa oraz dane kontaktowe administratora, współadministratorów, przedstawiciela i inspektora ochrony danych.
Cele przetwarzania.
Opis kategorii osób, których dane dotyczą, i kategorii danych.
Kategorie odbiorców, także w państwach trzecich i organizacjach międzynarodowych.
Przekazania danych do państw trzecich lub organizacji międzynarodowych wraz z ich nazwą.
Jeżeli to możliwe - planowane terminy usunięcia danych.
Jeżeli to możliwe - ogólny opis technicznych i organizacyjnych środków bezpieczeństwa.

Przepisy nie narzucają wzoru. UODO udostępnił przykładowe szablony, ale zastrzega, że to propozycja. Wiele organizacji dodaje kolumny spoza art. 30: podstawę prawną, źródło danych, system IT, w którym dane są przechowywane, i właściciela procesu. Dzięki nim rejestr pomaga odpowiadać na żądania osób i szacować ryzyko, a nie tylko leży w segregatorze.

Rejestr czynności w praktyce - procesy, systemy i e-MSI

Rejestr najlepiej budować od procesów, a nie od systemów. Kadry nie myślą o „bazie kadrowej”, tylko o zatrudnieniu, urlopach i delegacjach. Dla każdego procesu trzeba ustalić, jakie dokumenty w nim krążą, kto je widzi i gdzie trafiają. Najtrudniejsze są zwykle rubryki o zabezpieczeniach i terminach usunięcia, bo wymagają wiedzy od IT i z archiwum.

Gdy proces działa w systemie, łatwiej opisać go zgodnie z rzeczywistością. Platforma JobRouter®, na której e-MSI wdraża procesy, daje dostęp do danych tylko uprawnionym rolom i może zapisywać każdą operację z informacją, kto, kiedy i co zrobił. Tam, gdzie dokumenty z danymi osobowymi są publikowane lub przekazywane dalej, e-MSI oferuje anonimizację dokumentów: system wykrywa dane osobowe, użytkownik weryfikuje zaczernienia, a wersja końcowa jest nieodwracalna. To konkretne środki, które można wpisać do rubryki o zabezpieczeniach. Więcej o mechanizmach ochrony na stronie bezpieczeństwo systemów.

Najczęstsze błędy w rejestrze czynności przetwarzania

Rejestr przygotowany raz w 2018 r. i nigdy nieaktualizowany, choć doszły nowe systemy i dostawcy.
Czynności nazwane od systemów („ERP”, „poczta”) zamiast od procesów z celem.
Cel opisany ogólnikiem w rodzaju „prowadzenie działalności”.
Brak terminów usunięcia albo wpis „bezterminowo” przy CV kandydatów.
Pominięte czynności poboczne: monitoring, rejestr wejść, formularz kontaktowy, nagrania rozmów.
Mylenie rejestru czynności z dokumentacją naruszeń z art. 33 ust. 5 RODO.
Podmiot przetwarzający bez rejestru kategorii czynności wykonywanych dla klientów.

Przykłady zastosowania

Biuro rachunkowe prowadzi płace dla kilkudziesięciu klientów. Dla własnych pracowników ma rejestr czynności jako administrator, a dla klientów - rejestr kategorii czynności jako podmiot przetwarzający.

Firma produkcyjna zatrudniająca 60 osób prowadzi rejestr, bo kadry i płace przetwarza stale, a w aktach pracowników są orzeczenia o niepełnosprawności, czyli dane o zdrowiu.

Urząd gminy wpisuje do rejestru czynność „publikacja decyzji w BIP”, a w rubryce o zabezpieczeniach podaje anonimizację danych osobowych przed publikacją.

Firma przenosi obieg faktur kosztowych do systemu w chmurze. Inspektor ochrony danych dopisuje dostawcę jako odbiorcę, bo faktury od jednoosobowych działalności zawierają dane osobowe.

Dział HR ustala, że CV kandydatów z zakończonej rekrutacji usuwa po trzech miesiącach, i wpisuje ten termin do rejestru przy czynności „rekrutacja”.

Najczęstsze pytania

Kiedy trzeba prowadzić rejestr czynności przetwarzania?

Co do zasady zawsze, gdy organizacja przetwarza dane osobowe jako administrator lub podmiot przetwarzający, niezależnie od branży. Zwolnienie z art. 30 ust. 5 RODO dotyczy tylko podmiotów zatrudniających mniej niż 250 osób i tylko wtedy, gdy przetwarzanie jest sporadyczne, nie może powodować ryzyka dla praw lub wolności osób i nie obejmuje danych szczególnych kategorii ani danych o wyrokach.

Czy mała firma musi prowadzić rejestr czynności przetwarzania?

Zwykle tak. Wyjątek dla firm poniżej 250 osób przestaje działać, gdy przetwarzanie nie jest sporadyczne. Firma, która stale prowadzi kadry i płace, obsługuje klientów albo sklep internetowy, przetwarza dane systematycznie. UODO wprost wskazuje, że regularne przetwarzanie danych pracowników w małej organizacji wymaga rejestru.

Co musi zawierać rejestr czynności przetwarzania?

Dane administratora i inspektora ochrony danych, cele przetwarzania, kategorie osób i danych, kategorie odbiorców, przekazania do państw trzecich, a jeśli to możliwe - planowane terminy usunięcia i ogólny opis zabezpieczeń. Tyle wymaga art. 30 ust. 1 RODO. Podstawę prawną czy system IT można dodać dobrowolnie.

Jaki jest wzór rejestru kategorii czynności przetwarzania?

Nie ma obowiązkowego wzoru. Rejestr kategorii czynności prowadzi podmiot przetwarzający, np. biuro rachunkowe, dla administratorów, na których zlecenie pracuje. UODO opublikował przykładowe szablony tego rejestru i rejestru czynności, zaznaczając, że to propozycja. Wystarczy arkusz lub tabela z danymi podmiotu, administratorów i inspektora, kategoriami przetwarzań, przekazaniami do państw trzecich i, jeśli to możliwe, opisem zabezpieczeń.

Czy IOD może prowadzić rejestr czynności przetwarzania?

Tak. RODO tego nie zabrania, a wytyczne europejskich organów nadzorczych w sprawie inspektorów wprost dopuszczają powierzenie mu prowadzenia rejestru. Obowiązek i odpowiedzialność zostają jednak przy administratorze lub podmiocie przetwarzającym, a nie przechodzą na inspektora. W praktyce IOD koordynuje prace, a opis procesów dostarczają ich właściciele z kadr, księgowości i IT.

Jaka kara grozi za brak rejestru czynności przetwarzania?

Naruszenie art. 30 RODO podlega karze do 10 mln euro, a w przypadku przedsiębiorstwa do 2 proc. rocznego światowego obrotu - obowiązuje kwota wyższa. Wysokość zależy od okoliczności sprawy. Prezes UODO może też nakazać dostosowanie przetwarzania do przepisów i wskazać termin.