Każdy administrator danych osobowych zatrudniający powyżej 250 osób od 25 maja 2018 r. będzie obowiązany prowadzić rejestr czynności przetwarzania danych osobowych. Obowiązek ten spoczywa również na procesorze.
Kto musi prowadzić rejestr?
Do prowadzenia rejestru czynności będą również zobowiązane podmioty, które nie zatrudniają 250 osób, jednak:
- Przetwarzanie, którego dokonują może powodować ryzyko naruszenia praw i wolności dla osób fizycznych;
- Przetwarzanie to nie ma charakteru sporadycznego oraz dotyczy danych „wrażliwych” (art.9 RODO)
Administratorzy spełanijący powyższe warunki są obowiązani prowadzić rejestr czynności przetwarzania danych, natomiast podmioty przetwarzające rejestr kategorii przetwarzania.
Mimo wskazania wprost w RODO, jakie podmioty powinny prowadzić rejestr chciałbym Ciebie również zainspirować do stworzenia rejestru czynności Twojej organizacji.
Dlaczego?
Rejestr ułatwia organizację ochrony danych osobowych oraz pozwala zapanować nad procesami, które są związane z przetwarzaniem danych osobowych. Ułatwia tez lepszą rozliczalność realizacji postanowień RODO.
Co musi zawierać rejestr?
- Dane identyfikujące i kontaktowe administratora oraz wszelkich współadministratorów, a także gdy ma to zastosowanie – przedstawiciela administratora oraz inspektora ochrony danych;
- cele przetwarzania;
- czyje są dane oraz jaki jest ich zakres;
- komu dane są udostępniane;
- nazwę państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi, dokumentacja odpowiednich zabezpieczeń, jeżeli dane osobowe są przekazywane do państwa trzeciego lub organizacji międzynarodowej
- planowane terminy usunięcia poszczególnych kategorii danych, jeżeli jest to możliwe;
- ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1. , jeżeli jest to możliwe
Rejestr może być prowadzony w formie pisemnej, ale też elektronicznej.
Jeżeli potrzebujesz więcej wytycznych co do stworzenia rejestru czynności do w lipcu br. belgijski organ nadzoru wydał w tym zakresie wytyczne (pdf, język niderlandziki), natomiast w tym miejscu znajdziesz krótkie streszczenie tych wytycznych przygotowane w języku angielskim.
Aby pomóc Ci stworzyć ten rejestr przygotowałem specjalnie dla Ciebie jego szablon (zakładkę dla procesów na których jesteśmy ADO, jak i tych na które przetwarzamy w imieniu ADO).
Wzór rejestru znajdziesz tutaj.