RODO – Rejestry czynności przetwarzania danych

Ogólne Rozporządzenie o Ochronie Danych nakłada, zgodnie z art. 30 RODO, obowiązek pisemnej dokumentacji i przeglądu procedur, według których przetwarzane są dane osobowe. Rejestry czynności przetwarzania muszą zawierać istotne informacje na temat przetwarzania danych, w tym kategorie danych, grupę osób, których dane dotyczą, cel przetwarzania oraz odbiorców danych. Musi to być w pełni udostępnione organom na żądanie.

Obowiązek tworzenia rejestru czynności przetwarzania danych jest nałożony nie tylko na administratora danych i jego przedstawiciela, ale również bezpośrednio na podmiot przetwarzający i jego przedstawicieli, jak określono w art. 30(2) RODO. Z kolei, firmy lub instytucje zatrudniające mniej niż 250 pracowników są zwolnione z prowadzenia rejestru, jeśli przetwarzanie nie stanowi ryzyka dla praw i wolności podmiotu danych, jeśli nie przetwarza się szczególnych kategorii danych lub jeśli przetwarzanie odbywa się jedynie okazjonalnie, jak wskazuje art. 30(5) RODO. W praktyce jednak, to zwolnienie rzadko kiedy ma zastosowanie. Oprócz trudności w interpretacji, co oznacza „jedynie okazjonalnie”, w większości firm – nawet przy szerokiej interpretacji tego terminu – dane będą jednoznacznie przetwarzane regularnie, w tym przetwarzanie danych na potrzeby strony internetowej, sklepu internetowego, obliczania wynagrodzeń czy systemów CRM. Należy zauważyć, że obowiązek dokumentacyjny a co za tym idzie prowadzenie rejestru czynności przetwarzania, będzie przedmiotem kontroli organów nadzorczych dotyczących wdrożenia rozporządzenia o ochronie danych osobowych.

Jeśli firma nie prowadzi rejestrów czynności przetwarzania i/lub nie dostarcza pełnego indeksu organom, podlegają one karom zgodnie z art. 83 ust. 4 lit. a RODO. Możliwe kary mogą wynieść do 10 milionów euro lub 2% rocznego obrotu firmy. Taka suma jest, co do zasady, oceniana przez organy tylko w wyjątkowych przypadkach. W tym celu organy są zachęcane, jak określono w motywie 13, „do uwzględniania szczególnych potrzeb mikro, małych i średnich przedsiębiorstw przy stosowaniu niniejszego rozporządzenia.”