Co powinno zawierać rejestr przetwarzania?

Co się zawiera w rejestrze operacji przetwarzania

Rejestr operacji przetwarzania opisuje, dla każdej operacji przetwarzania danych osobowych realizowanej przez organizację, kto za co ponosi odpowiedzialność i co się dzieje z danymi. Konkretnie chodzi o nazwę i dane kontaktowe organizacji (oraz inspektora ochrony danych, jeśli taki istnieje), cele przetwarzania danych, kategorie osób, których dane dotyczą, oraz kategorie przetwarzanych danych osobowych, kategorie odbiorców, którym dane są ujawniane, czy dane trafiają poza UE i jeśli tak, na jakich warunkach, okresy przechowywania stosowane lub kryteria, według których są określane, oraz ogólny opis technicznych i organizacyjnych środków bezpieczeństwa.

Organizacja, która sama działa jako podmiot przetwarzający — czyli przetwarza dane osobowe na zlecenie innej strony — prowadzi porównywalne, ale nieco bardziej ograniczone źródło informacji, ukierunkowane na kategorie operacji przetwarzania wykonywane dla każdego mocodawcy. Dla mniejszych organizacji artykuł 30 RODO zawiera wyjątek: podmiot zatrudniający mniej niż dwieście pięćdziesiąt osób nie musi prowadzić tego rejestru, chyba że przetwarzanie stanowi ryzyko dla praw i wolności osób, których dane dotyczą, nie jest sporadyczne lub dotyczy kategorii szczególnych danych osobowych albo danych dotyczących skazań. W praktyce wyjątek ten dotyczy mniej przedsiębiorstw sektora MŚP, niż mogłoby się wydawać, ponieważ regularne przetwarzanie danych klientów lub pracowników zwykle nie kwalifikuje się jako sporadyczne.

Skąd to wynika: artykuł 30 RODO

Poszczególne elementy wymienione są w artykule 30 ust. 1 i 2 RODO, z wyjątkiem dla mniejszych organizacji w ust. 5 tego samego artykułu; urząd ochrony danych osobowych na swojej stronie wyjaśnia, jak podchodzi do tego w praktyce holenderskiej.