Możesz prowadzić swój rejestr działań przetwarzania w zasadzie całkowicie sam. RODO nie wskazuje konkretnego programu ani formatu: dokument lub arkusz kalkulacyjny prowadzony starannie wystarczą, o ile pozostają kompletne, prawidłowe i aktualne. O co naprawdę chodzi, to nie narzędzie, ale zawartość: jakie dane osobowe przetwarzasz, w jakim celu, kto ma do nich dostęp, jak długo je przechowujesz i jakie inne strony je widzą.
Pytanie praktyczne zatem nie brzmi, czy wolno, ale czy u ciebie w firmie da się to utrzymać. Przy garstce stałych przetwarzań — pakiet księgowy, administracja wynagrodzeń, CRM — samodzielny przegląd można zwykle łatwo utrzymać. Gdy liczba narzędzi rośnie, zmienia się obsługodawcy danych lub pracownicy sami nabywają oprogramowanie, utrzymywanie staje się powracającym zadaniem, które łatwo się opóźnia.
Co powinno się tam znaleźć w każdym razie
Rejestr opisuje dla każdego przetwarzania cel, kategorie danych i osoby, których dane dotyczą, okres przechowywania lub jego wskazanie, oraz strony, z którymi dane są udostępniane. W przypadku przetwarzań prowadzonych przez stronę trzecią powinno też wynikać, czy umowa pomiędzy administratorem danych i podmiotem przetwarzającym dane jej towarzyszy. Dokładne wymogi i wyjątki od nich znajdują się w samym RODO i są rozwinięte w wytycznych Urzędu Ochrony Danych Osobowych i EDPB. Jeśli chcesz to sprawdzić dla każdej sytuacji, znajdziesz to w bazie wiedzy, gdzie każda sytuacja jest przeanalizowana.
Dlaczego na papierze robi się trudne
Problem zwykle nie leży w założeniu, ale w utrzymywaniu. Firma z sektora MKB zawiera w ciągu roku nowe abonamenty SaaS, rezygnuje z innych, a umowa pomiędzy administratorem danych i podmiotem przetwarzającym dane towarzysząca czasem się zmienia bez czyjejś wiadomości. Arkusz kalkulacyjny, który na początku był poprawny, po kilku miesiącach zwykle stanowi zaledwie zdjęcie z danego momentu. To staje się widoczne dopiero wtedy, gdy się liczy: przy wniosku osoby, której dane dotyczą, przy postępowaniu przetargowym lub gdy organ nadzoru się o to pyta.
Właśnie tu leży prawdziwa różnica między robieniem samodzielnie a wsparciem. Samodzielnie prowadź rejestr — to nie problem, o ile ktoś regularnie poświęca czas na jego sprawdzenie i uzupełnienie. W wielu małych firmach czas jest na początku, a znika, gdy przejmie go codzienna rzeczywistość.
Robić samodzielnie, korzystać z narzędzia, czy zlecić
Między całkowicie samodzielnym robieniem a całkowicie zlecaniem istnieje droga środkowa: system, który rejestr wypełnia z biblioteki znanych narzędzi i ciebie ostrzega, jeśli czegoś brakuje lub się zmienia. To nie oszczędza myślenia nad tym, co ma się tam znaleźć — to pozostaje na tobie — ale zmniejsza ryzyko, że zmiana przejdzie niezauważona. To, czy dla twojej firmy ma to sens, zależy od liczby przetwarzań i jak często się zmienia. Przegląd tego, co się z tym wiąże i ile to kosztuje, znajduje się na stronie z cenami systemu.
Kto woli najpierw spróbować sam, może to po prostu zrobić. RODO nie wymaga płatnego systemu. To, o co prawa pytają, to że rejestr w każdej chwili stanowi prawidłowe odbicie rzeczywistości — nie tylko w dniu, w którym został sporządzony.
Czego nigdy nie możesz zlecić
Niezależnie od tego, czy prowadzisz rejestr w arkuszu kalkulacyjnym, czy w systemie: odpowiedzialność za jego prawidłowość leży po stronie organizacji, nie narzędzia. Narzędzie może sygnalizować, że umowa pomiędzy administratorem danych i podmiotem przetwarzającym dane wygasła lub że nowe narzędzie SaaS nie zostało jeszcze uwzględnione, ale decyzja o tym, co z tym zrobisz i czy przetwarzanie naprawdę jest potrzebne, pozostaje na tobie. W kwestii dopasowania do twojej konkretnej sytuacji to jest coś do omówienia z prawnikiem lub, jeśli wątpisz w samą prawo, z Urzędem Ochrony Danych Osobowych.
Jeśli chcesz najpierw zobaczyć, jak to działa w praktyce, zanim zdecydujesz się między zrobieniem tego samodzielnie a skorzystaniem ze wsparcia, możesz przeczytać Często zadawane pytania na temat rejestru lub za pośrednictwem strony rejestracyjnej utworzyć konto biznesowe i samodzielnie zobaczyć różnicę.
Jeśli chcesz wiedzieć, gdzie Twoja firma znajduje się w tej chwili, bezpłatna szybka ocena jest dobrym punktem wyjścia: bez zobowiązań, tylko wskazanie tego, co jest istotne dla Twojej sytuacji.