Rejestr czynności przetwarzania to jeden z dwóch dokumentów, o które prosi każdy: klient przed podpisaniem umowy, kontrola UODO, audytor, nowy inspektor. Drugi to umowa powierzenia. Ten tekst jest o pierwszym: kto musi go mieć, co w nim jest, i jak go zrobić w godzinę, jeśli wiesz, jakie narzędzia i jakich ludzi masz w firmie. Bo to jest cała wiedza, której wymaga.
Art. 30 ust. 5 RODO mówi, że obowiązek prowadzenia rejestru nie dotyczy przedsiębiorcy zatrudniającego mniej niż 250 osób. Na tym zdaniu kończy się czytanie i zaczyna problem, bo zdanie ma ciąg dalszy: chyba że przetwarzanie może powodować ryzyko naruszenia praw lub wolności osób, nie ma charakteru sporadycznego, albo obejmuje szczególne kategorie danych lub dane o wyrokach skazujących.
Środkowy warunek załatwia sprawę dla prawie każdej firmy. Jeśli zatrudniasz choć jedną osobę, przetwarzasz jej dane regularnie: co miesiąc przy wypłacie, codziennie przy ewidencji czasu pracy. To nie jest sporadyczne. Jeśli masz klientów w bazie, newsletter, formularz kontaktowy na stronie, to samo. UODO w swoich wskazówkach ujmuje to tak samo: wyjątek dotyczy przetwarzania sporadycznego, a nie małych firm jako takich.
Praktyczny wniosek: jeśli prowadzisz działalność i masz choć jednego pracownika lub klienta, załóż, że rejestr Cię dotyczy. Sprawdzanie, czy akurat Ty łapiesz się na wyjątek, zajmie więcej czasu niż zrobienie rejestru.
Art. 30 ust. 1 wymienia, co rejestr administratora zawiera. Osiem elementów:
Element 1 wpisujesz raz. Elementy 2 do 7 wpisujesz dla każdej czynności przetwarzania. I to jest miejsce, w którym większość ludzi się zatrzymuje, bo nie wie, co jest czynnością.
Czynność to cel, a nie narzędzie i nie osoba. „Prowadzenie kadr i płac" jest czynnością. „Excel z listą pracowników" nie jest. „Obsługa zapytań ze strony" jest czynnością. „Formularz kontaktowy" nie jest, bo to sposób, w jaki dane wpływają do czynności.
Mała firma usługowa ma zwykle od siedmiu do piętnastu czynności. Typowa lista wygląda tak:
Jeśli Twoja lista jest krótsza, to prawdopodobnie brakuje czegoś oczywistego. Jeśli dłuższa niż dwadzieścia, to prawdopodobnie rozbiłeś jedną czynność na narzędzia.
Rejestr wydaje się trudny, bo wygląda jak dokument prawny. W rzeczywistości jest inwentaryzacją tego, co firma i tak robi. Każdą kolumnę wypełnia się z jednego z trzech źródeł.
Z narzędzi, których używasz. Lista programów i usług, na które logujesz się w pracy: poczta, CRM, fakturowanie, hosting, płatności, analityka, chmura na pliki. Każde narzędzie to odbiorca danych (kolumna 4) i zwykle transfer poza EOG (kolumna 5), bo większość dostawców jest amerykańska. Nazwę prawną dostawcy, kraj i podstawę transferu znajdziesz w jego polityce prywatności albo umowie powierzenia. To najbardziej pracochłonna część i jednocześnie najbardziej powtarzalna: Google, Meta, Microsoft, Stripe mają te same dane dla każdej firmy, która z nich korzysta.
Z ludzi, których masz. Pracownicy, kandydaci, klienci, kontakty u kontrahentów, subskrybenci, odwiedzający stronę. To kolumna 3. Kategorie danych dla każdej grupy wynikają z tego, co faktycznie zbierasz: dla pracownika to dane identyfikacyjne, kadrowe, płacowe, czasem zdrowotne (zwolnienia); dla klienta to dane kontaktowe i rozliczeniowe; dla odwiedzającego stronę to identyfikatory i dane o aktywności.
Z przepisów, które Cię obowiązują. Terminy usunięcia (kolumna 6) w Polsce dla najważniejszych czynności wynikają wprost z ustaw, a nie z uznania: dokumentacja księgowa 5 lat od końca roku obrotowego według ustawy o rachunkowości, dokumentacja pracownicza 10 lat od końca roku, w którym stosunek pracy ustał, dla osób zatrudnionych od 1 stycznia 2019 roku (dla wcześniejszych zatrudnień zasadniczo 50 lat, chyba że pracodawca złożył raporty informacyjne do ZUS), nagrania z monitoringu do 3 miesięcy według art. 22² Kodeksu pracy. Gdzie przepis nie mówi, wpisujesz termin wynikający z celu, na przykład „do wycofania zgody" dla newslettera albo „do przedawnienia roszczeń" dla umów.
Kolumna 7, środki bezpieczeństwa, to jeden akapit, ten sam dla większości czynności: kto ma dostęp, jak jest uwierzytelniany, jak wyglądają kopie zapasowe, szyfrowanie, co się dzieje z dostępem, gdy ktoś odchodzi.
Bo informacje są trzy: narzędzia, ludzie, przepisy. Narzędzia znasz, bo się do nich logujesz. Ludzi znasz, bo z nimi pracujesz. Przepisy dla typowych czynności są takie same dla każdej firmy w Polsce i można je wpisać z tabeli. Godzina to czas na przejście przez listę czynności i przypisanie każdej trzech rzeczy, których i tak nie musisz wymyślać.
Tydzień bierze się z dwóch źródeł: z szukania nazw prawnych i podstaw transferu dla każdego dostawcy po kolei, i z pisania opisów, które brzmią prawniczo. Pierwsze da się zautomatyzować, bo dostawcy się powtarzają. Drugie jest niepotrzebne: rejestr ma być dokładny, nie elegancki.
UODO udostępnia szablon w arkuszu kalkulacyjnym i to jest wystarczające, jeśli rejestr zrobisz raz i będziesz go aktualizować. Problem z arkuszem jest jeden: nie wie, kiedy coś się zmieniło. Dodajesz narzędzie, zmieniasz dostawcę poczty, zatrudniasz pierwszą osobę spoza Polski, i rejestr o tym nie wie, dopóki ktoś nie pomyśli, żeby go otworzyć. Zwykle myśli o tym klient, który prosi o dokumenty, albo kontrola.
Rowpa robi to inaczej: czyta Twoją stronę i to, co wiesz o firmie, i buduje z tego rejestr z wypełnionymi odbiorcami, transferami i terminami dla dostawców, których rozpoznaje. Ty przeglądasz każdą czynność i potwierdzasz albo poprawiasz. Gdzie system nie jest pewien, mówi to wprost, zamiast zgadywać. Rejestr budujesz za darmo, a z niego powstaje pakiet dla klienta, polityka prywatności i odpowiedzi na ankietę, więc godzina zrobiona raz odpowiada na kolejne prośby w kwadrans.
Rejestr jest opisem stanu, a nie dowodem zgodności. Wpisanie, że masz umowę powierzenia z dostawcą, nie zastępuje jej posiadania. Wpisanie terminu usunięcia nie zastępuje usuwania. Kontrola sprawdza jedno i drugie. Ale bez rejestru nie wiesz nawet, o co pytać, i to jest powód, dla którego jest pierwszy.
Zamień poradnik w rejestr, który możesz przejrzeć. Zbuduj rejestr czynności przetwarzania za darmo i sprawdź każdą propozycję, zanim ją komuś wyślesz.
Zacznij za darmoTreść informacyjna, nie porada prawna. Obowiązki i terminy mające zastosowanie do Twojej organizacji potwierdź z wykwalifikowanym specjalistą.