Rejestry

 

➡️ Rejestry w ramach wdrożenia RODO

Rejestry RODO to uporządkowany opis tego, jak w organizacji przebiega przetwarzanie danych, w tym jakie dane osobowe są wykorzystywane, w jakich celach, na jakiej podstawie prawnej, komu są przekazywane, jakie są okresy przechowywania danych oraz jakie środki wspierają bezpieczeństwo danych osobowych. Taki rejestr działa jak mapa procesów – pomaga utrzymać ochronę danych osobowych w ryzach i wykazać zgodność w razie audytu lub kontroli.

W praktyce rejestry są jednym z fundamentów wdrożenia RODO w organizacji. Ułatwiają przygotowanie dokumentów realizujących obowiązek informacyjny oraz przekazywanie informacji osobom, których dane dotyczą, a także pozwalają uporządkować dokumentację. Dla firm, fundacji, stowarzyszeń i instytucji jest to narzędzie, które łączy aktywność działów HR, sprzedaży, administracji, księgowości i IT – w szczególności wtedy, gdy pojawiają się nowe systemy, nowe procesy przetwarzania danych lub planowane jest powierzenie przetwarzania danych osobowych zewnętrznym podmiotom.

Ważne: rejestry powinny być stale aktualizowane. Jeśli zmieniają się procesy przetwarzania danych, zakres usług, dostawcy albo następuje powierzenie przetwarzania danych, rejestr należy zaktualizować tak, aby odzwierciedlał faktyczne czynności przetwarzania danych.

☎️ 22 53 53 016

✉️ biuro@directgroup.com.pl

➡️ Dział „Rejestry” w dokumentacji wdrożeniowej obejmuje w szczególności:

• rejestr czynności przetwarzania – przygotowywany przez administratora,
• rejestr kategorii czynności przetwarzania – prowadzony przez podmiot przetwarzający w zakresie czynności realizowanych w imieniu administratora.

W praktyce nadal funkcjonują określenia odnoszące się do ewidencjonowania zbiorów danych osobowych. Należy jednak wskazać, że RODO nie traktuje zbioru danych jako podstawowej jednostki dokumentacyjnej. Kluczowe znaczenie ma prowadzenie rejestrów obejmujących czynności przetwarzania oraz kategorie czynności przetwarzania, rozumiane jako opis procesów przetwarzania danych osobowych, w tym ich celów, podstaw prawnych, zakresu, odbiorców, okresów przechowywania oraz stosowanych środków ochrony.
 

Co powinien zawierać rejestr czynności przetwarzania

➡️ Rejestr czynności przetwarzania to centralny dokument RODO, w którym administrator opisuje, jakie dane osobowe są przetwarzane w organizacji, w jakich celach i na jakich zasadach. Rejestr nie jest spisem danych, lecz zestawieniem konkretnych procesów przetwarzania. Każdy wpis powinien jasno pokazywać, co dzieje się z danymi osobowymi w danym obszarze działalności. Rejestr powinien obejmować w szczególności:

• cele przetwarzania,
• kategorie danych osobowych (np. identyfikacyjne, kontaktowe, identyfikatory),
• kategorie osób, których dane dotyczą (np. klienci, pracownicy, kandydaci),
• kategorie odbiorców danych oraz sytuacje ich udostępniania,
• okresy przechowywania danych osobowych lub kryteria ich ustalania,
• ogólny opis technicznych i organizacyjnych środków bezpieczeństwa (np. kontrola dostępu, kopie zapasowe, szyfrowanie danych osobowych),
• informacje o przekazywaniu danych do państw trzecich lub organizacji międzynarodowych (jeżeli występuje).

Tak przygotowany dokument nie tylko spełnia wymagania formalne. Jest też praktycznym wsparciem w zarządzaniu ryzykiem i w codziennym podejmowaniu decyzji w obszarze ochrony danych.
 

Dlaczego rejestry są tak istotne dla zgodności z RODO?

1) Rozliczalność i obowiązek administratora danych. Jednym z kluczowych wymogów jest możliwość wykazania zgodności z przepisami. Rejestr czynności przetwarzania pozwala jasno skazać na jakiej podstawie prawnej dane są przetwarzane – czy wynika to z przepisów prawa, umowy czy zgody. Ułatwia również wykazanie, że zakres przetwarzania jest adekwatny do celu.

2) Porządek w procesach i minimalizacja ryzyka. Rejestr pokazuje, gdzie znajdują się dane osobowe, w jakich systemach są przetwarzane, kto ma do nich dostęp i w jakim zakresie. Jest to szczególnie istotne w organizacjach z rozproszonymi procesami lub wieloma kanałami pozyskiwania danych, takimi jak formularze online, rozmowy handlowe, ePUAP, profil zaufany czy korespondencja elektroniczna.

3) Szybsza reakcja na naruszenia i realizację praw osób. W przypadku naruszenia ochrony danych rejestr umożliwia szybkie ustalenie, których procesów dotyczy incydent i jakie środki bezpieczeństwa były zastosowane. Ułatwia też obsługę wniosków osób, których dane dotyczą, ponieważ pozwala szybko zidentyfikować systemy i podstawy przetwarzania.

4) Lepsza kontrola współpracy z dostawcami. Jeżeli w przetwarzaniu danych uczestniczą zewnętrzni dostawcy, rejestr pomaga rozróżnić czy mamy do czynienia z powierzeniem przetwarzania czy udostępnieniem danych. Ułatwia też identyfikację procesów, w których dane są przetwarzane w imieniu administratora oraz dostawców, który, powierzono takie czynności.

Najczęstsze problemy z rejestrami w organizacjach

W praktyce najczęściej spotykamy:

• rejestry zbyt ogólne, które nie pokazują jakie czynności przetwarzania danych faktycznie zachodzą w organizacji,
• brak wskazania kategorii odbiorców danych lub ich nieprecyzyjne określenie,
• brak spójnych zasad retencji i niejasne okresy przechowywania danych,
• pomijanie procesów obejmujących szczególne kategorie danych osobowych,
• brak powiązania rejestrów z dokumentami realizującymi obowiązek informacyjny (np. treścią klauzul informacyjnych),
• brak aktualizacji rejestru po zmianach narzędzi, procesów lub dostawców.

➡️ Ważne: rejestr powinien zawierać dane administratora oraz – jeżeli został wyznaczony - Inspektora Ochrony Danych. Informacje te mogą być wskazane w sposób zbiorczy, np. w nagłówku dokumentu.
 

Co możemy zrobić dla Twojej organizacji?

W Direct Group wspieramy administratorów w opracowaniu i prowadzeniu rejestrów czynności przetwarzania, przygotowując ich strukturę, projekt oraz uzupełnienie na podstawie analizy procesów i informacji przekazanych przez organizację. W zależności od modelu działalności przygotowujemy:

• rejestr czynności przetwarzania dla administratora,
• rejestr kategorii czynności przetwarzania dla organizacji, która działa jako podmiot przetwarzający,
• uporządkowanie kluczowych elementów każdego wpisu (cele, kategorie danych, odbiorcy, okresy przechowywania, środki bezpieczeństwa),
• wzór rejestru czynności dopasowany do branży i realnych procesów,
• powiązanie rejestrów z pozostałymi elementami dokumentacji RODO,

W trakcie prac analizujemy również, czy w organizacji występują procesy szczególne, takie jak przetwarzanie danych szczególnych kategorii, oraz w jaki sposób zabezpieczone są dane w systemach informatycznych i obiegu dokumentów. Uwzględniamy także sytuacje, w których dane są pozyskiwane z wielu kanałów, m.in. przez formularze internetowe, telefon, e-mail, ePUAP czy mechanizmy identyfikacji, takie jak profil zaufany.
 

Jak wygląda współpraca przy opracowaniu rejestrów?

Proces prowadzimy w sposób prosty i możliwie najmniej obciążający organizację. W praktyce obejmuje on następujące etapy:

1. identyfikujemy kluczowe obszary działalności, w których występują procesy przetwarzania danych oraz określamy zakres danych w poszczególnych procesach,
2. opisujemy czynności przetwarzania i wskazujemy, w których obszarach organizacja działa jako administrator, a w których jako podmiot przetwarzający,
3. identyfikujemy odbiorców danych i dostawców, w zakres współpracy i charakter przetwarzania,
4. wspieramy uzupełnienie rejestrów o informacje wymagane przez RODO, dbając o spójność dokumentacji,
5. przekazujemy przygotowane rejestry wraz z rekomendacjami dotyczącymi ich aktualizacji.

➡️ Ważne: w niektórych organizacjach funkcjonują dodatkowe wewnętrzne ewidencje (np. rejestry danych kontaktowych), które nie są wymagane przez RODO, ale mogą mieć uzasadnienie organizacyjne W takich przypadkach można je uporządkować i logicznie powiązać z rejestrem czynności przetwarzania, tak aby dokumentacja była spójna.
 

Porządek w danych zaczyna się od rejestrów

Jeśli chcesz uporządkować ochronę danych osobowych w swojej organizacji i mieć pewność, że rejestry odzwierciedlają rzeczywiste procesy, przygotujemy propozycję audytu RODO oraz wsparcia wdrożeniowego. Otrzymasz dokumentację dopasowaną do specyfiki działalności, z jasno opisanymi procesami oraz wskazaniem, gdzie występuje powierzenie przetwarzania danych i kto pełni rolę podmiotu przetwarzającego.

Skontaktuj się z nami i opisz krótko, jakie dane wykorzystujesz i w jakich obszarach działalności – Wskażemy, jak powinien wyglądać rejestr oraz co warto dopracować, aby zwiększyć bezpieczeństwo danych osobowych i spójność dokumentacji.

 

☎️ 22 53 53 016

✉️ biuro@directgroup.com.pl