Rejestr kategorii czynności przetwarzania

Rejestr czynności przetwarzania (RCP) w praktyce stanowi on uporządkowany zbiór informacji o procesach przetwarzania danych, które są realizowane w ramach organizacji. Nie są to informacje przypadkowe, ponieważ ich zakres określa art. 30 ust. 1 RODO.

W kontekście RCP należy wspomnieć również o innym rejestrze, a mianowicie rejestrze kategorii czynności przetwarzania. Czym się one różnią? Otóż w rejestrze czynności przetwarzania organizacja zamieszcza informacje o tym, w jaki sposób przetwarza dane osobowe będąc ich administratorem. Rejestr kategorii czynności przetwarzania prowadzą natomiast podmioty, które przetwarzają dane w sposób określony przez samodzielnego administratora i w wyznaczonych przez niego celach.

Prowadzenie rejestru czynności przetwarzania jest korzystne dla firmy, ponieważ ułatwia wywiązywanie się z obowiązków nakładanych przez RODO. W tym miejscu warto jednak wspomnieć o tym, że istnieją przypadku, w których prowadzenie RCP jest obligatoryjne. Zgodnie z RODO obowiązek ten zachodzi w sytuacji, gdy:

• firma zatrudnia co najmniej 250 pracowników;

• przetwarzanie danych może powodować ryzyko naruszenia praw bądź wolności osób, których one dotyczą;

• przetwarzanie danych nie ma charakteru sporadycznego, a co za tym idzie, jest realizowane w sposób ciągły;

• przetwarzanie obejmuje szczególne kategorie danych, o których mowa w art. 9 ust 1 (przykładowo ujawniające pochodzenie rasowe, poglądy polityczne czy przekonania religijne);

• przetwarzanie dotyczy danych o wyrokach skazujących i naruszeniach prawa, co określa art. 10 RODO.

Przetwarzający dane osobowe powinni mieć świadomość tego, że obowiązek prowadzenia rejestru czynności przetwarzania pojawia się w momencie zaistnienia minimum jednej z wymienionych wyżej przesłanek. W praktyce może okazać się zatem, że zobowiązany będzie do tego podmiot, który zatrudnia mniej niż 250 osób, ale przetwarza szczególne kategorie danych, np. dotyczące zdrowia.

Rejestr czynności przetwarzania to dokument, który zgodnie z art. 30 ust. 1 RODO musi zawierać określone elementy, a ich brak sprawi, że będzie on niekompletny i będzie stanowił naruszenie obowiązujących przepisów. Do obligatoryjnych elementów rejestru czynności przetwarzania zalicza się:

1. imię i nazwisko bądź nazwę oraz dane kontaktowe administratora i wszystkich współadministratorów, a w sytuacji, gdy ma to zastosowanie również przedstawiciela administratora oraz inspektora ochrony danych;

2. cele przetwarzania;

3. opis kategorii osób, których dane dotyczą, a także opis kategorii danych osobowych;

4. kategorie odbiorców, którym dane zostały bądź dopiero zostaną ujawnione (w tym także kategorie odbiorców w państwach trzecich lub organizacjach międzynarodowych) – nie są to pracownicy administratora, którzy będąc w jego strukturze organizacyjnej, działają z jego upoważnienia, ale zewnętrzne podmioty przetwarzające;

5. gdy ma to zastosowanie, przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym także nazwę tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi RODO, dokumentację odpowiednich zabezpieczeń;

6. planowane terminy usunięcia poszczególnych kategorii danych, jeżeli ich określenie jest możliwe;

7. gdy jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których stanowi art. 32 ust. 1 RODO, czyli przykładowo:

• pseudonimizację i szyfrowanie danych osobowych;

• zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;

• zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;

• regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

W tym miejscu warto wspomnieć także o tym, że o ile obowiązujące przepisy wyszczególniają obligatoryjne elementy, które muszą znaleźć się w rejestrze czynności przetwarzania, to nie jest to katalog zamknięty. W efekcie administrator danych może zamieścić w nim także dodatkowe informacje, jeżeli tylko uzna to za zasadne. Przykładem może być stworzenie kategorii takiej jak właściciel procesu. Jest nim osoba odpowiadająca za prawidłowy przebieg konkretnego procesu przetwarzania danych (z reguły zwierzchnik działu bądź ktoś przez niego wyznaczony). Wyszczególnienie właścicieli procesów w RCP jest dobrowolne, jednak może być korzystne ze względu na możliwość uniknięcia przerzucania się odpowiedzialnością za ich przebieg pomiędzy poszczególnymi pracownikami.

Obowiązek prowadzenia rejestru czynności przetwarzania wynika z przepisów RODO, a co za tym idzie jego brak lub prowadzenie w nieprawidłowy sposób podlega karze. W skrajnym przypadku jej wysokość może sięgnąć nawet 10 milionów euro, a maksymalna kara, jaka może zostać nałożona na przedsiębiorstwo to do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Istotne w tym przypadku jest to, że zgodnie z obowiązującymi regulacjami zastosowanie ma wyższa kwota kary.

Negatywne konsekwencje braku bądź nieprawidłowego prowadzenia rejestru czynności przetwarzania sprowadzają się jednak nie tylko do ewentualnych kar finansowych z tego tytułu. Wynika to z faktu, że zaniechanie obowiązku lub prowadzenie rejestru w sposób niezgodny z przepisami prawa może powodować zamęt w procesach przetwarzania, co może przyczyniać się do powstawania kolejnych nieprawidłowości.

Przykładem może być przetwarzanie danych w sposób nadmiarowy dla danego celu lub przekraczanie okresów retencji. Każdy z tego typu błędów może stanowić niezależną podstawę do nałożenia kary przez organ nadzorczy, a osoby, których dane dotyczą, mogą wystąpić o dodatkowe zadośćuczynienie, przez co ewentualne straty finansowe mogą być jeszcze większe.

Jako przykład nieprawidłowego prowadzenia rejestru czynności przetwarzania może posłużyć kontrola w jednym z Urzędów Miejskich, w której trakcie stwierdzono różnego rodzaju uchybienia, m.in. brak ujęcia wszystkich czynności przetwarzania czy niewskazanie terminów, w których dane mają zostać usunięte. W efekcie na Burmistrza jako administratora danych została nałożona kara pieniężna w wysokości 40 tys. złotych oraz zobowiązano go do wdrożenia odpowiednich środków organizacyjno-technicznych, które zapewnią, że dane osobowe będą przetwarzane zgodnie z obowiązującymi przepisami. Burmistrz złożył skargę na tę decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie (II SA/Wa 2826/19), która nie została jednak uwzględniona. Sąd ocenił, że skarżący, czyli burmistrz będący administratorem danych nie wykazał tego, że przestrzega wszystkich obowiązujących zasad przetwarzania danych. W efekcie podzielił opinię organu kontrolującego w zakresie poszczególnych naruszeń.

Na podstawie powyższego przykładu doskonale widać, że rejestr czynności przetwarzania powinien być prowadzony w sposób dokładny i szczegółowy. Poza obligatoryjnymi elementami warto przy każdej wymienionej czynności przetwarzania wskazać podstawę prawną przetwarzania danych, która powinna być zgodna z art. 6 RODO. Pozwoli to uniknąć zarzutu nielegalnego przetwarzania danych osobowych.