Source: https://www.poradyodo.pl/aktualnosci/kiedy-male-i-srednie-firmy-musza-prowadzic-rejestr-czynnosci-przetwarzania-8546.html
Timestamp: 2018-07-23 15:49:58+00:00

Document:
Kiedy małe i średnie firmy muszą prowadzić rejestr czynności przetwarzania - Ochrona danych osobowych
Kiedy małe i średnie firmy muszą prowadzić rejestr czynności przetwarzania
Grupa Robocza Art. 29 do spraw ochrony danych opublikowała stanowisko w sprawie wyjątków od obowiązku prowadzenia rejestru czynności przetwarzania (30 ust. 5 RODO). Sprawdź, czy musisz prowadzić taki rejestr.
Grupa Robocza Art. 29 przeanalizowała obowiązek prowadzenia przez administratorów i podmioty przetwarzające rejestru czynności przetwarzania i wyjątki niego od (art. 30 RODO).
Zgodnie z motywem 13 RODO uwagi na szczególną sytuację mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw rozporządzenie przewiduje wyjątek dotyczący rejestrowania czynności przetwarzania dla podmiotów zatrudniających mniej niż 250 pracowników. Artykuł 30 ust. 5 RODO doprecyzowuje motyw 13, wskazując, że obowiązek prowadzenia rejestru czynności przetwarzania nie ma zastosowania do przedsiębiorcy lub podmiotu zatrudniającego mniej niż 250 osób, chyba że przetwarzanie, którego dokonują, może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą, nie ma charakteru sporadycznego lub obejmuje szczególne kategorie danych osobowych lub dane osobowe dotyczące wyroków skazujących i naruszeń prawa.
Grupa Robocza Art. 29 wskazuje, że wyjątek przewidziany w artykule 30 ust. 5 RODO nie ma charakteru bezwzględnego i są trzy rodzaje przetwarzania, do których nie ma on zastosowania:
1) przetwarzanie, które może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą,
2) przetwarzanie, które nie ma charakteru sporadycznego,
3) przetwarzanie, które obejmuje szczególne kategorie danych osobowych lub dane osobowe dotyczące wyroków skazujących i czynów zabronionych.
Grupa Robocza Art. 29 wskazuje, że spełnienie chociażby jednej z tych przesłanek oznacza konieczność prowadzenia rejestru czynności przetwarzania. W związku z tym, nawet jeśli firma będzie zatrudniać mniej niż 250 osób, ale będzie prowadzić przetwarzanie, które może powodować ryzyko (nie tylko wysokie) naruszenia praw lub wolności osób, których dane dotyczą, albo które nie ma charakteru sporadycznego, albo dotyczy szczególnych kategorii danych osobowych lub danych osobowych dotyczących wyroków skazujących, będzie miała obowiązek prowadzenia rejestru.
Jednak co ważne, takie podmioty muszą prowadzić rejestr czynności przetwarzania jedynie dla rodzajów przetwarzania wskazanych w art. 30 ust. 5 RODO.
Mała organizacja systematycznie przetwarza dane dotyczące swoich pracownikowi. Takie przetwarzanie nie może być uznane za „sporadyczne” i musi w związku z tym być zawarte w rejestrze czynności przetwarzania. Jednak inne czynności przetwarzania, które w rzeczywistości mają charakter „sporadyczny”, nie muszą być zawarte w rejestrze czynności przetwarzania, pod warunkiem że jest mało prawdopodobne, by powodowały ryzyko naruszenia praw lub wolności osób fizycznych, i nie obejmują szczególnych kategorii danych lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych.
Grupa Robocza Art. 29 wskazuje, że rejestr czynności przetwarzania to przydatne wsparcie dla analizy konsekwencji przetwarzania, czy to istniejącego, czy planowanego. Rejestr ma ułatwić faktyczną ocenę ryzyka naruszenia praw osób fizycznych oraz określenie i wdrożenie odpowiednich środków bezpieczeństwa w celu ochrony danych osobowych – oba elementy zasady rozliczalności przewidzianej w RODO.
W przypadku wielu mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw jest mało prawdopodobne, że prowadzenie rejestru czynności przetwarzania będzie dla nich szczególnie poważnym obciążeniem – twierdzi Grupa Robocza Art. 29. Jednak zauważa, że art. 30 RODO to nowy wymóg administracyjny dla administratorów i podmiotów przetwarzających i w związku z tym zachęca krajowe organy nadzorcze do wspierania małych i średnich przedsiębiorstw, zapewniając narzędzia ułatwiające tworzenie i prowadzenie rejestrów czynności przetwarzania. Na przykład organ nadzorczy może udostępnić na swojej stronie internetowej uproszczony model, który może być wykorzystywany przez małe i średnie przedsiębiorstwa do prowadzenia rejestru czynności przetwarzania nieobjętych wyjątkiem z art. 30 ust. 5 RODO.
stanowisko Grupy Roboczej Artykułu 29 ds. ochrony danych w sprawie wyjątków od obowiązku prowadzenia rejestru czynności przetwarzania zgodnie z artykułem 30 ust. 5 RODO.
ogólne rozporządzenie o ochronie danych osobowychrejestr czynności przetwarzania danych osobowychrodo
Można się rejestrować na seminarium podsumowujące program „Twoje dane – Twoja sprawa”
Ewidencja nośników zawierających dane osobowe
Ewidencja czynności w systemie informatycznym
Ewidencja napraw, przeglądów i konserwacji systemu informatycznego
Lista kontrolna: Sprawdź, czy podmiot przetwarzający spełnia wymogi RODO
Prowadzisz fanpage? Odpowiadasz za dane osobowe użytkowników go odwiedzających
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r., poz. 1000)
Urząd zatrudnia mniej niż 250 osób – czy musi prowadzić rejestr czynności przetwarzaniaWioleta Szczygielska11.04.2018
Jak może wyglądać rejestr czynności przetwarzania danych osobowychAgnieszka Stępień17.10.2017
Ministerstwo Cyfryzacji tłumaczy zmniejszenie obowiązków RODO wobec MŚP23.01.2018
KE: Co zrobić, żeby przygotować się do RODOWioleta Szczygielska25.01.2018
Kiedy dane osobowe są przetwarzane sporadycznie i nie trzeba prowadzić rejestru czynności przetwarzaniaWioleta Szczygielska17.05.2018

References: Art. 29
 Art. 29
 Art. 29
 Art. 29
 art. 30
 Art. 29
 Art. 29
 art. 30
 art. 30