Source: https://www.odoekspert.pl/baza-wiedzy/rejestr-czynnosci-przetwarzania-danych-zgodny-z-art-30-rodo
Timestamp: 2018-02-20 11:32:53+00:00
Document Index: 99561085

Matched Legal Cases: ['art. 30', 'art. 28', 'art. 30', 'art. 49', 'art. 32', 'art. 28', 'art. 30', 'art. 49', 'art. 32', 'art. 30', 'art. 9', 'art. 10', 'art. 15', 'art. 15']

Rejestr czynności przetwarzania danych zgodny z art. 30 RODO - ODOekspert - Ekspert w dziedzinie ochrony danych osobowych, RODO, GDPR
Autor: Jakub WezgrajData dodania: 12 Luty 2018 Kategoria: Rozporządzenie ogólne o ochronie danych osobowych (GDPR), Wymogi ustawowe
Czym jest rejestr czynności przetwarzania danych?
Rejestr czynności przetwarzania danych jest jednym z wymaganych na gruncie RODO środków bezpieczeństwa o charakterze organizacyjnym. W założeniu unijnego ustawodawcy ma stanowić kompleksową ewidencję wszystkich operacji realizowanych na danych osobowych, które przetwarza konkretny podmiot (administrator danych lub podmiot przetwarzający w rozumieniu art. 28 RODO).
Rejestr czynności przetwarzania danych ma zastąpić rejestry zbiorów danych osobowych prowadzone na gruncie obowiązującej do 25 maja 2018 r. ustawy o ochronie danych osobowych przez Administratorów Bezpieczeństwa Informacji, a także jawny rejestr zbiorów danych prowadzony przez Generalnego Inspektora Ochrony Danych Osobowych.
Od momentu rozpoczęcia stosowania RODO wszyscy administratorzy danych oraz podmioty przetwarzające dane będą zobligowani do prowadzenia "wewnętrznego" rejestru czynności przetwarzania danych.
Motyw 82 Preambuły RODO:
Dla zachowania zgodności z niniejszym rozporządzeniem, administrator lub podmiot przetwarzający powinni prowadzić rejestry czynności przetwarzania, za które są odpowiedzialni. Każdy administrator i każdy podmiot przetwarzający powinni mieć obowiązek współpracować z organem nadzorczym i na jego żądanie udostępniać mu te rejestry w celu monitorowania tych operacji przetwarzania.
Jakie informacje musi zawierać rejestr prowadzony przez administratorów danych?
Zgodnie z treścią art. 30 ust. 1 RODO każdy administrator danych zobowiązany jest prowadzić rejestr czynności przetwarzania danych osobowych za który odpowiada. Rejestr ten powinien zawierać następujące informacje:
dane kontaktowe administratora oraz wszelkich współadministratorów (jeżeli w określonym przypadku dany administrator współdecyduje z innymi administratorami o celach i sposobach przetwarzania danych),
cele przetwarzania danych,
opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych, które są przetwarzane,
kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców
w tzw. państwach trzecich lub w organizacjach międzynarodowych,
gdy ma to zastosowanie, informacje dotyczące przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi RODO, również dokumentacja odpowiednich zabezpieczeń,
jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, stosowanych zgodnie z wymaganiami art. 32 ust. 1 RODO.
Jakie informacje powinien zawierać rejestr prowadzony przez podmioty przetwarzające dane?
Podmiot przetwarzający dane to taki, który realizuje określone operacje przetwarzania danych osobowych, które zostały mu powierzone przez inny podmiot - administratora danych. Podmiot przetwarzający nie decyduje więc samodzielnie o celach i sposobach przetwarzania tych danych, ale realizuje te czynności na polecenie administratora danych. Podstawą powierzenia do przetwarzania danych osobowych przez administratora do podmiotu przetwarzającego jest zawarta pomiędzy tymi podmiotami umowa powierzenia danych lub inny instrument prawny przewidziany na gruncie art. 28 RODO. W praktyce jednak aktualnie stosowanym rozwiązaniem jest zawieranie umów powierzenia danych osobowych.
Biorąc pod uwagę powyższe, rejestr operacji przetwarzania danych osobowych prowadzony przez podmiot przetwarzający powinien zawierać opis odnoszący się do danych osobowych powierzonych mu do przetwarzania przez innych administratorów danych. Zgodnie z treścią art. 30 ust. 2 RODO taki rejestr powinien zawierać następujące informacje:
imię i nazwisko lub nazwa oraz dane kontaktowe podmiotu przetwarzającego lub podmiotów przetwarzających oraz każdego administratora, w imieniu którego działa podmiot przetwarzający,
gdy ma to zastosowanie – informacje dotyczące przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi RODO, dokumentacja odpowiednich zabezpieczeń,
jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, zastosowanych przez podmiot przetwarzający w celu spełnienia wymagań, o których mowa w art. 32 ust. 1 RODO.
Zgodnie z treścią art. 30 ust. 3 RODO, powyżej opisane rejestry powinny mieć formę pisemną, w tym mogą być prowadzone w postaci elektronicznej.
Rejestry mają charakter dokumentów wewnętrznych (nie powinny być ujawniane), ale podlegają udostępnieniu na żądanie organu nadzorczego.
Wymóg prowadzenia rejestru czynności przetwarzania danych osobowych nie ma zastosowania wobec administratorów danych oraz podmiotów przetwarzających zatrudniających mniej niż 250 osób, chyba
że przetwarzanie, którego dokonują, może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą, nie ma charakteru sporadycznego lub obejmuje dane wrażliwe (szczególne kategorie danych osobowych, o których mowa w art. 9 ust. 1 RODO, lub dane osobowe dotyczące wyroków skazujących i naruszeń prawa, o czym mowa w art. 10 RODO).
Powyższe wyłączenie obowiązku prowadzenia rejestru czynności przetwarzania danych będzie więc miało w większości przypadków charakter czysto iluzoryczny, ponieważ trudno zakładać że operacje przetwarzania danych osobowych nie będą wiązały się z jakimkolwiek ryzykiem naruszenia praw lub wolności osób fizycznych oraz że procesy te nie będą obejmowały (przynajmniej w wybranych przypadkach, choćby w samym obszarze kadrowo-płacowym) przetwarzania danych wrażliwych (np. dotyczących stanu zdrowia jak w przypadku obszaru BHP i prowadzonych rejestrów wypadków przy pracy).
GDPR, Jakub Wezgraj, ochrona danych osobowych, ODOekspert, RODO, rodo wdrożenie, rodo wymagania, rozporządzenie GDPR, rozporządzenie RODO, unijne rozporządzenie o ochronie danych, wdrożenie gdpr, wdrożenie rodo
Uprawnienia podmiotu danych - jak powinien je realizować administrator danych? #PRAWO DOSTĘPU DO DANYCH#
Autor: Jakub Wezgraj, Data dodania: 23 Wrzesień 2017 , Kategoria: Rozporządzenie ogólne o ochronie danych osobowych (GDPR)
# PRAWO DOSTĘPU DO DANYCH # - art. 15 RODO.
RODO przewiduje szereg uprawnień przysługujących osobom, których dane są przetwarzane przez administratorów.
Do praw tych należą: prawo dostępu do danych, prawo do sprostowania i usunięcia danych, prawo do ograniczenia przetwarzania, prawo do przenoszenia danych, prawo do złożenia sprzeciwu na przetwarzanie danych, a także szczególne uprawnienia związane z procesami zautomatyzowanego przetwarzania danych (w tym profilowaniem).
Możliwość skorzystania przez podmiot danych z określonych uprawnień zależy zasadniczo od podstaw prawnych, na których oparte jest konkretne przetwarzanie, a także celu i sposobu przetwarzania danych (np. czy są przetwarzane w sposób zautomatyzowany – za pomocą systemów informatycznych).
To z kolei powoduje, że administrator danych nie będzie zobligowany do realizacji uprawnień konkretnego Kowalskiego w każdym przypadku i w takim samym zakresie.
W tym artykule opisuję prawo dostępu do danych, które przewiduje art. 15 RODO.
Przejdź Uprawnienia podmiotu danych - jak powinien je realizować administrator danych? #PRAWO DOSTĘPU DO DANYCH#