Source: http://www.prawo.egospodarka.pl/161248,Rejestr-czynnosci-przetwarzania-danych-osobowych-kiedy-jest-obowiazkowy,1,92,1.html
Timestamp: 2020-02-24 01:22:34
Legal References Found: art. 4
 art. 5
 art. 4
 art. 30
 art. 32
 art. 30
 art. 49
 art. 32

Document Content:
Rejestr czynności przetwarzania danych osobowych - kiedy jest obowiązkowy? - eGospodarka.pl - Prawo dla biznesu
eGospodarka.pl › Prawo	› Prawo dla biznesu	› Rejestr czynności przetwarzania danych osobowych - kiedy jest obowiązkowy?
Przedsiębiorca © fot. mat. prasowe
Kiedy przedsiębiorca musi prowadzić obowiązkowy rejestr czynności przetwarzania danych osobowych bądź rejestr kategorii czynności w przedsiębiorstwie – jak prowadzić takie rejestry?
Z uwagi na nowo obowiązujące Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej RODO) oraz ustawą wdrażającą z dnia 10 maja 2018 r. o ochronie danych osobowych, przedsiębiorcy są zobowiązani do spełnienia nowego obowiązku tj. prowadzenia rejestru czynności przetwarzania danych osobowych. Jest to istotny element dokumentacji danych osobowych wymaganej przez unijne rozporządzenie RODO. Prowadzenie rejestru będzie obowiązkowe dla wszystkich podmiotów, które zatrudniają, co najmniej 250 osób. Jednakże także mniejsi przedsiębiorcy również będą musieli prowadzić ww. rejestr, jeżeli m.in. przetwarzanie, którego dokonują, nie będzie miało charakteru tylko sporadycznego lub obejmować będzie szczególne kategorie danych (np. o stanie zdrowia, przynależność do związków zawodowych). Może to bowiem powodować naruszenie praw lub wolności osób. W niniejszej poradzie dowiesz się m.in., co to jest rejestr czynności przetwarzania oraz jakie czynności przetwarzania należy uwzględnić w rejestrze.
W pierwszej kolejności wskazać należy, że zgodnie z art. 4 pkt 2 RODO przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie danych. W zasadzie każda czynność mająca za przedmiot dane osobowe, może zostać uznana za przetwarzanie danych osobowych np. przekazywanie danych innym pracownikom w okresie dysponowania nimi dla celu, w którym udostępniono te dane (np. cv do czasu rozmowy kwalifikacyjnej).
Kiedy rejestr czynności przetwarzania jest obowiązkowy?
Dane osobowe muszą być oczywiście zawsze przetwarzane zgodnie z określonymi zasadami, o których mówi art. 5 ust 1 RODO, a mianowicie:
Warto również wskazać, że przepisy RODO określają przypadki, w których przetwarzanie danych osobowych jest dopuszczalne (art. 6 ust.1), są to m.in.:
Co to jest rejestr czynności przetwarzania?
2. Administrator danych osobowych (ADO)
Następnie trzeba wskazać na podmiot obowiązany. Rozporządzenie RODO wprowadziło nową instytucję administratora danych osobowych (ADO). Zgodnie z art. 4 ust. 7, administrator oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania.
Funkcję ADO w przedsiębiorstwie może pełnić dotychczasowy administrator lub też osoba nowo zatrudniona w firmie do pełnienia tej funkcji. W małych przedsiębiorstwach administratorem danych będzie sam przedsiębiorca chyba, że powierzy pełnienie funkcji ADO np. swojemu dyrektorowi/kierownikowi zakładu. Podstawowe obowiązki administratora wg. przepisów RODO to m.in.:
wdrażanie odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie odbywało się zgodnie z rozporządzeniem RODO w sposób mogący to wykazać,
środki techniczne i organizacyjne, o których mowa wyżej powinny być w razie potrzeby poddawane przeglądom i uaktualniane,
środki techniczne i organizacyjne obejmują wdrożenie przez administratora odpowiednich polityk ochrony danych.
stosowanie zatwierdzonych kodeksów postępowania, lub zatwierdzonego mechanizmu certyfikacji, które mogą być wykorzystane, jako element dla stwierdzenia przestrzegania przez administratora ciążących na nim obowiązków
prowadzenie dokumentacji opisującej sposób przetwarzania danych oraz środków zapewniających ochronę danych osobowych;
zapewnienie kontroli nad tym, jakie dane osobowe, kiedy i przez kogo zostały wprowadzone do zbioru danych osobowych oraz komu dane te są przekazywane;
prowadzenie ewidencji osób upoważnionych do przetwarzania danych osobowych (z uwzględnieniem: imienia i nazwiska osoby upoważnionej, zakresu upoważnienia do przetwarzania danych osobowych, nr identyfikatora);
powołanie Inspektora Ochrony Danych Osobowych (IODO) w przypadku, jeżeli przepisy do tego zobowiązują;
zabezpieczenie danych przed ich udostępnieniem osobom nieupoważnionym, utratą, uszkodzeniem lub zniszczeniem oraz przetwarzaniem z naruszeniem rozporządzenia.
Ponadto administrator danych ADO decyduje o tym, jakie informacje zbiera, do czego je przetwarza i czy przetwarza je sam czy za pośrednictwem osoby przez niego upoważnionej (np. pracownik) lub powierza je podmiotom zewnętrznym (na podstawie umowy o powierzenie danych osobowych). Jednakże zawsze, ma obowiązek przetwarzania pozyskanych danych tylko w sposób uregulowany przepisami prawa, mając na celu ochronę interesów osób, których one dotyczą. ADO jest również obowiązany do informowania o przetwarzaniu pozyskanych danych, o sposobie ich zabezpieczenia, zgodnie z przepisami RODO.
3. Co to jest rejestr czynności przetwarzania?
Rozporządzenie RODO wprowadza obowiązek, jakim jest prowadzenie rejestru czynności przetwarzania, który zastępuje wcześniejszy obowiązek zgłaszania zbiorów danych do GIODO. Obowiązek ten dotyczy nie tylko administratorów danych ADO, ale również podmiotów przetwarzających dane w imieniu administratorów. Taki rejestr jest wewnętrznym, firmowym dokumentem, który zalicza się t.zw. ksiąg przedsiębiorstwa, czyli dokumentacji też pracowniczej (obok np. handlowej, księgowej i innych) można prowadzić zarówno w formie elektronicznej czy pisemnej. Zgodnie z art. 30 ust. 1 RODO w rejestrze przetwarzania powinny się znaleźć m.in.:
imię i nazwisko lub nazwa oraz dane kontaktowe administratora, a także, gdy ma to zastosowanie inspektora ochrony danych;
opis kategorii osób, których dane dotyczą (np. użytkownicy aplikacji);
opis kategorii danych osobowych (np. imię i nazwisko);
kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich;
jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1. RODO.
Wskazać również należy, że rejestr czynności przetwarzania pełni funkcję swego rodzaju ewidencji, w którym administrator umieszcza informacje o tym:
czyje dane przetwarza z podziałem na kategorie osób, których dane dotyczą;
jakie to są dane tj. wskazanie kategorii danych;
komu są ujawnianie tj. wskazanie kategorii odbiorców;
czy dane są przekazywane do państw trzecich;
jak długo dane są przechowywane oraz w jaki sposób są zabezpieczane.
Powyższy obowiązek dot. również podmiotów zewnętrznych, którym administratorzy zlecają na swój rachunek przetwarzanie danych osobowych. Zakres informacji zamieszczanych w rejestrze przez podmiot przetwarzający jest trochę inny i zgodnie z art. 30 ust. 2 powinien zawierać:
imię i nazwisko lub nazwa oraz dane kontaktowe podmiotu przetwarzającego lub podmiotów przetwarzających oraz każdego administratora, w imieniu, którego działa podmiot przetwarzający, a gdy ma to zastosowanie – przedstawiciela administratora lub podmiotu przetwarzającego oraz inspektora ochrony danych;
gdy ma to zastosowanie – przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi, dokumentacja odpowiednich zabezpieczeń;
Należy również wskazać, że rejestr czynności przetwarzania powinien być w należyty sposób zabezpieczony. Kwestią wdrożenia odpowiednich środków technicznych, które zabezpieczą przetwarzanie danych w firmie musi zająć się oczywiście administrator. Zgodnie z art. 32 ust. 1 RODO, uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w tym między innymi w stosownym przypadku:
pseudoanimizację i szyfrowanie danych osobowych;
Ochrona danych osobowych - dokumentacja
Zbieranie danych osobowych niejasne dla konsumentów
RODO w centrum handlowym. Wnioski i wskazówki
Więcej na ten temat: rejestr czynności przetwarzania danych osobowych, przetwarzanie danych osobowych, dane osobowe, przetwarzanie danych, administrator danych osobowych, przechowywanie danych osobowych, RODO