Audytor nowego klienta prosi o rejestr czynności przetwarzania, zanim jego firma podpisze umowę powierzenia. Inspektor ochrony danych wysyła arkusz założony w maju 2018 r. Figuruje w nim system kadrowy wyłączony dwa lata temu, a brakuje platformy CRM w chmurze, nowego biura rachunkowego i narzędzia do rekrutacji, które dział HR kupił samodzielnie. Arkusz istnieje, ale rejestru w praktyce nie ma.
Rejestr czynności przetwarzania to obowiązek z art. 30 RODO, a zarazem najprostsza mapa danych firmy: kto, w jakim celu i w jakim systemie przetwarza dane osobowe. Bez takiej mapy zespół odpowiedzialny za cyberbezpieczeństwo nie wie, które systemy wymagają najmocniejszej ochrony, a po incydencie traci czas na ustalanie, czyje dane mogły wyciec. Rejestr prowadzi każdy administrator i każdy podmiot przetwarzający, a zwolnienie dla firm zatrudniających mniej niż 250 osób jest znacznie węższe, niż sugeruje sam próg.
Czym jest rejestr czynności przetwarzania?
Rejestr czynności przetwarzania to prowadzony na piśmie wykaz procesów, w których firma przetwarza dane osobowe, z informacjami wymaganymi przez art. 30 RODO: celami, kategoriami osób i danych, odbiorcami, przekazaniami do państw trzecich, terminami usunięcia i opisem zabezpieczeń. To opis tego, co firma robi z danymi i po co, a nie lista plików czy baz.
Motyw 82 RODO nadaje rejestrowi dwie funkcje. Pierwsza to zachowanie zgodności z rozporządzeniem przez samego administratora. Druga to umożliwienie organowi nadzorczemu monitorowania przetwarzania, bo rejestr udostępnia się na jego żądanie. Obie wynikają z zasady rozliczalności z art. 5 ust. 2: administrator odpowiada za przestrzeganie zasad przetwarzania i musi umieć wykazać, że ich przestrzega.
RODO nie definiuje pojęcia „czynność przetwarzania”. Prezes UODO w wyjaśnieniach do art. 30 przyjmuje, że to „zespół powiązanych ze sobą operacji na danych”, które da się opisać zbiorczo przez cel. Rekrutacja pracowników jest więc jedną czynnością, choć obejmuje zbieranie CV, selekcję, rozmowy i usuwanie danych osób, których firma nie zatrudniła.
Stan prawny na 14 września 2026 r.: art. 30 RODO obowiązuje w brzmieniu z 2016 r., bez zmian. Ogólny przegląd obowiązków wynikających z rozporządzenia zawiera nasz przewodnik po RODO, a krótką definicję samego aktu — hasło RODO w słowniku.
Kto musi prowadzić rejestr czynności przetwarzania?
Rejestr prowadzi każdy administrator, czyli podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych (art. 4 pkt 7 RODO). Jego rejestr obejmuje wszystkie czynności przetwarzania, za które odpowiada. Gdy administrator spoza Unii ma przedstawiciela w UE, rejestr prowadzi także przedstawiciel.
Podmiot przetwarzający, czyli firma przetwarzająca dane w imieniu administratora (art. 4 pkt 8), prowadzi osobny rejestr: wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratorów (art. 30 ust. 2). Dotyczy to biur rachunkowych, dostawców usług chmurowych, firm utrzymujących systemy IT czy operatorów kopii zapasowych. UODO zwraca uwagę, że taki podmiot z reguły prowadzi oba rejestry, bo dla danych własnych pracowników sam jest administratorem.
Przy współadministrowaniu obowiązek ciąży na każdym współadministratorze, a opis wspólnego procesu powinien znaleźć się w rejestrze każdego z nich, co UODO wywodzi ze słowa „każdy” w art. 30 ust. 1.
Inspektor ochrony danych nie jest adresatem obowiązku, choć według UODO może doradzać przy rejestrze (zob. kim jest inspektor ochrony danych).
Czy firma zatrudniająca mniej niż 250 osób jest zwolniona z prowadzenia rejestru?
Firma zatrudniająca mniej niż 250 osób jest zwolniona tylko częściowo i tylko dla przetwarzania, które spełnia łącznie trzy warunki. Art. 30 ust. 5 RODO stanowi, że obowiązek nie ma zastosowania do takiego podmiotu, „chyba że przetwarzanie, którego dokonują, może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą, nie ma charakteru sporadycznego lub obejmuje szczególne kategorie danych osobowych, o których mowa w art. 9 ust. 1, lub dane osobowe dotyczące wyroków skazujących i naruszeń prawa, o czym mowa w art. 10”.
Grupa Robocza Art. 29 w stanowisku z 19 kwietnia 2018 r. wyjaśniła, że te przesłanki są alternatywne i każda z osobna uruchamia obowiązek. Chodzi przy tym o jakiekolwiek ryzyko, nie tylko wysokie. Jako przykład podała małą organizację, która regularnie przetwarza dane pracowników: takie przetwarzanie nie jest sporadyczne i musi trafić do rejestru.
Praktyczny skutek jest prosty. Pracodawca z kilkudziesięcioma pracownikami prowadzi rejestr przynajmniej dla kadr, płac i stałej obsługi klientów, a pomija w nim tylko czynności faktycznie sporadyczne, mało ryzykowne i bez danych szczególnych. Grupa Robocza dodała, że dla wielu mikro-, małych i średnich organizacji prowadzenie rejestru raczej nie będzie szczególnie dużym obciążeniem.
Co trzeba wpisać do rejestru czynności przetwarzania?
Rejestr administratora musi zawierać siedem grup informacji wymienionych w art. 30 ust. 1 lit. a–g RODO. Przepis mówi wprost, że zamieszcza się „wszystkie następujące informacje”:
- imię i nazwisko lub nazwę oraz dane kontaktowe administratora i współadministratorów, a gdy ma to zastosowanie — przedstawiciela i inspektora ochrony danych,
- cele przetwarzania,
- opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych,
- kategorie odbiorców, w tym odbiorców w państwach trzecich i organizacjach międzynarodowych,
- gdy ma to zastosowanie — przekazania danych do państwa trzeciego lub organizacji międzynarodowej, z nazwą tego państwa albo organizacji,
- jeżeli jest to możliwe — planowane terminy usunięcia poszczególnych kategorii danych,
- jeżeli jest to możliwe — ogólny opis technicznych i organizacyjnych środków bezpieczeństwa z art. 32 ust. 1.
Dane administratora i inspektora wystarczy podać raz, na przykład na stronie tytułowej. UODO proponuje taki układ, żeby nie powtarzać ich przy każdej czynności. Cel opisuje się konkretnie: „naliczanie i wypłata wynagrodzeń” mówi więcej niż „kadry”, a „obsługa reklamacji” więcej niż „klienci”.
Przy odbiorcach typowy błąd to wpisywanie działów firmy. Odbiorcą jest każdy podmiot, któremu ujawnia się dane (art. 4 pkt 9), np. podmiot przetwarzający albo inny administrator. Według UODO nie są nim pracownicy działający z upoważnienia administratora wewnątrz jego struktury. Do rejestru trafia więc biuro rachunkowe i dostawca systemu kadrowego, a nie dział księgowości.
Czym różni się rejestr kategorii czynności podmiotu przetwarzającego?
Rejestr podmiotu przetwarzającego jest krótszy i uporządkowany według usług, a nie według celów. Art. 30 ust. 2 RODO wymaga w nim danych podmiotu przetwarzającego i każdego administratora, w imieniu którego działa, kategorii przetwarzań dla każdego administratora, przekazań do państw trzecich oraz, jeżeli to możliwe, ogólnego opisu zabezpieczeń.
W rejestrze kategorii nie ma celów przetwarzania, kategorii osób i danych ani odbiorców. UODO tłumaczy to tym, że o celach i sposobach przetwarzania decyduje administrator, więc to on je opisuje. Kategorię czynności UODO definiuje jako „rodzaj usługi realizowanej przez podmiot przetwarzający na zlecenie administratora”.
Wśród przykładów UODO wymienia przechowywanie danych klienta, w tym wykonywanie kopii zapasowych, udostępnianie infrastruktury, usługi administracyjne i konserwacyjne, archiwizację danych elektronicznych oraz niszczenie nośników. Dla firm IT, które utrzymują systemy klientów, to praktyczna wskazówka: jeden wpis odpowiada jednej usłudze z umowy, a nie jednemu serwerowi.
Jak szczegółowo opisać czynność przetwarzania?
Czynność opisuje się na poziomie procesu związanego z jednym celem, bez rozpisywania pojedynczych operacji na danych. UODO podaje przykład „obsługi umów sprzedaży”: wystarczy ten jeden wpis, bez osobnych pozycji dla wystawienia faktury, zapisu w rejestrze VAT czy wysłania pliku JPK.
Granice procesów warto wyznaczać według rzeczywistego podziału pracy. UODO zauważa, że w dużej firmie kadry i płace to często dwa zespoły i dwie czynności, a w małej jedna osoba może obsługiwać całość jako jeden proces. Rejestr ma odzwierciedlać organizację, a nie cudzy wzór.
Sprawdza się prosta reguła kontrolna: jeden wpis to jeden cel i jeden właściciel. Jeśli w ramach procesu dane trafiają do różnych systemów o odmiennych zabezpieczeniach albo do różnych dostawców, lepiej dopisać te informacje w polach dodatkowych niż dzielić proces na sztuczne fragmenty.
Jakie informacje warto dopisać ponad minimum z art. 30?
Art. 30 ust. 1 wyznacza minimum, a nie zamknięty katalog, więc rejestr może zawierać pola, które ułatwią wykazanie zgodności. UODO wymienia wśród nich podstawę prawną przetwarzania, źródło danych, system informatyczny, informację o przeprowadzonej ocenie skutków, właściciela procesu i dane podmiotów, którym podpowierzono przetwarzanie.
Pole „system informatyczny” ma największą wartość dla bezpieczeństwa. Łączy rejestr z inwentarzem aplikacji, więc gdy incydent dotknie konkretnego systemu, od razu widać, których procesów i kategorii danych dotyczy. To ułatwia ocenę, czy naruszenie trzeba zgłosić organowi, co według art. 33 ust. 1 RODO następuje w miarę możliwości nie później niż 72 godziny po jego stwierdzeniu.
Pole o ocenie skutków pozwala z kolei szybko wskazać procesy wysokiego ryzyka, dla których firma przeprowadziła albo powinna przeprowadzić ocenę skutków dla ochrony danych (DPIA). Pole „właściciel procesu” rozwiązuje najtrudniejszy problem rejestru: kto ma zgłosić zmianę, zanim rejestr się zdezaktualizuje.
Najważniejsze:
- Rejestr prowadzi każdy administrator (art. 30 ust. 1) i każdy podmiot przetwarzający (art. 30 ust. 2).
- Regularne przetwarzanie danych pracowników zawsze trafia do rejestru, także w firmie poniżej 250 osób.
- Odbiorcy to podmioty, którym ujawnia się dane, a nie działy własnej firmy.
- Pole „system informatyczny” łączy rejestr z inwentarzem IT i przyspiesza ocenę naruszenia.
Jak opisać środki bezpieczeństwa w rejestrze?
Środki bezpieczeństwa opisuje się w rejestrze ogólnie, z odesłaniem do dokumentacji, w której są szczegóły. Art. 30 ust. 1 lit. g odsyła do art. 32 ust. 1 RODO, który wymienia przykładowe środki: pseudonimizację i szyfrowanie, zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów, szybkie przywracanie dostępu do danych po incydencie oraz regularne testowanie skuteczności zabezpieczeń.
UODO wskazuje, że opis może przywoływać rodzaj zabezpieczeń, na przykład kontrolę dostępu opartą na identyfikatorze i haśle, certyfikaty albo szyfrowanie komunikacji, i odsyłać do polityki lub procedury. Przy danych w systemach informatycznych i danych przesyłanych przez sieci publiczne opis powinien obejmować kontrolę dostępu i ochronę kryptograficzną.
Tę część rejestru psują dwa skrajne błędy: cała polityka bezpieczeństwa wklejona w każdy wpis albo ogólnik „stosujemy odpowiednie zabezpieczenia”. UODO stawia jasny test: opis ma umożliwić administratorowi, podmiotowi przetwarzającemu i organowi wstępną ocenę zastosowanych środków.
W jakiej formie prowadzić rejestr i komu go udostępnić?
Rejestr prowadzi się w formie pisemnej, w tym elektronicznej (art. 30 ust. 3), i udostępnia na żądanie organu nadzorczego (art. 30 ust. 4). Nie zgłasza się go z góry do Prezesa UODO, ale trzeba umieć go przedstawić podczas kontroli albo postępowania.
RODO nie narzuca układu informacji, a Prezes UODO udostępnia szablony rejestrów jako pomoc, nie jedyny prawidłowy wzór. Arkusz, moduł systemu do zarządzania zgodnością albo baza danych są dopuszczalne, jeśli zawierają wymagane elementy.
Brak rejestru albo rejestr niekompletny to naruszenie obowiązku z art. 30, który mieści się w art. 83 ust. 4 lit. a RODO. Za naruszenia z tej grupy grozi kara do 10 000 000 EUR, a w przypadku przedsiębiorstwa do 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym stosuje się kwotę wyższą. Ważniejszy bywa jednak skutek pośredni: bez aktualnego rejestru trudno wykazać rozliczalność w każdej innej sprawie.
Jak zbudować i utrzymać rejestr krok po kroku?
Rejestr buduje się od procesów i ludzi, a nie od szablonu, i utrzymuje przez powiązanie z decyzjami, które zmieniają przetwarzanie. Art. 30 nie określa, jak często aktualizować rejestr, więc częstotliwość wynika z tempa zmian w firmie. Poniższa tabela porządkuje pracę tak, żeby rejestr od pierwszego dnia był dowodem, a nie deklaracją.
| Krok | Kto odpowiada | Skąd wziąć informacje | Typowy błąd | Dowód dla audytora |
|---|---|---|---|---|
| Lista procesów | właściciele procesów z inspektorem albo osobą odpowiedzialną za ochronę danych | rozmowy z działami, schemat organizacyjny | proces nazwany od działu („Kadry”), a nie od celu | lista procesów z właścicielami i datą ustalenia |
| Mapowanie systemów i dostawców | dział IT i zakupy | inwentarz aplikacji, umowy powierzenia, faktury za usługi chmurowe | pominięte usługi kupione przez działy bez udziału IT | powiązanie proces → system → dostawca |
| Elementy z art. 30 ust. 1 | właściciel procesu | regulaminy, umowy, polityka retencji | cel opisany ogólnikiem, brak terminów usunięcia | komplet pól a–g dla każdego procesu |
| Opis zabezpieczeń | dział IT lub bezpieczeństwa | polityki, konfiguracja systemów, wyniki testów | cała polityka wklejona w każdy wpis albo pusty ogólnik | krótki opis z odesłaniem do dokumentu |
| Ocena zwolnienia z art. 30 ust. 5 | osoba odpowiedzialna za ochronę danych | stanowisko Grupy Roboczej Art. 29 | uznanie całej firmy za zwolnioną z powodu liczby pracowników | uzasadnienie dla każdego pominiętego procesu |
| Wyzwalacze aktualizacji | właściciel procesu i dział IT | zgłoszenia zmian, nowe umowy, incydenty | aktualizacja raz w roku „z pamięci” | historia zmian z datami i autorami |
Najskuteczniejszym wyzwalaczem jest proces zakupowy i wdrożeniowy. Każdy nowy system przetwarzający dane osobowe, nowy dostawca, nowy cel albo przekazanie danych poza Europejski Obszar Gospodarczy powinny zaczynać się od pytania o wpis w rejestrze. Taki punkt kontrolny w procedurze zmiany jest prostszy niż coroczne odtwarzanie rejestru od zera.
Jak nFlo może pomóc w uporządkowaniu rejestru czynności przetwarzania?
nFlo porządkuje rejestr w ramach usługi Kompleksowy Przegląd i Doradztwo RODO/GDPR, która należy do obszaru „Ład, ryzyko i zgodność”. Zakres usługi obejmuje inwentaryzację przetwarzania danych, przegląd umów powierzenia, ocenę środków technicznych, raport z analizy luk, priorytetyzowany plan naprawczy i szablony dokumentacji, w tym rejestrów czynności przetwarzania.
Inwentaryzacja przetwarzania i ocena środków technicznych w jednym przeglądzie dają rejestr, który opisuje zarówno procesy, jak i zabezpieczenia, więc służy jednocześnie zgodności z RODO i bezpieczeństwu danych. nFlo nie świadczy pomocy prawnej: rozstrzygnięcie sporów interpretacyjnych należy do inspektora ochrony danych albo prawnika firmy. Jeśli rejestr w Twojej organizacji wymaga przeglądu, skontaktuj się z nami. Więcej tekstów o ochronie danych zebraliśmy w bazie wiedzy o RODO.
Co jeszcze warto wiedzieć o rejestrze czynności przetwarzania?
Czy rejestr czynności przetwarzania trzeba zgłaszać do UODO?
Nie. Art. 30 ust. 4 RODO wymaga udostępnienia rejestru na żądanie organu nadzorczego, w Polsce Prezesa UODO, na przykład w trakcie kontroli. Z góry nikt go nie przyjmuje ani nie rejestruje.
Czy rejestr można prowadzić w arkuszu kalkulacyjnym?
Tak. Forma pisemna obejmuje formę elektroniczną (art. 30 ust. 3 RODO). Arkusz wystarczy, jeśli zawiera wszystkie elementy z art. 30 ust. 1 albo 2 i jest aktualny.
Czy wzór rejestru opublikowany przez UODO jest obowiązkowy?
Nie. Prezes UODO zastrzega, że jego szablonów nie należy traktować jako jedynych prawidłowych wzorów. Liczy się komplet wymaganych elementów dla wszystkich procesów.
Kto w firmie odpowiada za prowadzenie rejestru?
Obowiązek ciąży na administratorze albo podmiocie przetwarzającym, a nie na inspektorze ochrony danych. W praktyce każdy proces potrzebuje właściciela, który zgłasza zmiany.
Czy firma jednoosobowa musi prowadzić rejestr czynności przetwarzania?
Zwolnienie z art. 30 ust. 5 RODO zależy od rodzaju przetwarzania, a nie od formy działalności. Jeśli jednoosobowa firma regularnie przetwarza dane klientów albo pracowników, takie przetwarzanie nie ma charakteru sporadycznego i według stanowiska Grupy Roboczej Art. 29 musi znaleźć się w rejestrze.
