Mapa, bez której nic nie da się sprawdzić
Rejestr czynności przetwarzania z art. 30 RODO uchodzi za uciążliwą formalność. W istocie jest jedynym miejscem, w którym organizacja zapisuje w całości, co robi z danymi – a przez to podstawą niemal każdego innego obowiązku.
Mało który obowiązek rozporządzenia bywa odkładany równie niezawodnie. Rejestr nie daje widocznej korzyści, nie pojawia się na żadnej stronie i nikt o niego nie pyta – dopóki nie napisze organ nadzorczy. Wtedy jest pierwszą rzeczą, jakiej się żąda, i to nie z formalizmu: bez tego zestawienia żadne inne pytanie nie da się rozstrzygnąć.
To tłumaczy też, dlaczego organy niemal zawsze od niego zaczynają kontrolę. Kto nie potrafi spisać, jakie czynności przetwarzania istnieją, nie uzasadni terminu usunięcia, nie udzieli pełnej odpowiedzi na wniosek ani nie oceni, czy naruszenie podlega zgłoszeniu.
Wyjątek, który prawie nikogo nie zwalnia
Art. 30 ust. 5 zwalnia organizacje zatrudniające mniej niż 250 osób – i w tym samym zdaniu zwolnienie w znacznej mierze cofa. Odpada ono, gdy tylko przetwarzanie może powodować ryzyko dla praw i wolności, gdy nie ma charakteru sporadycznego albo gdy obejmuje szczególne kategorie danych z art. 9.
Druga przesłanka przesądza sprawę w praktyce. Baza klientów, lista płac, lista wysyłkowa newslettera: wszystko to przetwarzanie regularne, a więc niesporadyczne. Zostaje pasmo bardzo wąskie – na przykład stowarzyszenie prowadzące raz w roku listę uczestników i niszczące ją potem.
Czy istnieje obowiązek prowadzenia rejestru?
Co należy do rejestru
Art. 30 ust. 1 wylicza obowiązkowe elementy wyczerpująco. Uderza to, czego brakuje: podstawy prawnej. Nie ma jej na liście, należy jednak do każdego użytecznego rejestru – bez niej legalność czynności nie da się ocenić, a pyta się właśnie o to. Większość organów nadzorczych wskazuje ją więc wyraźnie w swoich wzorach.
Jeden wpis od góry do dołu
- Cel przetwarzaniaNa tyle konkretny, by zasięg był rozpoznawalny – nie „obsługa klientów”, lecz co się dzieje konkretnie.
- Kategorie osób i danychGrupy, nie przypadki jednostkowe. Szczególne kategorie z art. 9 oznaczane są osobno.
- OdbiorcyTakże podmioty przetwarzające, również w państwach trzecich – tam z instrumentem przekazywania.
- Terminy usunięciaJeśli to możliwe w okresach, inaczej jako kryterium: „trzy lata po zakończeniu umowy” zamiast „wedle potrzeby”.
- Środki techniczne i organizacyjneWystarczy opis ogólny; wystarcza odesłanie do odrębnej koncepcji bezpieczeństwa.
Praktyczna rada płynąca z wielu kontroli jest niespektakularna: zwięzły, utrzymywany rejestr bije szczegółowy i nieaktualny. Rozporządzenie wymaga formy pisemnej i aktualności, nie objętości. Dokument opisujący trzydzieści czynności po pięć wierszy każda i przeglądany kwartalnie spełnia art. 30 w pełni – stustronicowy zbiór zmieniony ostatnio trzy lata temu go nie spełnia.