Rejestr czynności przetwarzania (RCP). Jak zrobić i co musi zawierać.
No to bierzemy na warsztat dokument, który UODO sprawdza jako pierwszy. RCP nie jest trudny, jest tylko nudny, jak się go robi ręcznie.
No i klasyk: kontrola UODO puka, a pierwsze pytanie to “pokażcie rejestr czynności”. RCP, czyli rejestr czynności przetwarzania z Art. 30 RODO, to spis tego, co i po co robisz z danymi osobowymi. Brzmi prosto, bo jest proste. Problem zaczyna się przy aktualności.
TL;DR
- RCP jest obowiązkowy dla administratora (z drobnymi wyjątkami, które i tak rzadko działają)
- Co musi być: cel, kategorie osób i danych, odbiorcy, transfery, terminy usunięcia, opis zabezpieczeń
- Procesor prowadzi własny, węższy rejestr kategorii czynności
- Sednem nie jest stworzenie RCP, tylko utrzymanie go w zgodzie z rzeczywistością
Kto musi prowadzić RCP
Administrator danych prowadzi rejestr czynności. Podmiot przetwarzający (procesor) prowadzi rejestr kategorii czynności, węższy. Jest wyjątek dla małych podmiotów, ale ma tyle warunków (przetwarzanie regularne, dane wrażliwe, ryzyko dla osób), że w praktyce prawie każdy i tak rejestr prowadzi. Bezpieczniej założyć, że dotyczy Ciebie.
Co musi zawierać (Art. 30)
Dla każdej czynności: nazwa i cel przetwarzania, kategorie osób, których dane dotyczą, kategorie danych, odbiorcy, ewentualne transfery poza EOG, planowane terminy usunięcia oraz ogólny opis zabezpieczeń technicznych i organizacyjnych. To minimum. Dobry rejestr dokłada podstawę prawną per cel, bo bez niej i tak nie udźwigniesz rozliczalności.
Jak go zrobić krok po kroku
Po kolei. Zinwentaryzuj procesy biznesowe (rekrutacja, marketing, obsługa klienta, monitoring). Dla każdego ustal cel i podstawę prawną. Przypisz kategorie osób i danych. Wskaż systemy i dostawców, którzy te dane dotykają. Dopisz retencję i zabezpieczenia. Tyle.
Gdzie to się rozjeżdża
RCP w Excelu rodzi się ładny i umiera cicho. Dział marketingu odpala nowe narzędzie, nikt nie dopisuje wiersza, transfer poza EOG leci bez SCC, a rejestr dalej pokazuje stan sprzed roku. Na kontroli to widać od razu.
I tu jest różnica między dokumentem a systemem. W module Iodynka (RODO) RCP dziedziczy kontekst z procesów i systemów, a silnik sam podnosi rękę, gdy czynność wymaga DPIA albo gdy poleciał transfer bez zabezpieczeń. Chcesz tylko punkt startu? Weź darmowy wzór rejestru i rozbuduj. Ale docelowo lepiej, żeby rejestr aktualizował się sam, niż żebyś o nim pamiętał.
Pisał ktoś z zespołu RealSec. Jak chcesz pogadać o tym konkretnie ; napisz do nas.