Rejestr czynności przetwarzania to dokument, na którym zacina się najwięcej osób wdrażających RODO samodzielnie. Dlatego zamiast teorii pokazujemy przykład: kompletnie wypełniony wiersz rejestru dla typowej czynności, jaką jest prowadzenie newslettera.
Czym jest rejestr i jak wygląda
To tabela, w której każdy wiersz opisuje jedną „czynność przetwarzania” — czyli spójny proces, w którym używasz danych osobowych. Typowe czynności w małej firmie to na przykład: obsługa klientów i faktur, rekrutacja, newsletter, monitoring siedziby, kadry i płace.
Przykład: wiersz rejestru dla newslettera
- Nazwa czynności: wysyłka newslettera marketingowego
- Cel przetwarzania: marketing bezpośredni własnych usług
- Podstawa prawna: zgoda (art. 6 ust. 1 lit. a RODO) oraz zgoda na przesyłanie informacji handlowej z art. 398 Prawa komunikacji elektronicznej — obie zbierane jednym, wyraźnym checkboxem
- Kategorie osób: subskrybenci newslettera
- Kategorie danych: adres e-mail, imię (opcjonalnie)
- Odbiorcy danych: dostawca systemu mailingowego (podmiot przetwarzający)
- Przekazywanie poza EOG: nie / tak — wskazać mechanizm (np. SCC)
- Planowany termin usunięcia: do wycofania zgody; sam dowód zgody (data, treść, źródło) — przez okres przedawnienia roszczeń, na podstawie art. 6 ust. 1 lit. f RODO
- Środki bezpieczeństwa: szyfrowane połączenie, dostęp na hasło, uwierzytelnianie dwuskładnikowe (umowa powierzenia z dostawcą systemu to nie środek bezpieczeństwa — trafia do kolumny „Podmioty przetwarzające”)
Analogicznie wypełniasz wiersze dla pozostałych czynności. W praktyce mała firma ma ich zwykle od 8 do 15 — to godzina lub dwie pracy z dobrym wzorem.
Najczęstsze błędy
Po pierwsze: mylenie czynności z systemami (rejestr opisuje procesy, nie programy). Po drugie: zbyt ogólne cele („różne cele biznesowe” nie przejdzie). Po trzecie: pomijanie odbiorców — biuro rachunkowe czy hosting to też odbiorcy danych. Wreszcie: rejestr raz wypełniony i nigdy nieaktualizowany — a powinien żyć razem z firmą.
Gotowy wzór z przykładami
W każdym pakiecie branżowym znajdziesz rejestr w formie wygodnego arkusza wraz z instrukcją i przykładowymi wpisami dla Twojej branży — od JDG po przychodnie i kliniki. Sprawdź też: czy JDG musi prowadzić rejestr. Mikropakiety marketing, monitoring i rekrutacja nie zawierają osobnego rejestru — uzupełniają wierszami ten, który już masz z pakietu branżowego.
Najczęstsze pytania (FAQ)
Ile czynności powinien mieć rejestr małej firmy?
Zwykle 8–15 — nasz przykładowy rejestr dla JDG ma 13 wierszy, bo dochodzą KSeF, e-Doręczenia, narzędzia AI i cookies. Mniej niż 5 sugeruje, że coś pominięto; kilkadziesiąt — że pomylono czynności z pojedynczymi operacjami.
Czy rejestr obejmuje dane pracowników?
Tak — kadry, płace i rekrutacja to osobne czynności przetwarzania.
Jak często aktualizować rejestr?
Przy każdej zmianie procesów (nowy system, nowy cel, nowy odbiorca), a przeglądowo co najmniej raz w roku.