RODO nie narzuca zamkniętego wykazu dokumentów o określonych nazwach, lecz wskazuje obowiązki, których spełnienie trzeba umieć wykazać. Na dokumentację ochrony danych składają się przede wszystkim rejestr czynności przetwarzania, analiza ryzyka, polityka ochrony danych, klauzule informacyjne, upoważnienia, umowy powierzenia oraz rejestr naruszeń. Wszystkie one służą jednemu celowi, którym jest wykazanie zgodności z zasadą rozliczalności z art. 5 ust. 2 RODO.
Z mojego doświadczenia wynika, że dokumentacja RODO najlepiej spełnia swoją funkcję wtedy, gdy opisuje to, co faktycznie dzieje się w organizacji, a nie tworzy wyidealizowany obraz zgodności na papierze. Dokument, który nie odpowiada rzeczywistym procesom, jest bezużyteczny w razie kontroli, ponieważ organ nadzorczy bada praktykę, a nie samą treść segregatora. Poniżej opisuję kolejno dokumenty, które najczęściej tworzą dokumentację ochrony danych, wraz ze wskazaniem ich podstawy prawnej i funkcji.
Spis treści
Czy dokumentacja RODO jest obowiązkowa?
Ani RODO, ani ustawa o ochronie danych osobowych nie zawierają pełnego spisu wymaganych dokumentów. Rozporządzenie wskazuje jednak obowiązki, które wykazuje się właśnie dokumentacją, a obowiązek jej prowadzenia wynika pośrednio z zasady rozliczalności określonej w art. 5 ust. 2 RODO. Zgodnie z tą zasadą administrator musi nie tylko przetwarzać dane zgodnie z prawem, ale też potrafić tę zgodność udowodnić.
To istotne, ponieważ brak wymaganej dokumentacji może skutkować odpowiedzialnością administracyjną i karą pieniężną, której górna granica sięga 20 000 000 euro lub 4% rocznego światowego obrotu. To, które dokumenty są w danej organizacji rzeczywiście potrzebne, ustala się indywidualnie, w zależności od rodzaju przetwarzanych danych oraz skali, celów i podstaw ich przetwarzania.
Jakie dokumenty składają się na dokumentację RODO?
Poniższe dokumenty stanowią rdzeń dokumentacji w większości organizacji. Nie każdy z nich będzie wymagany w każdym przypadku, ale razem tworzą spójny system, który pozwala wykazać rozliczalność.
Rejestr czynności przetwarzania - art. 30 RODO
Najważniejszy dokument dokumentacji, przekazywany organowi nadzorczemu w razie kontroli. Opisuje poszczególne czynności przetwarzania, ich cel, zakres, charakter i podstawy prawne, a także zawiera ogólny opis wdrożonych środków technicznych i organizacyjnych. Obowiązek jego prowadzenia wynika z art. 30 ust. 1 RODO, a podmioty przetwarzające prowadzą odpowiednio rejestr kategorii czynności na podstawie art. 30 ust. 2 RODO.
Analiza ryzyka - motyw 76 oraz art. 32 RODO
Dokument opisujący czynności przetwarzania, ich podatności, zidentyfikowane ryzyka, wpływ na prawa i wolności osób fizycznych oraz wdrożone środki organizacyjne i techniczne wraz z oceną prawdopodobieństwa naruszenia. Podejście oparte na ryzyku wynika z motywu 76 RODO, natomiast obowiązek doboru środków bezpieczeństwa adekwatnych do poziomu ryzyka zakotwiczony jest w art. 32 RODO. Analiza ryzyka powinna zostać przeprowadzona dla każdej czynności przetwarzania w organizacji.
Polityka ochrony danych - art. 24 ust. 2 RODO
Wewnętrzny dokument opisujący zasady i procedury ochrony danych obowiązujące w organizacji. Zgodnie z art. 24 ust. 2 RODO administrator wdraża odpowiednie polityki ochrony danych, jeżeli jest to proporcjonalne w stosunku do czynności przetwarzania. Polityka porządkuje odpowiedzialności, reakcje na incydenty oraz granice decyzyjne, dzięki czemu zasady ochrony danych stają się częścią codziennego działania, a nie martwym zapisem.
Klauzule informacyjne i polityka prywatności - art. 13 i 14 RODO
Dokumenty realizujące obowiązek informacyjny wobec osób, których dane dotyczą. Gdy dane zbierane są bezpośrednio od osoby, zastosowanie ma art. 13 RODO, a gdy pochodzą z innego źródła, obowiązek wynika z art. 14 RODO. Polityka prywatności publikowana na stronie internetowej pełni tę funkcję wobec klientów i użytkowników, a odrębne klauzule kieruje się do pracowników, kontrahentów czy kandydatów do pracy, dostosowując treść do kontekstu przetwarzania.
Upoważnienia do przetwarzania i ewidencja osób upoważnionych - art. 29 RODO
Osoby przetwarzające dane w imieniu administratora działają wyłącznie na jego polecenie, co wynika z art. 29 RODO. Upoważnienie potwierdza, że administrator zachowuje kontrolę nad tym, kto i w jakim zakresie przetwarza dane, a towarzyszące mu oświadczenie o poufności zobowiązuje pracownika do zachowania tajemnicy. Uzupełnieniem jest ewidencja osób upoważnionych, która pozwala wykazać ten nadzór w razie kontroli.
Umowa powierzenia przetwarzania - art. 28 RODO
Dokument zawierany z każdym podmiotem przetwarzającym dane w imieniu administratora, na przykład dostawcą usług IT, biurem rachunkowym czy agencją marketingową. Zgodnie z art. 28 RODO umowa powierzenia przetwarzania danych musi określać przedmiot, czas, charakter i cel przetwarzania, rodzaj danych oraz obowiązki procesora, w tym zobowiązanie do zachowania poufności i wsparcia administratora przy realizacji jego obowiązków.
Rejestr naruszeń ochrony danych - art. 33 ust. 5 RODO
Obowiązek prowadzenia rejestru naruszeń wynika z art. 33 ust. 5 RODO i obejmuje wszystkie naruszenia, niezależnie od tego, czy zostały zgłoszone organowi nadzorczemu. Rejestr zawiera informacje o okolicznościach naruszenia, jego skutkach oraz podjętych działaniach zaradczych. Jeżeli w organizacji nie stwierdzono naruszeń, rejestr pozostaje pusty, co również jest prawidłowym stanem.
Zgody oraz pozostałe rejestry i ewidencje
Gdy przetwarzania nie można oprzeć na innej podstawie prawnej, potrzebna jest zgoda, a jej udokumentowanie pozwala wykazać, że osoba wyraziła ją w określonym celu, na przykład na wysyłkę newslettera. Dokumentację uzupełniają pomocnicze wykazy i ewidencje, takie jak wykaz podmiotów przetwarzających, wykaz udostępnień danych czy ewidencja kopii zapasowych, które wspierają administratora w wykazaniu rozliczalności.
Neutralność technologiczna a swoboda w doborze dokumentacji
Przepisy RODO nie wymagają, aby dokument zawierający wymagane elementy miał określoną nazwę czy strukturę. Wynika to z zasady neutralności technologicznej, którą podkreśla motyw 15 RODO. Liczy się to, aby organizacja posiadała odpowiednie rejestry i raporty oraz aby ich zawartość odpowiadała wymaganiom rozporządzenia, a nie to, jak zostaną zatytułowane.
Dzięki tej swobodzie dokumentację można dostosować do realiów organizacji, zamiast dopasowywać działalność do teoretycznego wzorca. Warto jednak pamiętać, że dokumentacja nie może być jedynie zbiorem wydrukowanych plików. Powinna być stale aktualizowana i stosowana w praktyce, w powiązaniu z realizacją praw osób, których dane dotyczą, spełnianiem obowiązku informacyjnego oraz wdrożeniem środków ograniczających ryzyko naruszenia. Dobór tych środków opiera się na ocenie ryzyka, za którą odpowiada administrator, a nie inspektor ochrony danych.
Jeśli chcesz mieć pewność, że dokumentacja ochrony danych w Twojej organizacji jest kompletna i odpowiada rzeczywistym procesom, pomożemy ją zaprojektować, przygotować i dostosować do wymogów RODO.
Sprawdź:
Potrzebujesz pomocy w wdrożeniu RODO? Napisz do nas, pomożemy!
