Rejestr czynności przetwarzania, DPIA i zakończenie przejścia

Moduł 9: Ludzie i przepisy · Czas czytania: 12 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili zaktualizować rejestr czynności przetwarzania i politykę prywatności po przejściu, ocenić, czy potrzebna jest DPIA, zadbać o prawidłowe usunięcie danych u starego dostawcy oraz formalnie zakończyć przejście za pomocą checklisty końcowej.

Kluczowe pojęcia: rejestr czynności przetwarzania (art. 30), wyjątek dla mniej niż 250 pracowników, DPIA (art. 35), lista DPIA Prezesa UODO, polityka prywatności (art. 13 i 14), odbiorcy, przekazywanie danych, obowiązek zgłaszania naruszeń (art. 33), usunięcie danych u starego dostawcy, potwierdzenie usunięcia, ewaluacja, checklista końcowa

Przejście jest zakończone dopiero, gdy zgadza się dokumentacja

Poczta działa, pliki są na miejscu, wszyscy pracują w nowym środowisku. Technicznie są Państwo gotowi. Ale z punktu widzenia RODO wciąż pozostaje praca: Państwa dokumentacja nadal opisuje starą sytuację. Przy pytaniu klienta, kontroli lub naruszeniu ochrony danych osobowych będą Państwo chcieli pokazać, jak wygląda to obecnie. Ta lekcja zamyka proces przejścia.

To jest wyjaśnienie, a nie porada prawna.

Rejestr czynności przetwarzania

Artykuł 30 ust. 1 RODO zobowiązuje administratora do prowadzenia rejestru czynności przetwarzania. Zawiera on dla każdej czynności (na przykład "zamówienia klientów", "administracja kadrowa", "newsletter"):

• nazwę i dane kontaktowe administratora (oraz ewentualnie inspektora ochrony danych);
• cele przetwarzania;
• kategorie osób, których dane dotyczą, oraz kategorie danych osobowych;
• odbiorców, w tym podmioty przetwarzające;
• przekazywanie danych do krajów spoza EOG, wraz z zabezpieczeniami;
• terminy usunięcia danych, o ile to możliwe;
• ogólny opis środków bezpieczeństwa, o ile to możliwe.

Czy dotyczy to także małej organizacji?

Artykuł 30 ust. 5 zawiera wyjątek dla organizacji zatrudniających mniej niż 250 pracowników. Wyjątek ten nie obowiązuje jednak, jeśli przetwarzanie może powodować ryzyko, jeśli przetwarzanie nie ma charakteru sporadycznego, lub jeśli obejmuje szczególne kategorie danych osobowych (na przykład dane o zdrowiu) albo dane dotyczące wyroków skazujących i naruszeń prawa. Prezes Urzędu Ochrony Danych Osobowych wyjaśnia, że w praktyce przetwarzanie rzadko ma charakter sporadyczny: gdy tylko mają Państwo pracowników lub stałych klientów, przetwarzanie odbywa się w sposób strukturalny. Dla Bakkerij De Korrel, z kadrami płacowymi, zamówieniami klientów i zwolnieniami lekarskimi, wyjątek ten zatem nie ma zastosowania.

Istnieje europejska propozycja, aby złagodzić obowiązek prowadzenia rejestru dla mniejszych organizacji (tak zwany pakiet Omnibus IV; w czerwcu 2026 roku Rada i Parlament osiągnęły wstępne porozumienie). Dopóki nie wejdzie ona w życie, obowiązuje obecny artykuł 30. Również po jej wejściu w życie przegląd taki pozostanie przydatny: potrzebują go Państwo, aby móc wywiązać się z pozostałych obowiązków.

Co należy dostosować po przejściu?

Proszę przejrzeć każdą pozycję rejestru i dostosować ją:

Przejście to dobry moment, aby wreszcie uporządkować terminy przechowywania danych. Dla dokumentacji podatkowej w Holandii obowiązuje zasadniczo siedmioletni obowiązek przechowywania; dla danych z rekrutacji holenderski organ nadzorczy zaleca co do zasady cztery tygodnie po zakończeniu procedury. Proszę sprawdzić, jakie terminy obowiązują w Państwa sektorze i kraju, ponieważ mogą one być inne.

Czy potrzebują Państwo DPIA?

DPIA (data protection impact assessment, w RODO "ocena skutków dla ochrony danych") to ustrukturyzowana analiza ryzyka przeprowadzana z wyprzedzeniem. Artykuł 35 wymaga przeprowadzenia DPIA, jeśli dany rodzaj przetwarzania może powodować wysokie ryzyko dla osób, których dane dotyczą, zwłaszcza przy wykorzystaniu nowych technologii.

Jak sprawdzić, czy tak jest?

1. Lista organu nadzorczego. Holenderski organ nadzorczy ds. ochrony danych (Autoriteit Persoonsgegevens) opublikował w 2019 roku listę siedemnastu rodzajów przetwarzania, dla których DPIA jest zawsze obowiązkowa. Znajdują się na niej między innymi przetwarzanie na dużą skalę danych o zdrowiu, monitoring wizyjny, monitorowanie pracowników, dane komunikacyjne, dane o lokalizacji, profilowanie i biometria. To lista holenderskiego organu nadzorczego; każdy organ nadzorczy w UE prowadzi własną listę na podstawie art. 35 ust. 4 RODO, więc warto sprawdzić listę właściwą dla własnego kraju, w tym listę Prezesa UODO.
2. Kryteria europejskie. Europejskie organy nadzorcze opracowały dziewięć kryteriów (takich jak dane wrażliwe, duża skala, osoby szczególnie wrażliwe, systematyczne monitorowanie, nowa technologia). Jeśli dane przetwarzanie spełnia dwa lub więcej kryteriów, DPIA jest z reguły wymagana.

Dla piekarni przenoszącej pocztę i pliki DPIA zazwyczaj nie jest wymagana. Inaczej wygląda to w przypadku praktyki lekarza rodzinnego, która przenosi komunikację z pacjentami do nowej usługi, lub szkoły z danymi uczniów. Nawet jeśli DPIA nie jest obowiązkowa, krótka analiza ryzyka może być przydatna. Ocena z lekcji 1.5 stanowi do tego dobry punkt wyjścia. Jeśli mają już Państwo DPIA dla starej usługi, proszę ją zaktualizować.

Polityka prywatności

W swojej polityce prywatności informują Państwo osoby, których dane dotyczą (klientów, kandydatów do pracy, odwiedzających witrynę), jak postępują Państwo z ich danymi (art. 13 i 14). Znajdują się tam między innymi odbiorcy lub kategorie odbiorców oraz ewentualne przekazywanie danych poza EOG. Jeśli znajdował się tam zapis "korzystamy z usług firm w Stanach Zjednoczonych na podstawie Data Privacy Framework", należy go dostosować. Proszę nie zmieniać niczego, co nie jest zgodne z prawdą: proszę podawać wyłącznie to, co jest Państwu rzeczywiście pewne na podstawie umowy powierzenia i listy subprzetwarzających.

Naruszenia ochrony danych: wiedzą Państwo, do kogo zadzwonić

Po przejściu zmienił się dostawca, a tym samym także ścieżka postępowania w razie naruszenia ochrony danych. Proszę ustalić w swojej procedurze:

• adres kontaktowy nowego dostawcy do zgłaszania incydentów bezpieczeństwa;
• termin, w jakim dostawca informuje Państwa zgodnie z umową powierzenia;
• kto u Państwa decyduje, czy konieczne jest zgłoszenie, ponieważ zgłoszenie do organu nadzorczego musi nastąpić w ciągu 72 godzin od wykrycia naruszenia (art. 33);
• gdzie prowadzą Państwo rejestr naruszeń ochrony danych: także naruszenia, których nie muszą Państwo zgłaszać, należy udokumentować wewnętrznie (art. 33 ust. 5).

Zakończenie współpracy ze starym dostawcą

Proszę wypowiedzieć umowę ze starym dostawcą dopiero wtedy, gdy wszystko działa poprawnie przez kilka tygodni (lekcja 3.3). Następnie:

1. Ostatnia kontrola: czy wszystko zostało przeniesione? Czy są jakieś udostępnione foldery, formularze lub integracje, które nadal wskazują na starą usługę?
2. Proszę wyeksportować ostatnie archiwum na potrzeby własnej dokumentacji, jeśli chcą je Państwo zachować (na przykład pocztę objętą obowiązkiem przechowywania). Proszę przechowywać je w formie zaszyfrowanej.
3. Proszę usunąć konta i dane u starego dostawcy, lub zlecić ich usunięcie. Artykuł 28 ust. 3 lit. g zobowiązuje dotychczasowy podmiot przetwarzający do usunięcia lub zwrotu danych po zakończeniu współpracy, zgodnie z Państwa wyborem. Proszę poprosić o potwierdzenie usunięcia i zachować je wraz z rejestrem.
4. Proszę uporządkować powiązania: integracje typu "zaloguj się przez" w innych usługach, aplikacje mające dostęp oraz rekordy weryfikacyjne w DNS (lekcja 4.3).
5. Proszę dostosować swój rejestr, politykę prywatności i procedurę zgłaszania naruszeń (patrz wyżej).

Ewaluacja

Proszę zaplanować miesiąc po przejściu krótką ewaluację z ambasadorami (lekcja 9.1). Co się udało, co nie, co zrobiliby Państwo inaczej następnym razem? Proszę zanotować również plan wyjścia dla nowej usługi (lekcja 8.2) i ustawić w kalendarzu datę jego corocznego testowania.

W praktyce: jak to wygląda u dostawcy

Wielu dostawców ma funkcję umożliwiającą pobranie danych lub usunięcie konta. W przypadku WebOké w instrukcji WebOké znajdą Państwo informacje, jak pobrać swoje dane lub zlecić ich usunięcie. U dużych amerykańskich dostawców nazywa się to zwykle "eksport danych" i "usuwanie konta", a administrator konta organizacji ma własne funkcje eksportu. Proszę wcześniej sprawdzić, jak długo dostawca przechowuje dane w kopiach zapasowych po ich usunięciu; informacja ta znajduje się zwykle w polityce prywatności lub umowie powierzenia.

Checklista końcowa

• [ ] Wszystkie elementy z inwentaryzacji (lekcja 3.1) znajdują się w nowym środowisku i zostały sprawdzone
• [ ] Umowa(-y) powierzenia z nowym(i) dostawcą(-ami) zawarte i zachowane (lekcja 9.2)
• [ ] Rejestr czynności przetwarzania zaktualizowany: odbiorcy, przekazywanie danych, bezpieczeństwo, terminy przechowywania
• [ ] Oceniono potrzebę DPIA (potrzebna lub nie, i dlaczego, z udokumentowaniem decyzji)
• [ ] Polityka prywatności dostosowana
• [ ] Procedura zgłaszania naruszeń z nowymi danymi kontaktowymi
• [ ] Stary dostawca wypowiedziany, dane usunięte, potwierdzenie zachowane
• [ ] Integracje i stare rekordy DNS uporządkowane
• [ ] Kopia zapasowa nowego środowiska skonfigurowana i przetestowana (lekcja 8.1)
• [ ] Plan wyjścia dla nowej usługi udokumentowany (lekcja 8.2)
• [ ] Przeprowadzono ewaluację

Podsumowanie

• Po przejściu należy zaktualizować rejestr czynności przetwarzania: odbiorców, przekazywanie danych, bezpieczeństwo i terminy przechowywania.
• Wyjątek dla mniej niż 250 pracowników w praktyce rzadko ma zastosowanie; propozycja jego złagodzenia jeszcze nie weszła w życie (stan na listopad 2026).
• DPIA jest obowiązkowa przy wysokim ryzyku (lista organu nadzorczego, kryteria europejskie); dla zwykłych danych biurowych zazwyczaj nie jest wymagana.
• Proszę dostosować politykę prywatności i procedurę zgłaszania naruszeń.
• Proszę poprosić starego dostawcę o usunięcie danych i poprosić o potwierdzenie.

Quiz

Zadanie

Zadanie E9.3: Zakończcie przejście. Proszę zaktualizować dla trzech czynności przetwarzania w Państwa organizacji wpisy w rejestrze czynności przetwarzania (odbiorcy, przekazywanie danych, bezpieczeństwo, termin przechowywania), ocenić za pomocą listy organu nadzorczego i kryteriów europejskich, czy potrzebna jest DPIA, oraz wypełnić checklistę końcową.

Dalsza lektura

Kroki opisane w tych artykułach dotyczą usług WebOké; u innych dostawców działa to w podobny sposób.

• Podręcznik WebOké 11.7: Prywatność: pobieranie danych lub usuwanie konta
• Podręcznik Nextcloud 16.7: Odejście kolegi/koleżanki z pracy: bezpieczne przejęcie plików, kalendarza i udostępnionych folderów
• Podręcznik Nextcloud 15.13: Najczęściej zadawane pytania dotyczące bezpieczeństwa i prywatności
• Rozporządzenie (UE) 2016/679 (RODO), artykuły 13, 14, 28, 30, 33 i 35, na EUR-Lex
• Decyzja w sprawie wykazu rodzajów przetwarzania danych osobowych wymagających DPIA (holenderski organ nadzorczy Autoriteit Persoonsgegevens, Stcrt. 2019), na wetten.overheid.nl (BWBR0042812); każdy organ nadzorczy w UE, w tym Prezes UODO, prowadzi własną listę na podstawie art. 35 ust. 4 RODO
• Autoriteit Persoonsgegevens, tematy "Register van verwerkingsactiviteiten" i "DPIA": https://www.autoriteitpersoonsgegevens.nl