Art. 30 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 określa podmioty, które obowiązane są prowadzić taki rejestr,  a także warunki, które mają wpływ na konieczność realizowania takiego obowiązku.

Zgodnie z nim taki obowiązek spoczywa na przedsiębiorcach lub podmiotach zatrudniających co najmniej 250 osób, ale także rejestr czynności przetwarzania należy prowadzić (art. 30 ust. 5 RODO), gdy przetwarzanie danych osobowych:

• może powodować ryzyko naruszenia prawa lub wolności osób, których dane dotyczą,
• nie ma charakteru sporadycznego,
• obejmuje szczególne kategorie danych osobowych, o których mówi art. 9 ust. 1 RODO,
• obejmuje dane dotyczące wyroków skazujących i czynów zabronionych.

Taki rejestr należy prowadzić, gdy zachodzi przynajmniej jeden z ww. warunków, ale tylko dla tych wskazanych rodzajów przetwarzania.

Zatem szkoła, jak i każda placówka oświatowa obowiązana jest prowadzić rejestry czynności przetwarzania, gdyż posiada dane, które przetwarza w sposób ciągły (dane pracowników, uczniów), a także przetwarza dane szczególnej kategorii (dane kandydatów do szkoły).

Art. 30 ust. 1 wskazuje składowe takiego rejestru. Rejestr czynności przetwarzania powinien zawierać:

imię i nazwisko lub nazwę oraz dane kontaktowe administratora oraz inspektora ochrony danych;

1. cele przetwarzania;
2. opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych;
3. kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione;
4. jeżeli jest to możliwe, planowany termin usunięcia poszczególnych kategorii danych;
5. jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1.

Na stronach Urzędu Ochrony Danych Osobowych został zamieszczony przykładowy rejestru czynności dla szkół (www.uodo.gov.pl). Przedstawiony wzór nie jest jedynym właściwym, niemniej jednak wskazuje pozycje jakie powinny się w nim znaleźć.

W załączeniu zamieszczamy proponowany przez nas sposób prowadzenia takiego rejestru czynności.

Podstawy prawne:

• Art. 30 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 w sprawie ochrony osób   
  fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

Beata Linowska

26-02-2019

Pliki do pobrania:

ECRK karta

[ ]

46 kB