Czym jest Rejestr Czynności Przetwarzania?
Rejestr Czynności Przetwarzania (RCP) to wewnętrzny dokument, który każdy administrator danych osobowych jest zobowiązany prowadzić na podstawie art. 30 Rozporządzenia RODO (UE 2016/679). To rodzaj ewidencji — lista wszystkich procesów, w których Twoja firma przetwarza dane osobowe.
Wyobraź sobie RCP jako spis treści Twojej polityki prywatności, ale bardziej szczegółowy i przeznaczony do celów wewnętrznych i kontrolnych — nie do publikowania na stronie.
Kto musi prowadzić RCP?
Zgodnie z art. 30 ust. 5 RODO, obowiązek prowadzenia rejestru formalnie nie dotyczy firm zatrudniających mniej niż 250 osób — chyba że:
W praktyce oznacza to, że niemal każda firma prowadząca sklep internetowy, serwis z formularzem kontaktowym, newsletter lub używająca Google Analytics powinna prowadzić RCP. Prezes UODO wielokrotnie potwierdzał, że zaleca prowadzenie rejestru przez wszystkich administratorów.
Co musi zawierać Rejestr Czynności Przetwarzania?
Zgodnie z art. 30 ust. 1 RODO, rejestr prowadzony przez administratora powinien zawierać:
Jak wygląda RCP w praktyce — przykład
Poniżej przykład jednej czynności przetwarzania dla sklepu internetowego:
| Element | Wartość |
|---|---|
| Cel | Realizacja zamówień i obsługa klientów |
| Kategorie danych | Imię, adres, email, telefon, historia zamówień |
| Podstawa prawna | Art. 6 ust. 1 lit. b RODO (wykonanie umowy) |
| Odbiorcy | Firma kurierska, biuro rachunkowe, Stripe Inc. |
| Przekazanie do państw trzecich | Stripe Inc. (USA) — na podstawie SCC |
| Okres przechowywania | 5 lat (wymogi podatkowe) |
| Środki bezpieczeństwa | Szyfrowanie TLS, kontrola dostępu, backup |
Jak często aktualizować RCP?
Rejestr Czynności Przetwarzania
Wygeneruj Rejestr Czynności Przetwarzania (art. 30 RODO)
Spersonalizowany RCP dopasowany do Twojej firmy. Wymagany przez RODO dla każdego administratora danych.
Wygeneruj Rejestr Czynności Przetwarzania →Rejestr powinien być aktualizowany przy każdej istotnej zmianie sposobu przetwarzania danych:
Zalecany przegląd rejestru: raz na rok lub po każdej istotnej zmianie.
Konsekwencje braku RCP
Brak prowadzenia rejestru lub prowadzenie go w sposób niepełny może skutkować:
W praktyce UODO w pierwszej kolejności wydaje ostrzeżenia i nakazy uzupełnienia — kary za sam brak RCP u małych firm są rzadkie, ale ryzyko rośnie w przypadku naruszenia danych osobowych.
RCP a polityka prywatności — różnica
Wiele firm myli te dwa dokumenty:
| Dokument | Przeznaczenie | Gdzie |
|---|---|---|
| Polityka prywatności | Informowanie użytkowników o przetwarzaniu danych | Publiczna — na stronie internetowej |
| Rejestr Czynności Przetwarzania | Dokumentacja wewnętrzna dla UODO | Wewnętrzny — nie publikuje się |
Polityka prywatności to dokument skierowany do użytkowników Twojej strony. RCP to dokument wewnętrzny, który przechowujesz i udostępniasz wyłącznie na żądanie organu nadzorczego (Prezesa UODO).
Jak przygotować RCP dla małej firmy?
Małe firmy mają dwie opcje:
1. Własnoręcznie w Excel / Google Sheets — możliwe, ale czasochłonne. Trzeba znać wszystkie procesy, podstawy prawne i odbiorców dla każdego celu.
2. Generator dokumentów — szybsza opcja. Na regulaminrodo.pl możesz wygenerować spersonalizowany RCP na podstawie odpowiedzi w formularzu. Generator uwzględnia Twoje narzędzia (Google Analytics, Stripe, Mailchimp) i automatycznie wypełnia tabele czynności, podstawy prawne i informacje o przekazywaniu danych do USA.
Podsumowanie
Rejestr Czynności Przetwarzania to obowiązek, który dotyczy praktycznie każdej firmy przetwarzającej dane osobowe — nawet małego sklepu czy bloga z newsletterem. Dokument nie jest publiczny, ale musi być gotowy do okazania na żądanie Prezesa UODO. Wygeneruj spersonalizowany RCP dla swojej firmy w 5 minut na [regulaminrodo.pl](/generate).