Rejestr czynności przetwarzania — przygotowanie RCP
Potrzebujesz uporządkować rejestr czynności przetwarzania danych w firmie? Pomagamy zidentyfikować procesy, ustalić wymagany zakres i przygotować RCP odpowiadający praktyce. Odróżniamy rolę administratora od podmiotu przetwarzającego. Gotowa tabela bez rozpoznania działań organizacji nie wyjaśnia, jakie dane są rzeczywiście wykorzystywane.
W jakiej sytuacji możemy pomóc?
Dla osób i firm, których dotyczy opisany zakres. Przed przyjęciem sprawy ustalamy stronę zlecenia, cel i aktualny etap.
Pierwszy rejestr
Firma przetwarza dane klientów, pracowników i partnerów, lecz nie ma uporządkowanej mapy procesów.
Nieaktualny RCP
Zmieniły się systemy, dostawcy lub cele, a rejestr nadal opisuje dawną organizację.
Różne role
Firma prowadzi własne procesy i wykonuje usługi na danych powierzonych przez klientów.
Zakres pomocy i konkretny rezultat
Możesz zamówić wybrany etap albo ustalić szerszy zakres. Przed pracą potwierdzamy, jakie materiały przygotujemy.
Rozpoznanie procesów
Zbieramy informacje o celach, kategoriach danych i osobach odpowiedzialnych.
Mapa czynności przetwarzania.
Ocena obowiązku i ról
Ustalamy właściwy rodzaj dokumentacji oraz granice odpowiedzialności.
Zakres RCP lub rejestru kategorii.
Opracowanie wpisów
Porządkujemy odbiorców, transfery, retencję i opis środków ochrony na podstawie danych klienta.
Rejestr do utrzymania w organizacji.
Zasady aktualizacji
Określamy zdarzenia wymagające zmiany i sposób zbierania informacji od działów.
Praktyczna instrukcja utrzymania.
Granice zlecenia
Zakres nie obejmuje automatycznie audytu bezpieczeństwa IT, pełnienia funkcji IOD ani stałej aktualizacji po zakończeniu prac.
Kluczowe rozróżnienia w tej sprawie
Poniższe rozróżnienia pomagają określić właściwy zakres zlecenia. Rozwiązanie dobieramy do dokumentów, celu i faktycznego etapu sprawy.
| Obszar | Co ustalamy | Praktyczne znaczenie |
|---|---|---|
| Administrator | Określa cele i sposoby przetwarzania. | Prowadzi właściwą dokumentację własnych czynności. |
| Procesor | Działa w ramach powierzenia. | Może potrzebować rejestru kategorii czynności. |
| System IT | Jest narzędziem obsługi procesów. | Jeden system nie zawsze oznacza jedną czynność. |
Co warto ustalić przed zleceniem?
Liczba pracowników nie rozstrzyga wszystkiego
Nie przyjmujemy automatycznie, że mała firma jest zwolniona z prowadzenia rejestru. Oceniamy warunki wynikające z RODO i charakter przetwarzania. Dokument powinien odzwierciedlać procesy, a nie być wyłącznie listą programów. Tam, gdzie brakuje danych, oznaczamy konkretne pytania do organizacji zamiast wpisywać niepotwierdzone wartości.
RCP pomaga znaleźć niespójności
Podczas opracowania mogą ujawnić się rozbieżności w retencji, obowiązkach informacyjnych i relacjach z dostawcami. Wskazujemy je w uzgodnionym zakresie. Samo przygotowanie rejestru nie oznacza zakończenia pełnego audytu RODO ani wdrożenia zabezpieczeń. Aktualność wymaga dalszego udziału osób prowadzących procesy.
Jak wygląda współpraca
Najpierw cel i zakres. Następnie dokumenty, uzgodnione działania i wynik, z którego możesz skorzystać.
Cel i aktualny etap
Omawiamy oczekiwany rezultat, uczestników sprawy i najbliższe terminy. Potwierdzamy możliwość przyjęcia zlecenia oraz osobę odpowiedzialną za jego wykonanie.
Materiały i zakres
Ustalamy dokumenty potrzebne do analizy, sposób ich przekazania i ewentualne braki. Oferta określa konkretne opracowania oraz granice odpowiedzialności.
Analiza i opracowanie
Przygotowujemy uzgodniony materiał, wyjaśniamy istotne ryzyka i wskazujemy decyzje, których nie można podjąć bez informacji od klienta lub specjalisty.
Omówienie i dalsze kroki
Przekazujemy wynik wraz z wyjaśnieniami. Ustalamy, które czynności wykona klient, a które wymagają odrębnego zlecenia, zgody albo działania właściwego organu.
Zrozumiałe warunki przed startem
Wycena po ustaleniu zakresu
Wynagrodzenie ustalamy po określeniu zakresu i ocenie materiałów. W ofercie wskazujemy dokumenty lub działania objęte ceną, liczbę uzgodnień i sposób rozliczania dodatkowych prac. Opłaty urzędowe, sądowe, notarialne oraz koszty zewnętrznych specjalistów omawiamy osobno, jeżeli dotyczą sprawy. Termin naszej pracy potwierdzamy po otrzymaniu potrzebnych informacji; nie jest on gwarancją terminu decyzji urzędu, sądu lub kontrahenta.
Co wpływa na koszt?
- Liczba dokumentów i osób uczestniczących w sprawie.
- Etap postępowania oraz kompletność dostępnych dowodów.
- Przygotowanie dokumentu, negocjacje albo uzgodniona reprezentacja.
Co przygotować do rozmowy
Ta lista pomaga uporządkować materiały. Nie musisz mieć całego kompletu, aby zapytać o możliwość pomocy.
- Lista procesów i wykorzystywanych systemów.
- Kategorie danych oraz grupy osób.
- Umowy z dostawcami i odbiorcami danych.
- Zasady retencji, zabezpieczeń i dotychczasowy RCP.
Na początek wystarczy opis
Dokumenty przekażesz po uzgodnieniu sposobu kontaktu. Nie wpisuj danych innych osób ani szczegółów wrażliwych w pierwszej wiadomości.
Osoba prowadząca i zasady pracy
Przed przyjęciem zlecenia ustalamy wykonawcę, formę kontaktu i zakres odpowiedzialności. Jeśli potrzebne jest działanie uprawnionego pełnomocnika, omawiamy jego udział oraz warunki osobno.
Zanim zdecydujesz.
Czy mała firma zawsze jest zwolniona?
Nie. Należy sprawdzić ustawowe warunki i charakter przetwarzania, zamiast kierować się tylko zatrudnieniem.
Czy rejestr jest listą baz danych?
Nie powinien ograniczać się do nazw systemów. Istotne są czynności, cele i wymagane informacje.
Czy przygotujecie rejestr dla procesora?
Tak, po rozpoznaniu usług i ról. To nie zawsze ten sam dokument co RCP administratora.
Czy obejmuje to pełne wdrożenie RODO?
Nie automatycznie. Zakres rejestru i dalszych działań zgodności określamy osobno.
Czy można zlecić tylko analizę dokumentów?
Tak. Możesz ustalić samą ocenę materiałów albo szerszy zakres obejmujący przygotowanie dokumentów i dalsze działania. Oferta rozróżnia te etapy.
Co jeśli dokumentacja jest niepełna?
Na początek opisz cel oraz dostępne materiały. Wskażemy braki mające znaczenie dla oceny i to, czego bez nich nie można potwierdzić.
Zapytaj o zakres i wycenę.
Podaj branżę, rodzaje danych i informację, czy firma działa także jako procesor dla klientów. Nie przesyłaj haseł, numerów PESEL ani danych innych osób. Sposób przekazania dokumentów ustalimy po kontakcie.
Ustalimy, jakie informacje są potrzebne do oceny zakresu i wyceny. Samo zapytanie nie oznacza zawarcia umowy.
Jeśli masz termin sądowy lub urzędowy, podaj go już przy pierwszym kontakcie.
Przygotuj krótką wiadomość
Podaj branżę, rodzaje danych i informację, czy firma działa także jako procesor dla klientów. Nie przesyłaj haseł, numerów PESEL ani danych innych osób. Sposób przekazania dokumentów ustalimy po kontakcie.