Rejestr czynności przetwarzania – kto musi go prowadzić i co musi zawierać?

Rejestr czynności przetwarzania musi prowadzić każdy administrator danych, chyba że korzysta ze zwolnienia z art. 30 ust. 5 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – a to zwolnienie jest węższe, niż większość firm zakłada. Jeśli zatrudniasz choć jedną osobę na etat, najprawdopodobniej i tak musisz prowadzić rejestr przynajmniej dla przetwarzania danych kadrowych, niezależnie od wielkości firmy. Poniżej wyjaśniam dlaczego, i co taki rejestr musi zawierać. To jeden z elementów, których brak najszybciej wychodzi na jaw przy kontroli UODO.

Dla kogo jest ten wpis?

Ten materiał jest dla właścicieli firm, którzy słyszeli, że rejestr czynności przetwarzania dotyczy tylko dużych podmiotów, i na tej podstawie założyli, że ich nie obowiązuje. Dotyczy zarówno firm zatrudniających pracowników, jak i tych korzystających wyłącznie ze współpracowników na działalności gospodarczej czy zlecenia lub pracujących samodzielnie.

Mit: „mam mniej niż 250 pracowników, więc nie muszę”

Art. 30 ust. 5 RODO rzeczywiście przewiduje zwolnienie z obowiązku prowadzenia rejestru dla administratorów zatrudniających mniej niż 250 osób. Problem w tym, że to zwolnienie działa tylko wtedy, gdy jednocześnie spełnione są trzy warunki: przetwarzanie nie stwarza ryzyka naruszenia praw lub wolności osób, ma charakter sporadyczny, i nie obejmuje danych szczególnych kategorii (np. zdrowotnych) ani danych o wyrokach czy czynach zabronionych.

Wystarczy, że jeden z tych warunków nie jest spełniony, żeby obowiązek prowadzenia rejestru powstał – i to tylko dla tej konkretnej czynności przetwarzania, nie automatycznie dla całej firmy.

Co oznacza, że obowiązek ocenia się osobno dla każdej czynności przetwarzania, nie całościowo dla firmy. Przetwarzanie danych pracowników – kadry, płace, ewidencja czasu pracy – ma charakter systematyczny, nie sporadyczny. Co oznacza, że jeśli zatrudniasz choć jedną osobę na etat, to konkretne przetwarzanie nie mieści się w zwolnieniu, niezależnie od tego, ile osób łącznie zatrudniasz. Inne, rzeczywiście sporadyczne czynności przetwarzania w tej samej firmie mogą już ze zwolnienia korzystać – to nie jest decyzja „wszystko albo nic”.

Co musi zawierać rejestr?

Rejestr administratora, zgodnie z art. 30 ust. 1 RODO, powinien zawierać:

nazwę i dane kontaktowe administratora (a jeśli dotyczy – współadministratora, przedstawiciela i inspektora ochrony danych),
cele przetwarzania,
opis kategorii osób, których dane dotyczą, i kategorii danych,
kategorie odbiorców, którym dane zostały lub zostaną ujawnione,
informacje o ewentualnym przekazywaniu danych do państw trzecich,
planowane terminy usunięcia poszczególnych kategorii danych,
ogólny opis technicznych i organizacyjnych środków bezpieczeństwa.

To nie jest formularz do wypełnienia raz i odłożenia – każda nowa czynność przetwarzania (nowe narzędzie, nowy dostawca, nowy proces) powinna w nim znaleźć odzwierciedlenie.

Najczęstsze błędy w prowadzeniu rejestru

Rejestr założony raz i nigdy nieaktualizowany. Nowe procesy związane np. z rekrutacją, zatrudnianiem, współpracami z kontrahentami/ klientami, monitoringiem, windykacją, obsługą reklamacji, obsługą strony internetowej czy innych powinny być uwzględniane.
Pominięcie danych pracowników i współpracowników. Rejestr skupiony wyłącznie na danych klientów zostawia lukę dokładnie tam, gdzie zwolnienie z art. 30 ust. 5 najrzadziej ma zastosowanie.
Zbyt ogólnikowe opisy celów przetwarzania. Zapis „przetwarzanie danych klientów” nie pozwala wykazać, na jakiej podstawie i w jakim zakresie faktycznie przetwarzasz dane – a to pierwsze pytanie przy kontroli.
Rejestr skopiowany z szablonu UODO, niedopasowany do faktycznych narzędzi firmy.

Co możesz sprawdzić samodzielnie?

Zanim zdecydujesz, czy potrzebujesz pomocy w przygotowaniu rejestru, warto samodzielnie ustalić: jakie dane osobowe przetwarzasz (klientów, pracowników, współpracowników), z jakich narzędzi i dostawców przy tym korzystasz, i czy masz już jakikolwiek opis tych procesów – nawet nieformalny. To dobry punkt wyjścia do dalszej pracy, niezależnie od tego, czy przygotujesz rejestr sama, czy zlecisz to komuś.

Kiedy warto zlecić przygotowanie rejestru?

Jeśli nie masz pewności, czy Twoja firma korzysta ze zwolnienia, czy nie masz jeszcze żadnego rejestru, albo masz taki, który powstał dawno i od tego czasu zmieniło się w firmie sporo narzędzi i procesów – to dobry moment, żeby zlecić jego przygotowanie albo aktualizację. Rejestr przygotowany na podstawie realnego przeglądu procesów w firmie, a nie ogólnego szablonu, jest tym, co faktycznie chroni Cię przy kontroli.

Chętnie Ci w tym pomożemy. NAPISZ DO NAS.

Najczęściej zadawane pytania

Czy jednoosobowa działalność gospodarcza bez pracowników też musi prowadzić rejestr?
To zależy od tego, jakie dane przetwarza. Jeśli przetwarzanie ma charakter sporadyczny, nie stwarza ryzyka i nie obejmuje danych szczególnych kategorii, może korzystać ze zwolnienia z art. 30 ust. 5 RODO. W praktyce warto to ocenić indywidualnie, bo wiele działalności przetwarza dane klientów w sposób systematyczny, nie sporadyczny.

Czy zatrudnienie jednej osoby na umowę zlecenie też wymaga wpisu do rejestru?
Tak, jeśli przetwarzanie jej danych ma charakter systematyczny, a nie jednorazowy – co w praktyce dotyczy większości stałych współprac.

Czy rejestr trzeba przesyłać do UODO?
Nie, rejestr prowadzi się samodzielnie i udostępnia na żądanie Prezesa UODO, nie zgłasza się go z góry do żadnego urzędu.

Jak często trzeba aktualizować rejestr?
Za każdym razem, gdy w firmie pojawia się nowa czynność przetwarzania danych, nowe narzędzie, nowy dostawca, nowy proces, a nie w ustalonych z góry odstępach czasu.

O autorze

Kinga Konopelko – radca prawny specjalizująca się w prawie dla firm, w tym w ochronie danych osobowych. Na co dzień pomaga przedsiębiorcom przygotowywać dokumentację RODO, która odzwierciedla to, jak faktycznie działa ich firma, a nie ogólny szablon.

Masz pytanie do swojej sytuacji?

Opisz krótko, czym zajmuje się Twoja firma i czego dotyczy pytanie. Odezwiemy się z informacją, w jakim zakresie możemy pomóc. Jeżeli wolisz porozmawiać, zostaw w formularzu numer telefonu.

Informacja prawna

Ten artykuł ma charakter wyłącznie edukacyjny i nie stanowi porady prawnej. Każda sytuacja wymaga indywidualnej oceny – jeśli potrzebujesz wsparcia w swojej sprawie, skonsultuj się z nami.

Stan prawny na: 2026-09-15