Co musi zawierać rejestr (art. 30 RODO)
Rejestr czynności przetwarzania (administrator, art. 30 ust. 1)
- imię i nazwisko lub nazwę oraz dane kontaktowe administratora, współadministratorów, przedstawiciela i inspektora ochrony danych,
- cele przetwarzania,
- kategorie osób, których dane dotyczą, i kategorie danych osobowych,
- kategorie odbiorców, w tym w państwach trzecich i organizacjach międzynarodowych,
- przekazania do państw trzecich wraz z dokumentacją odpowiednich zabezpieczeń,
- planowane terminy usunięcia danych, jeżeli to możliwe,
- ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, jeżeli to możliwe.
Rejestr kategorii czynności przetwarzania (podmiot przetwarzający, art. 30 ust. 2)
- dane podmiotu przetwarzającego i każdego administratora, w imieniu którego działa, oraz inspektora ochrony danych,
- kategorie przetwarzań dokonywanych w imieniu każdego administratora,
- przekazania do państw trzecich,
- ogólny opis środków bezpieczeństwa, jeżeli to możliwe.
Rejestr prowadzi się w formie pisemnej, w tym elektronicznej, i udostępnia na żądanie organu nadzorczego, w Polsce Prezesa UODO (art. 30 ust. 3 i 4). Zwolnienie dla firm poniżej 250 pracowników (art. 30 ust. 5) nie działa, gdy przetwarzanie może powodować ryzyko, nie ma charakteru sporadycznego albo obejmuje dane szczególnych kategorii; w praktyce dotyczy to choćby danych pracowników, więc większość firm prowadzi rejestr.
Przykład: czynność „Rekrutacja pracowników”
Rejestr czynności w Dazr
- Administrator i podmiot przetwarzający: czynności jako administrator lub kategorie przetwarzań jako podmiot przetwarzający, w jednym rejestrze.
- Wszystkie pola z art. 30: cele, podstawa prawna z art. 6 (z oceną prawnie uzasadnionego interesu), art. 9 i 10, osoby i kategorie danych, odbiorcy, przekazania, terminy usunięcia i środki bezpieczeństwa.
- Powiązania: odbiorców wybierasz z rejestru dostawców, a czynności łączysz z aktywami i zabezpieczeniami ISO 27001.
- DPIA: ocena skutków dla ochrony danych przy czynnościach wysokiego ryzyka.
- Eksport: do Excela lub CSV, gdy UODO albo klient poprosi o rejestr.
Rejestr czynności przetwarzania i DPIA są częścią planu Pro za 99 € miesięcznie, z 14-dniowym bezpłatnym okresem próbnym.
Zobacz też
Bezpłatne poradniki i narzędzia po polsku.
Źródła: Rozporządzenie (UE) 2016/679 (RODO), art. 30, Urząd Ochrony Danych Osobowych. Sprawdzono 19 października 2026 r.
Najczęstsze pytania
Czy mała firma musi prowadzić rejestr czynności?
Zwykle tak. Zwolnienie dla firm zatrudniających mniej niż 250 osób nie ma zastosowania, gdy przetwarzanie nie jest sporadyczne, może powodować ryzyko albo obejmuje dane szczególnych kategorii, a przetwarzanie danych pracowników jest stałe.
Czy jest oficjalny wzór rejestru?
RODO określa treść, nie formę. UODO publikuje materiały pomocnicze; ważne, by rejestr zawierał wszystkie elementy z art. 30 i był aktualny.
Kto odpowiada za rejestr?
Administrator, a dla rejestru kategorii czynności podmiot przetwarzający; w praktyce prowadzi go często inspektor ochrony danych lub osoba odpowiedzialna za RODO.