Rejestr czynności przetwarzania w małej firmie: 5 czynności i co wpisać

Dlaczego zwolnienie z art. 30 ust. 5 prawie nigdy nie działa

Przepis zwalnia z rejestru firmę zatrudniającą mniej niż 250 osób, ale tylko wtedy, gdy spełnione są naraz trzy warunki: przetwarzanie nie może powodować ryzyka naruszenia praw osób, ma charakter sporadyczny i nie obejmuje danych szczególnych z art. 9 ani danych o wyrokach z art. 10. Wystarczy, że jeden warunek odpada, i rejestr jest obowiązkowy. Lista płac co miesiąc, baza klientów, kamera nad wejściem to przetwarzanie stałe, nie sporadyczne. Zwolnienie lekarskie pracownika to dana o zdrowiu z art. 9.

Co wpisać w każdej rubryce rejestru (art. 30 ust. 1)

• Administrator (lit. a): nazwa firmy, adres, e-mail; dane IOD, jeśli go masz. Raz, w nagłówku rejestru.
• Cel przetwarzania (lit. b): po co, jednym zdaniem.
• Kategorie osób i danych (lit. c): kogo (pracownicy, klienci, subskrybenci) i jakie dane (identyfikacyjne, kontaktowe, płacowe, wizerunek).
• Kategorie odbiorców (lit. d): komu dane wychodzą: biuro rachunkowe, hosting, system mailingowy, kurier.
• Przekazania poza EOG (lit. e): tylko gdy dostawca narzędzia przetwarza dane poza Europejskim Obszarem Gospodarczym; wpisz kraj i podstawę.
• Planowany termin usunięcia (lit. f): termin albo kryterium, na przykład do cofnięcia zgody.
• Opis zabezpieczeń (lit. g): ogólnie: hasła i logowanie dwuskładnikowe, kopie zapasowe, zamykana szafa, upoważnienia.

Rubryki f i g wpisujesz, jeżeli jest to możliwe, tak brzmi przepis. W małej firmie zawsze jest możliwe.

5 czynności, które ma prawie każda mała firma

Jeśli masz sklep, rekrutację online albo program lojalnościowy, dopisujesz kolejne wiersze według tego samego wzoru.

Jak prowadzić rejestr, żeby nie stał się martwym papierem

Forma jest dowolna, byle pisemna, w tym elektroniczna (art. 30 ust. 3): arkusz kalkulacyjny z jedną zakładką wystarczy. Rejestru nigdzie nie zgłaszasz, udostępniasz go na żądanie organu nadzorczego (ust. 4). Aktualizujesz go wtedy, gdy zmienia się rzeczywistość: nowy program, nowe biuro rachunkowe, kamera, pierwszy pracownik. Dobry nawyk: przy każdej nowej umowie z dostawcą od razu dopisz go w rubryce odbiorców.

Za brak rejestru albo rejestr, który nie opisuje firmy, art. 83 ust. 4 RODO przewiduje karę do 10 000 000 EUR albo do 2% rocznego światowego obrotu, przy czym stosuje się kwotę wyższą. Pełny tekst art. 30 znajdziesz w rozporządzeniu 2016/679 w serwisie EUR-Lex, a okres przechowywania nagrań w Kodeksie pracy, tekst jednolity Dz.U. 2026 poz. 1245 (stan na październik 2026).

Zanim zaczniesz wpisywać wiersze, policz, ile procesów z danymi masz naprawdę: zwykle wychodzi więcej niż pięć. Rejestr to dokument, który pokazujesz na żądanie organu, i jednocześnie mapa do reszty dokumentacji: klauzul informacyjnych, upoważnień i umów powierzenia. Jeśli chcesz dostać rejestr dopasowany do Twoich procesów razem z resztą dokumentów, zobacz dokumentację RODO dla firmy: w razie kontroli jesteśmy po Twojej stronie.

Najczęstsze pytania