rejestr czynności przetwarzania

Rejestr czynności przetwarzania to obowiązkowa dokumentacja RODO opisująca operacje na danych osobowych.

Zakres informacji w rejestrze czynności przetwarzania

Rejestr czynności przetwarzania (RCP) jest dokumentem opisującym procesy, w których organizacja wykorzystuje dane osobowe. W środowisku serwisu komputerowego może dotyczyć między innymi przyjmowania zgłoszeń naprawy, wystawiania dokumentów sprzedaży, obsługi korespondencji e-mail, prowadzenia historii zleceń oraz kontaktu z klientem. Rejestr nie jest spisem pojedynczych plików ani listą wszystkich rekordów znajdujących się na dysku. Opisuje cel i sposób prowadzenia określonej czynności biznesowej, w ramach której dane są zbierane, zapisywane, odczytywane, modyfikowane, przekazywane lub usuwane.

Dla każdej czynności należy wskazać co najmniej jej nazwę, cel przetwarzania, kategorie osób, których dane dotyczą, oraz kategorie danych osobowych. W dokumentacji mogą znaleźć się na przykład dane identyfikacyjne klienta, dane kontaktowe, adres do faktury, informacje o urządzeniu, numer zgłoszenia i opis usterki. Jeżeli w ramach naprawy na komputerze znajdują się dokumenty użytkownika, sam fakt technicznego dostępu do nośnika trzeba analizować w odniesieniu do konkretnego procesu, zakresu zlecenia i przyjętych uprawnień. Nie oznacza to automatycznie, że serwisant powinien przeglądać zawartość wszystkich katalogów.

Powiązanie RCP z systemami i przepływem danych

RCP powinien odpowiadać rzeczywistemu przepływowi informacji między użytkownikiem, pracownikiem, systemem obsługi zleceń, pocztą elektroniczną, programem księgowym i nośnikami używanymi podczas naprawy. Wpis dotyczący obsługi zlecenia może wskazywać, że dane są wprowadzane przez formularz, zapisywane w bazie aplikacji, wykorzystywane do kontaktu oraz przechowywane przez określony czas. Jeżeli zgłoszenia są przesyłane pocztą elektroniczną, należy uwzględnić ten kanał jako element procesu. Jeżeli system korzysta z zewnętrznego hostingu, operatora poczty lub dostawcy kopii zapasowych, w dokumentacji powinno być możliwe ustalenie roli takiego podmiotu i zakresu przekazywanych informacji.

Techniczna kontrola rejestru polega na porównaniu jego zapisów z konfiguracją oraz praktyką pracy. Warto sprawdzić, jakie pola zawiera formularz przyjęcia urządzenia, kto ma dostęp do historii napraw, gdzie przechowywane są załączniki i czy kopie danych są wykonywane automatycznie. Istotne są również mechanizmy uwierzytelniania, role użytkowników, rejestrowanie operacji administracyjnych oraz procedury usuwania danych po upływie ustalonego okresu. RCP nie zastępuje konfiguracji zabezpieczeń ani dzienników systemowych. Jest dokumentem opisowym, który powinien jednak pozostawać zgodny z tym, co faktycznie wykonują aplikacje i pracownicy.

Aktualizacja wpisów po zmianie procesu

Rejestr wymaga aktualizacji, gdy zmienia się sposób wykonywania czynności lub zakres używanych danych. Przykładem może być wdrożenie nowego programu do obsługi napraw, dodanie formularza internetowego, rozpoczęcie automatycznych powiadomień SMS albo przeniesienie poczty i kopii zapasowych do innego dostawcy. Zmiana może wymagać utworzenia nowego wpisu lub modyfikacji istniejącego. Samo dodanie komputera w serwisie albo wymiana dysku nie tworzy jeszcze nowej czynności przetwarzania, jeżeli cel, zakres danych i organizacja procesu pozostają takie same.

Przy przeglądzie RCP należy zwrócić uwagę na różnicę między celem przetwarzania a narzędziem technicznym. „Obsługa zlecenia naprawy” jest celem procesu, natomiast aplikacja serwisowa, baza danych, skrzynka pocztowa i folder kopii zapasowych są miejscami lub narzędziami, w których proces może być realizowany. Osobno warto opisać odbiorców danych, planowane terminy usunięcia oraz ogólny opis środków bezpieczeństwa, takich jak kontrola dostępu, szyfrowanie nośników, kopie zapasowe i zabezpieczenie dokumentacji papierowej. Zapis powinien być wystarczająco szczegółowy, aby można było odtworzyć przebieg procesu, ale nie powinien udawać instrukcji konfiguracji każdego urządzenia.

RCP jako dokument kontrolny w pracy serwisu

W praktyce rejestr pomaga uporządkować odpowiedzialność za dane przetwarzane podczas przyjęcia, diagnozy, naprawy i wydania urządzenia. Pozwala wskazać, które informacje są potrzebne do identyfikacji zlecenia, które służą do kontaktu z klientem, a które wynikają z obowiązków księgowych. Może także ujawnić niespójności, na przykład przechowywanie kopii formularzy w prywatnych katalogach, pozostawianie danych kontaktowych w lokalnych plikach lub nadawanie pracownikom szerszych uprawnień niż wymagane do wykonania ich zadań. Taki przegląd powinien prowadzić do konkretnych ustaleń dotyczących dostępu, retencji i usuwania informacji.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w której dokumentacja techniczna zlecenia może być prowadzona w sposób rozdzielający dane potrzebne do obsługi klienta od informacji diagnostycznych o urządzeniu. Przy analizie procesu warto sprawdzić, czy opis w rejestrze odpowiada rzeczywistym formularzom, systemom i nośnikom używanym w codziennej pracy. RCP jest przydatny tylko wtedy, gdy pozostaje aktualny, ma wskazanego właściciela i jest okresowo porównywany z faktycznym przepływem danych w organizacji.