Rejestr czynności przetwarzania (RCP): jak go zbudować i prowadzić w 2026 r.

Rejestr czynności przetwarzania (RCP) to dokument, w którym administrator opisuje każdy proces przetwarzania danych osobowych w organizacji: w jakim celu, czyje dane i jakie ich kategorie, komu je ujawnia, jak długo je przechowuje i jak je chroni. Obowiązek wynika z art. 30 ust. 1 RODO. Podmiot przetwarzający, czyli firma działająca na zlecenie administratora, prowadzi osobny rejestr kategorii czynności przetwarzania (RKCP) na podstawie art. 30 ust. 2. Ten tekst opisuje stan na październik 2026 r.: co zawiera każdy z rejestrów, kiedy mała firma może z nich zrezygnować, jak zbudować rejestr w sześciu krokach i jakich błędów unikać.

Czym jest rejestr czynności przetwarzania danych osobowych

Rejestr czynności przetwarzania danych osobowych to uporządkowany spis procesów, w których organizacja wykorzystuje dane osobowe, z informacjami wymaganymi przez art. 30 ust. 1 RODO. Motyw 82 RODO wskazuje dwa cele: administrator i podmiot przetwarzający mają dzięki rejestrowi zachować zgodność z rozporządzeniem, a organ nadzorczy może na jego podstawie monitorować przetwarzanie.

RODO nie definiuje „czynności przetwarzania”. Prezes UODO w wyjaśnieniach do art. 30 przyjmuje, że jest to zespół powiązanych operacji na danych, które można opisać zbiorczo przez cel. Rekrutacja pracowników to jedna czynność, a zbieranie CV, selekcja i rozmowy to operacje w jej ramach, których nie opisuje się osobno.

Rejestr jest narzędziem zasady rozliczalności. Art. 5 ust. 2 RODO stanowi, że administrator odpowiada za przestrzeganie zasad przetwarzania i musi być w stanie wykazać ich przestrzeganie. Bez aktualnego spisu procesów trudno wykazać, że dane nie są przechowywane dłużej, niż trzeba, albo że każdy dostawca ma umowę powierzenia.

Co musi zawierać rejestr czynności przetwarzania (art. 30 ust. 1)

Art. 30 ust. 1 RODO wymienia siedem grup informacji. Dwie z nich (lit. f i g) uzupełnia się „jeżeli jest to możliwe”, ale puste pole dobrze jest uzasadnić.

Lista jest obowiązkowa, ale nie zamknięta. Prezes UODO wskazuje elementy, które ułatwiają wykazanie zgodności: podstawę prawną, źródło danych, system informatyczny, informację o ocenie skutków dla ochrony danych (DPIA), właściciela procesu i dane podmiotów przetwarzających. Szablon rejestru UODO zawiera większość z tych kolumn, a elementy wymagane przepisem oznacza na czerwono.

Opis zabezpieczeń może być ogólny. Art. 32 ust. 1 RODO wymienia przykładowe środki, m.in. pseudonimizację i szyfrowanie, szybkie przywracanie dostępu do danych po incydencie i regularne testowanie zabezpieczeń. UODO zaleca wskazać rodzaj zabezpieczeń i odesłać do dokumentacji, np. systemu zarządzania bezpieczeństwem informacji. Budowę takiego systemu opisuje artykuł SZBI i polityka bezpieczeństwa informacji.

7

grup informacji w rejestrze czynności przetwarzania administratora

Art. 30 ust. 1 lit. a–g RODO

4

grupy informacji w rejestrze kategorii czynności przetwarzania podmiotu przetwarzającego

Art. 30 ust. 2 lit. a–d RODO

250

osób: próg zatrudnienia w wyjątku od obowiązku prowadzenia rejestru

Art. 30 ust. 5 RODO

10 mln EUR

lub 2% rocznego światowego obrotu: górna granica kary za naruszenie m.in. art. 30

Art. 83 ust. 4 lit. a RODO

Rejestr kategorii czynności przetwarzania (RKCP)

Rejestr kategorii czynności przetwarzania prowadzi podmiot przetwarzający: biuro rachunkowe, dostawca hostingu, firma IT utrzymująca system kadrowy, firma niszcząca dokumenty. Art. 30 ust. 2 RODO wymaga w nim:

1. nazwy i danych kontaktowych procesora, każdego administratora, w imieniu którego działa, przedstawicieli i IOD,
2. kategorii przetwarzań dokonywanych w imieniu każdego z administratorów,
3. przekazań danych do państwa trzeciego lub organizacji międzynarodowej,
4. jeżeli to możliwe, ogólnego opisu środków bezpieczeństwa z art. 32 ust. 1.

RODO nie definiuje „kategorii przetwarzań”. Prezes UODO przyjmuje, że chodzi o rodzaj usługi, którą procesor świadczy administratorowi, np. dostarczanie infrastruktury informatycznej, prowadzenie dokumentacji księgowej i kadrowej, archiwizację czy niszczenie nośników. Wpisy porządkuje się według rodzaju usługi, a w jej ramach wymienia administratorów.

W RKCP nie ma celów przetwarzania, kategorii osób i danych ani odbiorców, bo o nich decyduje administrator. Procesor może dodać np. nazwę systemu, czas trwania umowy i dane podprzetwarzających (art. 28 ust. 4 RODO). Wpisy wynikają z umów powierzenia z art. 28, więc każda umowa powinna mieć odpowiednik w rejestrze. Gdy u procesora dochodzi do incydentu, rejestr szybko pokazuje, których administratorów trzeba zawiadomić. Podział obowiązków w takiej sytuacji omawia tekst Naruszenie ochrony danych u dostawcy: kto zgłasza i od kiedy liczy się 72 godziny.

RCP a RKCP: porównanie

Administrator opisuje, po co i czyje dane przetwarza. Procesor opisuje, jakie usługi świadczy i dla kogo.

Współadministratorzy prowadzą rejestr każdy osobno. UODO wywodzi to ze słowa „każdy” w art. 30 ust. 1 i zaleca, by każdy z nich opisał procesy objęte wspólnym administrowaniem.

Kto nie musi prowadzić rejestru: wyjątek z art. 30 ust. 5

Wyjątek obejmuje przedsiębiorcę lub podmiot zatrudniający mniej niż 250 osób, ale tylko wtedy, gdy jego przetwarzanie nie może powodować ryzyka naruszenia praw lub wolności osób, ma charakter sporadyczny i nie obejmuje szczególnych kategorii danych z art. 9 ust. 1 ani danych o wyrokach skazujących z art. 10.

Grupa Robocza Art. 29 wyjaśniła ten przepis w stanowisku z 19 kwietnia 2018 r., które Europejska Rada Ochrony Danych zatwierdziła na pierwszym posiedzeniu plenarnym. Wynikają z niego cztery wnioski:

1. Przesłanki są alternatywne: każda z nich samodzielnie oznacza obowiązek prowadzenia rejestru.
2. Chodzi o każde ryzyko, nie tylko wysokie, więc próg jest niższy niż przy ocenie skutków z art. 35.
3. Czynność jest sporadyczna tylko wtedy, gdy nie jest wykonywana regularnie i wykracza poza zwykły tok działalności. Dane pracowników mała organizacja przetwarza regularnie, więc trafiają do rejestru.
4. Rejestr może być częściowy: obejmuje czynności spełniające którąś z przesłanek, a naprawdę sporadyczne, bez ryzyka i bez danych szczególnych mogą zostać poza nim.

W efekcie wyjątek zwalnia raczej z opisywania pojedynczych, rzadkich czynności niż z prowadzenia rejestru w ogóle. Organizacja, która się na niego powołuje, powinna zapisać uzasadnienie, bo tego wymaga zasada rozliczalności.

Czy próg 250 osób się zmieni?

21 maja 2025 r. Komisja Europejska przedstawiła projekt rozporządzenia COM(2025) 501 (pakiet Omnibus IV). Według projektu wyjątek obejmowałby podmioty zatrudniające mniej niż 750 osób, a rejestr byłby obowiązkowy tylko przy przetwarzaniu mogącym powodować wysokie ryzyko w rozumieniu art. 35. Według EUR-Lex procedura 2025/0130/COD jest w toku (stan na 24 października 2026 r.), więc obowiązuje próg 250 osób i trzy przesłanki opisane wyżej.

Forma rejestru i udostępnienie organowi nadzorczemu

Art. 30 ust. 3 RODO wymaga formy pisemnej, w tym elektronicznej: może to być arkusz, dokument tekstowy albo system do zarządzania zgodnością. RODO nie narzuca układu informacji, a Prezes UODO zaznacza, że jego szablony nie są jedynymi prawidłowymi wzorami.

Art. 30 ust. 4 nakazuje udostępnić rejestr na żądanie organu nadzorczego, w Polsce Prezesa UODO. Według UODO zapoznanie się z rejestrem może być jednym z pierwszych działań organu podczas kontroli, więc rejestr trzeba mieć gotowy wcześniej. O przygotowaniu do kontroli UODO piszemy w sekcji przygotowanie do kontroli.

Jak zbudować rejestr czynności przetwarzania krok po kroku

Krok 1: Ustal, kto odpowiada i kto uczestniczy

Obowiązek ciąży na administratorze, a decyzje podejmuje kierownictwo. UODO zwraca uwagę, że art. 30 nie jest adresowany do inspektora ochrony danych: IOD doradza i korzysta z rejestru, ale nie odpowiada za jego prowadzenie. W pracach uczestniczą zwykle IOD jako koordynator, właściciele procesów (kierownicy działów), IT, które wie, gdzie są dane i jak są chronione, oraz kadry i płace, bo dane pracowników to kilka odrębnych czynności.

Krok 2: Zinwentaryzuj procesy dział po dziale

Z każdym działem odpowiedz na pytanie: jakie dane osobowe do was trafiają, po co i co się z nimi dzieje dalej. UODO radzi uwzględnić rzeczywisty podział zadań: w dużej firmie kadry i płace mogą być osobnymi czynnościami, w małej jedną. Pomocne są lista systemów IT, umowy z dostawcami i formularze na stronie.

Krok 3: Pogrupuj operacje w czynności według celu

„Wystawienie faktury”, „zapis w rejestrze VAT” i „wysłanie JPK” to według przykładu UODO części jednej czynności „obsługa umów sprzedaży”. Jeśli w jednym wierszu pojawiają się dwie różne podstawy prawne i dwa różne terminy usunięcia, to zwykle znak, że są to dwie czynności.

Krok 4: Uzupełnij elementy z art. 30 ust. 1

Dla każdej czynności wypełnij lit. b–g, a dane administratora i IOD podaj raz na stronie tytułowej. Jeśli dane trafiają poza Europejski Obszar Gospodarczy, wskaż państwo. Dodaj kolumny przydatne przy kontroli: podstawę prawną, system, właściciela procesu, informację o DPIA.

Krok 5: Opisz zabezpieczenia razem z IT

Wystarczy kilka zdań na czynność: gdzie są dane, jak kontroluje się dostęp, czy są szyfrowane, jak wykonuje się kopie zapasowe. Szczegóły zostają w polityce bezpieczeństwa.

Krok 6: Zweryfikuj, zatwierdź i zaplanuj przeglądy

Właściciele procesów sprawdzają swoje wiersze, kierownictwo zatwierdza rejestr, a w metryce zapisuje się datę wersji. Zatwierdzony rejestr jest punktem wyjścia do sprawdzenia umów powierzenia, klauzul informacyjnych i analizy ryzyka. Szerzej opisujemy to w tekście Audyt RODO krok po kroku.

Rejestr czynności przetwarzania: przykład wpisu

Poniższy wpis dotyczy fikcyjnej firmy usługowej i pokazuje poziom szczegółowości. W prawdziwym rejestrze treść wynika ze stanu faktycznego organizacji.

Jako wzór rejestru można wykorzystać szablony Prezesa UODO z przykładami dla szkoły podstawowej i kilku typów usług podmiotów przetwarzających.

Jak często aktualizować rejestr

RODO nie podaje częstotliwości aktualizacji, ale nieaktualny rejestr nie pozwala wykazać zgodności z art. 5 ust. 2. Proponujemy dwa mechanizmy.

Pomaga prosta procedura: zgłoszenie nowego narzędzia lub dostawcy trafia do osoby odpowiedzialnej za rejestr, zanim ktoś wprowadzi do niego dane.

Typowe błędy w rejestrze czynności przetwarzania

• Opisywanie operacji zamiast czynności: setki wierszy typu „zapis do bazy” są nieczytelne dla organu.
• Zbyt ogólne cele, np. „prowadzenie działalności gospodarczej”, które nie pozwalają ocenić adekwatności danych.
• Wpisywanie własnych pracowników jako odbiorców, choć według UODO nimi nie są.
• Puste terminy usunięcia albo „bezterminowo” przy większości czynności.
• Procesor z samym RKCP, bez RCP dla danych własnych pracowników i kontrahentów.
• Rejestr przygotowany raz, w 2018 r., i nigdy nieprzeglądany.
• Powołanie się na art. 30 ust. 5 mimo regularnego przetwarzania, ryzyka albo danych szczególnych.

Jak sprawdzić, czy rejestr jest kompletny

Prosty test: czy każdy system z danymi osobowymi, każda umowa powierzenia i każdy formularz zbierający dane mają swój wiersz w rejestrze? SelfAudyt, narzędzie do samooceny (nie audyt zewnętrzny ani opinia prawna), zadaje w module RODO pytanie o rejestr czynności przetwarzania z art. 30 i ma jego szablon w bibliotece dokumentów. Orientacyjny wynik da szybki test z 8 pytań.

Najczęściej zadawane pytania

Czy mała firma musi prowadzić rejestr czynności przetwarzania?

Zwykle tak. Wyjątek z art. 30 ust. 5 RODO dla podmiotów zatrudniających mniej niż 250 osób nie działa, jeśli przetwarzanie może powodować jakiekolwiek ryzyko, nie jest sporadyczne albo obejmuje dane szczególnych kategorii lub dane o wyrokach. Według Grupy Roboczej Art. 29 dane pracowników są przetwarzane regularnie, więc trafiają do rejestru także w małej organizacji.

Czym różni się rejestr czynności przetwarzania od rejestru kategorii czynności przetwarzania?

RCP prowadzi administrator i opisuje w nim cele, kategorie osób i danych, odbiorców, terminy usunięcia i zabezpieczenia (art. 30 ust. 1 RODO). RKCP prowadzi podmiot przetwarzający i wpisuje do niego rodzaje usług świadczonych poszczególnym administratorom, przekazania do państw trzecich i zabezpieczenia (art. 30 ust. 2).

Czy rejestr można prowadzić w Excelu?

Tak. Art. 30 ust. 3 RODO wymaga formy pisemnej, w tym elektronicznej, i nie narzuca narzędzia. Arkusz wystarczy, jeśli zawiera wszystkie elementy z art. 30 ust. 1 lub 2 dla wszystkich procesów i jest aktualny.

Jaka kara grozi za brak rejestru czynności przetwarzania?

Naruszenie obowiązków z art. 25–39 RODO, w tym art. 30, podlega karze do 10 000 000 EUR, a w przypadku przedsiębiorstwa do 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym stosuje się kwotę wyższą (art. 83 ust. 4 lit. a RODO). To górna granica, a wysokość kary w konkretnej sprawie zależy od okoliczności z art. 83 ust. 2.

Czy próg 250 pracowników zostanie podniesiony do 750?

Taki jest projekt Komisji Europejskiej z 21 maja 2025 r. (COM(2025) 501), w którym rejestr w podmiotach poniżej 750 osób byłby obowiązkowy tylko przy przetwarzaniu wysokiego ryzyka. Według EUR-Lex procedura trwa, więc na 24 października 2026 r. obowiązuje obecne brzmienie art. 30 ust. 5.

Zastrzeżenie

Artykuł ma charakter informacyjny, opisuje stan prawny na 24 października 2026 r. i nie jest poradą prawną. Przykładowy wpis dotyczy fikcyjnej organizacji. Samoocena w SelfAudycie nie zastępuje audytu ani opinii prawnej. Zakres rejestru i możliwość skorzystania z wyjątku z art. 30 ust. 5 skonsultuj z inspektorem ochrony danych lub prawnikiem.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 5, 30, 32, 83 oraz motywy 13 i 82 — EUR-Lex
• Wskazówki i wyjaśnienia dotyczące obowiązku rejestrowania czynności i kategorii czynności przetwarzania określonego w art. 30 ust. 1 i 2 RODO — Urząd Ochrony Danych Osobowych
• Stanowisko Grupy Roboczej Art. 29 w sprawie wyjątków od obowiązku prowadzenia rejestru czynności przetwarzania zgodnie z art. 30 ust. 5 RODO — UODO (wersja polska)
• Position Paper on the derogations from the obligation to maintain records of processing activities pursuant to Article 30(5) GDPR — Europejska Rada Ochrony Danych, 19 kwietnia 2018
• Proposal COM(2025) 501 final (Omnibus IV) — Komisja Europejska, 21 maja 2025
• Procedura 2025/0130/COD — EUR-Lex, stan na 24 października 2026