STAN PRAWNY NA 24 KWIETNIA 2026

Wejście w życie RODO zlikwidowało obowiązek rejestracji zbioru danych osobowych, lecz zamiast niego pojawił się obowiązek prowadzenia rejestru czynności przetwarzania danych osobowych. Dokumentu, którego zadaniem jest pokazanie, w jakich procesach zachodzących w danej jednostce, w tym w żłobku, są przetwarzane dane osobowe, w jakim celu, kogo dotyczą i w jaki sposób są zabezpieczane.

Nieobowiązująca już Ustawa o ochronie danych osobowych z dnia 29 sierpnia 1997 r., stosowana jeszcze przed wdrożeniem RODO, zawierała obowiązek rejestracji zbiorów danych osobowych. Zgodnie z art. 7 pkt 1 Ustawy, przez zbiór danych należało rozumieć każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie.

Cechą wyróżniającą zbiór danych od innego zestawu danych była zatem jego struktura, która dawała możliwość wyszukania konkretnych danych według określonego kryterium. Zatem żeby jakikolwiek zestaw danych dało się zaklasyfikować jako zbiór danych osobowych w rozumieniu przepisów Ustawy o ochronie danych osobowych, wystarczające było ustalenie kryterium umożliwiającego odnalezienie danych osobowych w zestawie. Możliwość wyszukania mogła zatem dotyczyć takiego kryterium jak imię, nazwisko, data urodzenia, PESEL, ale również kryterium nieosobowego, którym może być data zamieszczenia danych w zbiorze.

Takie cechy przesądzają o uporządkowanym charakterze zestawu danych i tym samym umożliwiały zakwalifikowanie tego zestawu jako zbioru danych osobowych według przywołanej Ustawy. Obowiązek zgłoszenia zbioru do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (GIODO) ciążyła na administratorze danych.

RODO i rejestr czynności przetwarzania

Wejście w życie Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, czyli RODO zlikwidowało obowiązek rejestracji zbioru danych osobowych. Zamiast niego pojawił się jednak obowiązek prowadzenia rejestru czynności przetwarzania danych osobowych, którego dotyczy art. 30 i kolejne RODO. 

Podkreślić należy, że regulacje RODO nie wymagają utworzenia rejestru czynności przetwarzania w każdym podmiocie przetwarzającym dane osobowe. Zgodnie z art. 30 ust. 5 RODO obowiązek utworzenia rejestru nie ma zastosowania do przedsiębiorcy lub podmiotu zatrudniającego mniej niż 250 osób, chyba że przetwarzanie, którego dokonują, może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą, nie ma charakteru sporadycznego lub obejmuje szczególne kategorie danych osobowych, o których mowa w art. 9 ust. 1.

Odnosząc się do przywołanego art. 9 ust. 1 RODO należy zauważyć, że wprowadza on zakaz przetwarzania tzw. danych szczególnej kategorii – danych wrażliwych. Zgodnie z tą regulacją zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.

Od zakazu tego istnieją jednak wyjątki wskazane w art. 9 ust. 2 RODO, zgodnie z którym zakaz nie ma zastosowania, jeżeli spełniony jest jeden z warunków wskazanych w tej regulacji. Do żłobka będą miały zastosowanie warunki przedstawione poniżej:

• osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach,