Przepisy RODO nie określają wprost, przez jaki okres należy przechowywać wpisy w rejestrze wszystkich kategorii czynności przetwarzania (art. 30 ust. 2 RODO). Jednak odpowiedź na to pytanie wymaga uwzględnienia kilku czynników:
- celu prowadzenia rejestru,
- obowiązku jego aktualizacji,
- przepisów o retencji dokumentacji,
- ryzyk prawnych i dowodowych.
Po co prowadzimy rejestr kategorii czynności przetwarzania?
Rejestr ten prowadzą podmioty przetwarzające (procesorzy) na podstawie art. 30 ust. 2 RODO. Jego celem jest wykazanie, jakie kategorie czynności przetwarzania wykonuje się w imieniu poszczególnych administratorów danych.
To narzędzie:
- dowodowe – w razie kontroli Prezesa UODO lub sporu z administratorem,
- organizacyjne – pomaga zarządzać umowami powierzenia,
- zgodnościowe – umożliwia spełnienie obowiązku rozliczalności z art. 5 ust. 2 RODO.
Co mówi prawo o czasie przechowywania?
RODO nie wprowadza sztywnego okresu retencji rejestru ani jego poszczególnych wpisów. W praktyce stosujemy zasady ogólne:
- Art. 5 ust. 1 lit. e RODO – dane osobowe należy przechowywać w formie umożliwiającej identyfikację osoby, której dane dotyczą, nie dłużej, niż jest to niezbędne do celów, w których są przetwarzane.
- Art. 30 ust. 2 RODO – rejestr powinien być aktualny, czyli odzwierciedlać rzeczywisty stan czynności przetwarzania.
- Art. 6 ust. 1 lit. f RODO – po ustaniu umowy powierzenia procesor może jeszcze uzasadniać przechowywanie informacji z rejestru w celu ochrony swoich praw i interesów (np. w razie reklamacji lub sporów sądowych).
Usunąć od razu czy trzymać przez pewien czas?
🔍 Opcje praktyczne:
- Usunięcie wpisu od razu po zakończeniu umowy – to podejście minimalistyczne, które zapewnia pełną zgodność z zasadą minimalizacji danych, ale ogranicza możliwości dowodowe w przyszłości.
- Przechowywanie w celach dowodowych przez okres przedawnienia roszczeń – w Polsce zazwyczaj 3 lata dla roszczeń okresowych i 6 lat (do 2022 r. – 10 lat) dla roszczeń głównych wynikających z Kodeksu cywilnego. W takim przypadku rejestr jest przenoszony do archiwum i oznaczony jako nieaktywny.
- Zachowanie wpisu tak długo, jak przechowywana jest sama umowa powierzenia – często spotykane rozwiązanie w organizacjach, które archiwizują dokumentację zgodnie z polityką retencji (np. 5 lat).
Przykład 1 – procesor w branży IT
Firma SoftData Sp. z o.o. świadczy usługi hostingu danych i prowadzi rejestr kategorii czynności przetwarzania. Po zakończeniu umowy z klientem, dane z systemów operacyjnych są usuwane w ciągu 30 dni, ale wpis w rejestrze pozostaje w archiwum przez 6 lat – zgodnie z wewnętrzną polityką dowodową.
Przykład 2 – biuro rachunkowe
Biuro „TaxPro” obsługuje kilkudziesięciu klientów, prowadząc rejestr kategorii czynności przetwarzania. Po zakończeniu współpracy wpisy w rejestrze są archiwizowane na 5 lat razem z dokumentacją księgową, aby w razie kontroli US lub UODO móc udowodnić, jakie czynności były realizowane.
Rekomendacja ekspercka
Najbezpieczniejsze rozwiązanie:
- Na bieżąco aktualizuj rejestr – wpisy aktywne tylko dla trwających umów.
- Wpisy usunięte z rejestru aktywnego – przenieś do części archiwalnej (dostępnej jedynie w celach dowodowych).
- Okres przechowywania w archiwum – dopasuj do polityki retencji dokumentów w organizacji, zwykle 3–6 lat od końca roku kalendarzowego, w którym zakończono umowę.
Podstawa prawna
- art. 5 ust. 1 lit. e, art. 6 ust. 1 lit. f, art. 30 ust. 2 – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO)
- art. 118, art. 117 § 2 – Kodeks cywilny (okresy przedawnienia roszczeń)
Tematy porad zawartych w poradniku
- okres przechowywania rejestru czynności przetwarzania
- retencja danych RODO
- archiwizacja dokumentacji RODO
- obowiązki procesora danych
- aktualizacja rejestru RODO
Przydatne linki urzędowe:
https://uodo.gov.pl
https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX%3A32016R0679
https://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU19640160093/U/D19640093Lj.pdf