Mapowanie procesów przetwarzania danych to fundament wdrożenia RODO w każdej organizacji – niezależnie od jej wielkości i branży. Dzięki niemu wiesz, jakie dane zbierasz, w jakim celu, na jakiej podstawie prawnej, komu je przekazujesz i jak długo możesz je przechowywać. Bez tego nie tylko nie da się stworzyć rejestru czynności przetwarzania (RCP), ale też nie zbudujesz skutecznych zabezpieczeń i nie spełnisz zasady privacy by design.
W tej części poradnika wyjaśnię Ci:
- dlaczego privacy by design to punkt startowy mapowania,
- czym różni się „czynność przetwarzania” od „procesu”,
- jakie pytania należy zadać, by dobrze opisać proces.
Privacy by design – ochrona danych od samego początku
Zasada uwzględniania ochrony danych w fazie projektowania (privacy by design) wynika bezpośrednio z art. 25 ust. 1 RODO. Oznacza ona, że administrator musi planować ochronę danych już w momencie projektowania procesów biznesowych, a nie dopiero „łatać dziury”, gdy system działa.
Przykład:
- Jeśli tworzysz sklep internetowy, już w fazie projektowania musisz zdecydować, czy do realizacji zamówienia naprawdę potrzebujesz daty urodzenia klienta. Jeśli nie – nie wolno jej zbierać.
- W rekrutacji: zanim ogłosisz nabór, powinieneś określić, jakie dane kandydata są niezbędne (np. wykształcenie, doświadczenie), a jakie będą dopuszczalne tylko za zgodą (np. portfolio artystyczne).
Co obejmuje privacy by design?
- Minimalizację danych – zbierasz tylko te informacje, które są konieczne.
- Ochronę od początku do końca – od zebrania, przez przechowywanie, aż po usunięcie.
- Prywatność jako ustawienie domyślne – domyślna konfiguracja systemu nie może naruszać prywatności (np. brak zaznaczonych z góry zgód marketingowych).
- Cykliczne przeglądy i aktualizacje – administrator musi sprawdzać, czy wdrożone zabezpieczenia nadal odpowiadają aktualnym zagrożeniom.
📌 Cytat z RODO (art. 25 ust. 1 – Rozporządzenie 2016/679):
„Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia wynikające z przetwarzania, administrator – zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania – wdraża odpowiednie środki techniczne i organizacyjne (…) tak by spełnić wymogi niniejszego rozporządzenia oraz chronić prawa osób, których dane dotyczą.”
Czynność czy proces – jak to rozumieć?
RODO posługuje się pojęciem czynności przetwarzania. W praktyce jednak lepiej mówić o procesach, ponieważ dane żyją w cyklu – od zebrania po usunięcie.
Przykład:
- Rekrutacja to nie jedna czynność, tylko proces składający się z ogłoszenia, przyjmowania CV, wstępnej selekcji, rozmów, zatrudnienia wybranej osoby i usunięcia danych pozostałych kandydatów.
- Obsługa zamówień w sklepie to również proces: klient wypełnia formularz, system zapisuje dane, sklep przekazuje dane firmie kurierskiej, księgowość wystawia fakturę, a po okresie przechowywania dane są archiwizowane lub usuwane.
Dlaczego to ważne? Bo tylko patrząc na całość procesu, jesteś w stanie:
✔ dobrać prawidłową podstawę prawną,
✔ ustalić właściwy zakres danych,
✔ wyznaczyć realne terminy retencji,
✔ zaprojektować skuteczne zabezpieczenia.
6 pytań do mapowania procesu – fundament Twojej dokumentacji
Każdy proces powinieneś opisać, odpowiadając na sześć kluczowych pytań. To swoisty „szkielet” mapowania:
- Po co mi te dane? – cel przetwarzania.
- Cel musi być konkretny i granularny. Nie pisz ogólnie „marketing”, tylko np. „wysyłka newslettera z informacjami o promocjach w sklepie internetowym X”.
- Jakie dane zbieram? – zakres danych.
- Zawsze trzymaj się zasady minimalizacji.
- Dlaczego mogę je przetwarzać? – podstawa prawna.
- Wskaż konkretny artykuł RODO, np. art. 6 ust. 1 lit. b (wykonanie umowy), art. 6 ust. 1 lit. c (obowiązek prawny), art. 6 ust. 1 lit. f (uzasadniony interes).
- Jak zapewnię poprawność danych? – procedury aktualizacji i weryfikacji.
- Przykład: możliwość zmiany danych w panelu klienta, okresowe przypomnienia do pracowników o aktualizacji danych kontaktowych.
- Jak je zabezpieczę? – środki techniczne i organizacyjne.
- Hasła, szyfrowanie, kontrola dostępu, szkolenia pracowników.
- Jak długo będę je przechowywał? – retencja.
- Jeśli okresy różnią się w obrębie tego samego obszaru, rozdziel procesy (np. dane księgowe 6 lat, dane marketingowe 2 lata).
Mapowanie procesów przetwarzania danych osobowych – krok po kroku z przykładami
W tej części poradnika pokażę Ci:
- checklistę mapowania procesu przetwarzania,
- jak nazwać i opisać proces,
- jak ustalić podstawę prawną, odbiorców i retencję,
- dwa praktyczne przykłady: rekrutacja i newslettery.
Jak zmapować proces krok po kroku (checklista) ✔
Poniżej masz prostą sekwencję działań, która pozwoli Ci przygotować opis procesu w sposób zgodny z RODO i przydatny w praktyce:
- Nazwij proces – krótko i jednoznacznie.
- Przykład: „Rekrutacja – Specjalista ds. sprzedaży, nabór Q4/2025”, „Obsługa zamówień – e-sklep marka A”.
- Opisz cel przetwarzania – nie ogólnikowo, tylko operacyjnie.
- Zamiast „marketing” napisz: „wysyłka newslettera o promocjach w marce X drogą e-mailową”.
- Określ kategorie osób i danych – kogo dotyczy proces i jakie informacje są zbierane.
- Np. kandydaci do pracy; dane identyfikacyjne, kontaktowe, wykształcenie.
- Dobierz podstawę prawną – wskaż artykuł z RODO (np. art. 6 ust. 1 lit. b – wykonanie umowy).
- Jeśli pojawiają się szczególne kategorie danych (np. zdrowie, poglądy), sprawdź art. 9 ust. 2 RODO.
- Wskaż odbiorców danych – zarówno wewnętrznych (dział HR, księgowość), jak i zewnętrznych (np. podmiot przetwarzający – dostawca ATS).
- Sprawdź transfery poza EOG – jeśli dane trafiają np. do dostawcy SaaS w USA, musisz wskazać podstawę prawną (np. standardowe klauzule umowne SCC).
- Opisz środki techniczne i organizacyjne – zabezpieczenia: szyfrowanie, hasła, role i uprawnienia, szkolenia.
- Ustal retencję – podaj terminy lub kryteria usuwania danych.
- Przykład: „90 dni po zakończeniu rekrutacji”, „6 lat od końca roku podatkowego”.
- Zanotuj systemy i interfejsy – jakie narzędzia obsługują proces, jakie dane przepływają między nimi.
- Wpisz do rejestru czynności przetwarzania (RCP) – użyj wzoru, który przedstawię w dalszej części.
Przykład 1 – Rekrutacja i bank CV 🎯
Stan faktyczny (zmodyfikowany):
Firma Nordkom prowadzi rekrutację na stanowisko „Specjalista ds. logistyki”. Chce też zatrzymać CV kandydatów na przyszłe nabory.
- Proces A – Rekrutacja (nabór 10–30.09.2025):
- Cel: wyłonienie pracownika na określone stanowisko.
- Zakres danych: imię i nazwisko, dane kontaktowe, wykształcenie, doświadczenie zawodowe, dodatkowo – portfolio (za zgodą).
- Podstawa prawna:
- art. 6 ust. 1 lit. b RODO – działania przed zawarciem umowy,
- art. 6 ust. 1 lit. c RODO – w zakresie wymogów prawa pracy,
- art. 6 ust. 1 lit. a (zgoda) – na nadmiarowe dane, np. portfolio.
- Retencja: 90 dni po zakończeniu naboru.
- Odbiorcy: dział HR, dostawca systemu rekrutacyjnego (ATS).
- Środki: szyfrowanie danych, MFA, procedura usuwania.
- Proces B – Bank CV na przyszłe rekrutacje:
- Cel: możliwość kontaktu z kandydatami w kolejnych naborach.
- Zakres: dane kontaktowe i zawodowe.
- Podstawa prawna: zgoda (art. 6 ust. 1 lit. a RODO).
- Retencja: maksymalnie 12 miesięcy od wyrażenia zgody.
- Uwaga: proces B musi być oddzielny od A, ponieważ różni się celem, podstawą prawną i retencją.
Przykład 2 – Newslettery i wiele marek 🛒
Stan faktyczny (zmodyfikowany):
Grupa Luvi Brands prowadzi dwa sklepy internetowe i trzy różne newslettery:
- „Nowości A” (promocje w marce A),
- „Outlet A” (wyprzedaże w marce A),
- „Premium B” (oferty w marce B).
Procesy newsletterowe:
- Cel: przesyłanie informacji promocyjnych o określonej marce.
- Zakres: adres e-mail (obowiązkowo), imię (opcjonalnie do personalizacji). Numer telefonu – nie, bo nie jest niezbędny.
- Podstawa prawna: zgoda marketingowa (art. 6 ust. 1 lit. a RODO) + przepisy dotyczące informacji handlowej (np. zgoda na przesyłanie e-maili).
- Retencja: do wycofania zgody lub 24 miesiące braku aktywności.
- Odbiorcy: dostawca narzędzia mailingowego (podmiot przetwarzający).
📌 Każdy newsletter to osobny proces, bo różni się celem, retencją i często odbiorcami.
Mapowanie procesów przetwarzania danych osobowych – rejestr czynności i najczęstsze błędy
W tej części poradnika wyjaśnię Ci:
- co musi zawierać rejestr czynności przetwarzania (RCP),
- kto odpowiada za jego prowadzenie,
- wzór wpisu, który możesz od razu wykorzystać w swojej firmie,
- oraz najczęstsze błędy, jakie organizacje popełniają przy mapowaniu procesów.
Rejestr czynności przetwarzania (RCP) – co powinien zawierać
Rejestr czynności przetwarzania to dokument, w którym administrator gromadzi wszystkie informacje o procesach przetwarzania danych w swojej organizacji. Jest wymagany przez art. 30 RODO.
Minimalny zakres danych w rejestrze:
- nazwa administratora i dane kontaktowe,
- ewentualni współadministratorzy, podmioty przetwarzające, inspektor ochrony danych (IOD),
- cele przetwarzania,
- kategorie osób, których dane dotyczą (np. klienci, kandydaci, pracownicy),
- kategorie danych osobowych (identyfikacyjne, kontaktowe, transakcyjne),
- kategorie odbiorców (wewnętrzni i zewnętrzni),
- informacje o przekazaniach danych poza EOG i podstawach transferu,
- planowane terminy usunięcia danych (retencja),
- ogólny opis środków technicznych i organizacyjnych.
Forma i obowiązek prowadzenia rejestru
- Forma: może być papierowa lub elektroniczna – w praktyce lepsza jest elektroniczna (łatwiejsze filtrowanie i aktualizacja).
- Obowiązek prowadzenia:
- spoczywa na administratorze i podmiotach przetwarzających,
- wyjątek: organizacje zatrudniające mniej niż 250 osób, chyba że ich przetwarzanie:
- może powodować ryzyko naruszenia praw osób,
- nie ma charakteru sporadycznego,
- obejmuje szczególne kategorie danych (art. 9 RODO) lub dane dot. wyroków i naruszeń prawa.
⚠️ W praktyce większość firm i tak powinna prowadzić rejestr, bo przetwarza dane w sposób stały (np. obsługa klientów, rekrutacja).
- Kto prowadzi? – administrator. Inspektor ochrony danych może pomagać, ale obowiązek leży na administratorze.
Szablon wpisu do RCP 📄
Poniżej znajdziesz wzór wpisu, który możesz skopiować i uzupełnić dla swoich procesów:
- Nazwa procesu: (np. Rekrutacja – Specjalista ds. logistyki, nabór IX 2025)
- Administrator / współadministratorzy / IOD (kontakt):
- Cel(e) przetwarzania: (konkretnie, granularnie)
- Kategorie osób: (np. kandydaci, klienci, użytkownicy)
- Kategorie danych: (identyfikacyjne, kontaktowe, transakcyjne…)
- Podstawa prawna: (np. art. 6 ust. 1 lit. b RODO)
- Źródło danych: (osoba, system partnerski, dane publiczne)
- Odbiorcy / kategorie odbiorców: (wewnętrzni i zewnętrzni; status: PP/Współadm.)
- Przekazania poza EOG: (tak/nie; jeśli tak – podstawa, np. SCC)
- Retencja: (terminy lub kryteria, np. 6 lat od końca roku podatkowego)
- Środki techniczne i organizacyjne: (szyfrowanie, MFA, szkolenia, role i uprawnienia)
- Systemy / aplikacje: (w jakich narzędziach przetwarzane są dane)
- DPIA (ocena skutków dla ochrony danych): (tak/nie; wynik)
- Data ostatniego przeglądu:
Najczęstsze błędy i jak ich uniknąć ⚠️
- Cel zbyt ogólny
- ✖ Błędnie: „marketing”
- ✔ Poprawnie: „wysyłka newslettera z promocjami marki A”.
- Łączenie danych o różnej retencji w jednym procesie
- Jeśli część danych musisz trzymać 6 lat (księgowość), a inne tylko 2 lata (marketing), podziel procesy.
- Nadmierny zakres danych
- Do newslettera wystarczy adres e-mail. Numer telefonu czy PESEL to nadmiar.
- Zrzucanie odpowiedzialności na dostawców
- „Skoro dane są w systemie SaaS, to oni odpowiadają”. ❌ Nie – administrator odpowiada za weryfikację podmiotu przetwarzającego i cykliczne sprawdzanie zabezpieczeń.
- Statyczny rejestr
- Rejestr żyje – aktualizuj go przy każdej zmianie celu, systemu czy dostawcy.
Mapowanie procesów przetwarzania danych osobowych – przeglądy, DPIA i specyfika sektora publicznego
W tej części omówię:
- obowiązek przeglądów i aktualizacji procesów,
- kiedy konieczna jest ocena skutków dla ochrony danych (DPIA),
- specyficzne wyzwania w sektorze publicznym,
- a na końcu podam podsumowanie, podstawę prawną i frazy SEO.
Obowiązek przeglądów i aktualizacji procesów
Privacy by design nie kończy się w momencie stworzenia rejestru czynności. Administrator musi cyklicznie sprawdzać, czy przyjęte środki nadal są adekwatne. Wynika to z art. 24 i 25 RODO.
Jak często robić przegląd?
- Minimum raz na 12 miesięcy (coroczny audyt procesów).
- Dodatkowo – po każdej istotnej zmianie, np. wprowadzeniu nowego systemu IT, zmieniających się celów (np. start kampanii marketingowej), czy zmianie dostawcy usług.
Przykład:
Firma wdrożyła nową platformę e-commerce, która umożliwia integrację z mediami społecznościowymi. To zmienia przepływy danych – musisz zaktualizować opis procesu obsługi zamówień i newsletterów.
DPIA – ocena skutków dla ochrony danych 📄
DPIA (ang. Data Protection Impact Assessment) to ocena skutków dla ochrony danych, wymagana, gdy przetwarzanie może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych (art. 35 RODO).
Kiedy DPIA jest konieczna?
- przy przetwarzaniu na dużą skalę danych wrażliwych (np. medycznych),
- przy systematycznym monitorowaniu osób (np. monitoring wizyjny w przestrzeni publicznej),
- przy wykorzystywaniu nowych technologii do profilowania klientów,
- przy przekazywaniu dużych zbiorów danych poza EOG.
Co zawiera DPIA?
- opis procesów przetwarzania,
- ocenę niezbędności i proporcjonalności,
- analizę ryzyk,
- plan działań ograniczających te ryzyka.
📌 Pamiętaj: DPIA to nie „papier dla UODO”, tylko narzędzie dla Ciebie, które pokazuje, że świadomie zarządzasz ryzykiem.
Mapowanie procesów w sektorze publicznym 🏢
Urzędy i instytucje publiczne mają szczególną sytuację:
- często w ramach jednego „makroprocesu” (np. prowadzenie postępowania administracyjnego) pojawiają się różne podstawy prawne przetwarzania,
- różne organy administracji to różni administratorzy – każdy z nich powinien prowadzić własny rejestr,
- procesy takie jak rekrutacja pracowników urzędu czy konsultacje społeczne opisuje się podobnie jak w sektorze prywatnym (z odrębnymi celami, podstawami prawnymi i retencją).
Przykład:
- Urząd Miasta prowadzi konsultacje społeczne w sprawie planu zagospodarowania przestrzennego.
- Cel: zebranie opinii mieszkańców,
- Podstawa prawna: przepis szczególny (ustawa o planowaniu i zagospodarowaniu przestrzennym),
- Zakres danych: imię, nazwisko, adres e-mail, treść opinii,
- Retencja: zgodnie z przepisami o archiwizacji dokumentów w administracji publicznej.
Podsumowanie – 5 najważniejszych zasad mapowania procesów
- Zacznij od mapy procesów – bez niej nie zrobisz poprawnego rejestru czynności.
- Cel musi być konkretny – nie ogólny „marketing”, tylko „newsletter o promocjach w marce X”.
- Nie sklejaj procesów na siłę – jeśli różni je podstawa prawna albo retencja, rozdziel je.
- Administrator odpowiada za całość – nawet jeśli korzystasz z dostawcy SaaS.
- Rejestr żyje – aktualizuj go przy każdej zmianie i rób przeglądy co najmniej raz w roku.
Podstawa prawna
- art. 5 ust. 1 lit. f – Rozporządzenie 2016/679 (RODO) – zasada poufności i integralności,
- art. 24 ust. 1 – Rozporządzenie 2016/679 (RODO) – obowiązek wdrażania i przeglądów środków,
- art. 25 ust. 1 – Rozporządzenie 2016/679 (RODO) – privacy by design,
- art. 30 ust. 1–2, ust. 5 – Rozporządzenie 2016/679 (RODO) – rejestr czynności przetwarzania i wyjątek dla <250 pracowników,
- art. 35 – Rozporządzenie 2016/679 (RODO) – obowiązek przeprowadzenia DPIA.
Tematy porad zawartych w poradniku
- mapowanie procesów RODO 2025
- rejestr czynności przetwarzania wzór
- DPIA kiedy obowiązkowe
- RODO w administracji publicznej
Przydatne strony urzędowe:
https://uodo.gov.pl
https://edpb.europa.eu
https://archiwum.uodo.gov.pl/pl/225/659
https://sabi.org.pl/wp-content/uploads/2024/04/Opinia_Konflikt-interesow-IOD_SABI_ZFODO.pdf
https://uodo.gov.pl/pl/p/dla-administratorow