W skrócie
Art. 30 ust. 5 zwalnia podmioty zatrudniające mniej niż 250 osób — chyba że przetwarzanie może powodować ryzyko, LUB nie ma charakteru sporadycznego, LUB obejmuje szczególne kategorie danych albo dane o wyrokach skazujących. Trzy warunki są alternatywne. Lista płac nie jest sporadyczna i zawiera dane o zdrowiu: zachodzą dwa naraz.
Błąd tkwi w słowie «lub»
Art. 30 ust. 5 zwalnia z obowiązku prowadzenia rejestru podmioty zatrudniające mniej niż 250 osób, «chyba że przetwarzanie, którego dokonują, może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą, nie ma charakteru sporadycznego lub obejmuje szczególne kategorie danych osobowych, o których mowa w art. 9 ust. 1, lub dane osobowe dotyczące wyroków skazujących i czynów zabronionych, o czym mowa w art. 10». Trzy warunki połączone spójnikiem «lub». Grupa Robocza Art. 29 wyjaśniła to wprost w stanowisku z 19 kwietnia 2018 r.: są to alternatywy i wystarczy spełnienie jednej, by zwolnienie odpadło.
«Nie ma charakteru sporadycznego» zamyka sprawę niemal zawsze
Sporadyczne jest przetwarzanie, które nie odbywa się regularnie, nie należy do zwykłej działalności i nie ma trwałego charakteru. Listę płac sporządza się co miesiąc. Obsługa klientów nie ustaje. Aplikacje wpływają przez cały rok. Żadne z nich nie jest sporadyczne, a więc zwolnienie odpadło niezależnie od liczby zatrudnionych. Jeśli dochodzą zwolnienia lekarskie, zachodzi dodatkowo wyjątek dotyczący szczególnych kategorii z art. 9 ust. 1.
- Zwolnienie nigdy nie jest całkowite: obejmowałoby co najwyżej te czynności, które nie spełniają żadnego z trzech warunków. Dla pozostałych rejestr pozostaje obowiązkowy — firma prowadzi więc albo częściowy, albo pełny.
- Art. 30 ust. 1 wymienia minimalną treść: nazwę i dane kontaktowe, cele, kategorie osób i danych, kategorie odbiorców, przekazania do państw trzecich wraz z zabezpieczeniami, terminy usunięcia oraz ogólny opis środków z art. 32 ust. 1.
- Podmiot przetwarzający prowadzi własny rejestr (art. 30 ust. 2) o innej treści: wskazuje administratorów, w imieniu których działa, a nie cele.
- Art. 30 ust. 4: rejestr udostępnia się organowi nadzorczemu na żądanie. W praktyce to pierwszy dokument, o jaki organ prosi.
Czego wzór nie załatwi
Wzór daje kolumny, nie treść. Dwa pola, na których rejestry regularnie się przewracają, nie dają się przepisać: termin usunięcia, inny dla każdej kategorii danych i każdego porządku prawnego, oraz środki z art. 32, które muszą odpowiadać faktycznie stosowanej technice. Rejestr, w którym wszędzie widnieje «terminy ustawowe», nie odpowiada na pytanie — omija je.
Praktyczna rada dla doradcy: w ogóle nie otwierać dyskusji o 250. Kosztuje pół godziny i zawsze kończy się tak samo. Pożyteczniejsze jest pytanie, jakie czynności przetwarzania istnieją i jak długo dane pozostają — bo właśnie tam brakuje odpowiedzi i właśnie o to pyta organ.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
