Prowadzenie dokumentacji zależy od sakli, charakteru, profilu specyfiki prowadzonej działalności. W RODO nie znajdziemy obowiązku prowadzenia dokumentacji ani informacji, że musi się ona składać z Polityki bezpieczeństwa oraz Instrukcji zarządzania systemami informatycznymi – które do tej pory były regulacjami obligatoryjnymi. Jest co prawda wymóg prowadzenia rejestru czynności przetwarzania ale od tego są wyjątki.
Jeżeli zdecydujemy się na prowadzenie dokumentacji to ma być ona adekwatna do prowadzonego przez nas biznesu. W praktyce wiele rozwiązań, zapisów z dotychczas stosowanych regulacji okazuje się być bardzo pomocna. Bo o ile obowiązku prowadzenia dokumentacji nie ma to jednak zdecydowanie lepiej ją mieć, nawet w uproszczonej wersji.
Pamiętajmy, że niezależnie do tego czy mamy powołanego Inspektora Ochrony Danych czy nie, czy jesteśmy zobligowani do prowadzenia rejestru czynności przetwarzania czy nie, to dane osobowe musimy chronić możemy zostać skontrolowani przez organ nadzorczy.
Prowadzenie dokumentacji, opisanie pewnych działań czy procedur pomaga w stworzeniu skuteczniejszego systemu bezpieczeństwa informacji oraz redukcji ryzyka. Jest to też przydatne jeśli chodzi o spełnienie zasady rozliczalności, która wymaga umiejętności wykazania, że podmiot spełnia wymogi RODO. Stąd tak jak wspominałem wcześniej, oprócz prowadzenia rejestru czynności przetwarzania, zasadne jest również prowadzenie innych rejestrów czy ewidencji – np. osób upoważnionych do przetwarzania danych, wykazu pomieszczeń w których odbywa się przetwarzanie etc.
autor: Paweł Waniek
