Prowadzenie dokumentacji zależy od sakli, charakteru, profilu i specyfiki prowadzonej działalności. W RODO nie znajdziemy obowiązku prowadzenia dokumentacji ani informacji, że musi się ona składać z Polityki bezpieczeństwa oraz Instrukcji zarządzania systemami informatycznymi – które do tej pory były regulacjami obligatoryjnymi. Jest co prawda wymóg prowadzenia rejestru czynności przetwarzania ale i od tego są wyjątki. Jeżeli zdecydujemy się na prowadzenie dokumentacji to ma być ona adekwatna do prowadzonego przez nas biznesu. W praktyce wiele rozwiązań, zapisów z dotychczas stosowanych regulacji okazuje się być bardzo pomocna. Bo o ile obowiązku prowadzenia dokumentacji nie ma to jednak zdecydowanie lepiej ją mieć, nawet w uproszczonej wersji. Pamiętajmy, że niezależnie do tego czy mamy powołanego Inspektora Ochrony Danych czy nie, czy jesteśmy zobligowani do prowadzenia rejestru czynności przetwarzania czy nie, to dane osobowe musimy chronić i możemy zostać skontrolowani przez organ nadzorczy. Prowadzenie dokumentacji, opisanie pewnych działań czy procedur pomaga w stworzeniu skuteczniejszego systemu bezpieczeństwa informacji oraz redukcji ryzyka. Jest to też przydatne jeśli chodzi o spełnienie zasady rozliczalności, która wymaga umiejętności wykazania, że podmiot spełnia wymogi RODO. Stąd tak jak wspominałem wcześniej, oprócz prowadzenia rejestru czynności przetwarzania, zasadne jest również prowadzenie innych rejestrów czy ewidencji – np. osób upoważnionych do przetwarzania danych, wykazu pomieszczeń w których odbywa się przetwarzanie etc.
autor: Paweł Waniek
