Rejestr czynności przetwarzania w zarządzaniu projektami: obowiązki RODO dla polskich zespołów
Art. 30 RODO nakłada na administratorów danych obowiązek prowadzenia rejestru czynności przetwarzania (RCP). Dla zespołów zarządzających projektami oznacza to dokumentowanie każdej kategorii danych, którą przetwarzają w ramach projektów — od danych klientów po rekordy czasu pracy. Ta strona wyjaśnia obowiązki i pokazuje, które dane trafiają do 4myprojects.net, abyś mógł wpisać je do własnego rejestru. Sam rejestr prowadzisz poza systemem PM: 4myprojects.net nie prowadzi RCP i nie generuje raportu z Art. 30.
Checklista RODO dla danych przetwarzanych w projektach
Sześć punktów, które każdy system PM przetwarzający dane osobowe musi spełniać, aby być zgodny z RODO i wymaganiami UODO.
Rejestr czynności przetwarzania (Art. 30 RODO)
Każda organizacja zatrudniająca powyżej 250 osób lub przetwarzająca dane szczególnych kategorii musi prowadzić RCP. W praktyce UODO zaleca prowadzenie rejestru wszystkim administratorom, niezależnie od wielkości.
Dane osobowe w projektach: identyfikacja kategorii
W systemie PM przetwarza się dane klientów (imię, firma, NIP, e-mail), danych kontaktowych interesariuszy i — przy śledzeniu czasu — dane pracowników dotyczące ich aktywności.
Umowa powierzenia przetwarzania (Art. 28 RODO)
Każdy dostawca oprogramowania PM, który przetwarza dane osobowe w imieniu klienta, musi mieć z Tobą podpisaną umowę powierzenia. Zażądaj jej na piśmie, zanim wprowadzisz jakiekolwiek dane osobowe do systemu — w panelu 4myprojects.net nie ma gotowego dokumentu do pobrania.
KSeF: obowiązkowa e-faktura od 2025 roku
Krajowy System e-Faktur (KSeF) będzie obowiązkowy dla większości firm. KSeF jest obowiązkiem systemu fakturowego, nie systemu zarządzania projektami. W 4myprojects.net masz zarejestrowany czas pracy i etapy projektu; fakturę wystawiasz w swoim programie do fakturowania, przepisując te dane ręcznie — nie ma automatycznego przekazania między systemami.
Podstawa prawna przetwarzania danych w projektach
Przetwarzanie danych w celu realizacji umowy (Art. 6 ust. 1 lit. b) lub uzasadnionego interesu (lit. f) to najczęstsze podstawy. Każdą czynność w RCP należy przypisać do konkretnej podstawy.
Okres przechowywania danych i polityka usuwania
Dane projektowe powiązane z fakturowaniem należy przechowywać przez 5 lat (zgodnie z przepisami podatkowymi). Po upływie okresu retencji dane powinny być usunięte lub zanonimizowane.
Co musi zawierać rejestr czynności przetwarzania?
- 1
Rejestr musi zawierać: nazwę i dane kontaktowe administratora, cel przetwarzania, kategorie osób i danych, odbiorców danych, transfer do państw trzecich (jeśli dotyczy) oraz planowany czas usunięcia.
- 2
UODO może nałożyć karę do 20 mln EUR lub 4% globalnego obrotu za brak rejestru lub nieprowadzenie go w sposób rzetelny.
- 3
Rejestr nie musi być w formie elektronicznej, ale format ustrukturyzowany (np. arkusz kalkulacyjny albo dedykowane narzędzie do rejestru) znacząco ułatwia aktualizacje i kontrolę.
- 4
Inspektor Ochrony Danych (IOD/DPO) odpowiada za aktualność rejestru. Jeśli organizacja nie ma obowiązku wyznaczenia IOD, odpowiedzialność spoczywa na administratorze danych.
Uwaga: ta strona ma charakter informacyjny i nie zastępuje porady prawnej. Wiążące są przepisy RODO, ustawa o ochronie danych osobowych oraz wytyczne UODO aktualne na dzień stosowania.
Jak zbudować RCP dla danych z systemu PM
Trzy kroki, które wykonujesz samodzielnie. 4myprojects.net dostarcza dane wejściowe — listę kategorii i miejsce przetwarzania — ale nie prowadzi rejestru za Ciebie.
- 1
Krok 1: spisz, jakie dane trafiają do systemu PM
W 4myprojects.net przechowywane są: nazwy i opisy projektów, zadania z przypisaną osobą, komentarze, etykiety, wpisy czasu pracy (liczba minut, data, autor, notatka), członkowie zespołu z rolą i stawką godzinową oraz dziennik aktywności projektu. To jest lista kategorii, którą przepisujesz do własnego RCP.
- 2
Krok 2: przypisz cel, podstawę prawną i okres retencji
Każdej kategorii z kroku pierwszego przypisz cel przetwarzania, podstawę z Art. 6 i planowany termin usunięcia. 4myprojects.net nie prowadzi rejestru czynności przetwarzania i nie generuje raportu z Art. 30 — RCP prowadzisz w arkuszu albo w dedykowanym narzędziu do zgodności.
- 3
Krok 3: zabezpiecz umowę powierzenia i sprawdź lokalizację danych
Dane 4myprojects.net są hostowane w UE (Finlandia), bez transferu do USA — to wpisujesz w rubryce o państwach trzecich. Umowę powierzenia z Art. 28 uzgadniasz z dostawcą na piśmie; nie pobierzesz jej z panelu.
Projekty, zadania, backlog, Gantt i ewidencja czasu w jednym abonamencie — hosting w UE (Finlandia), bez transferu do USA.
Zacznij za darmoPytania i odpowiedzi
Kto musi prowadzić rejestr czynności przetwarzania?
Formalnie obowiązek dotyczy organizacji zatrudniających powyżej 250 osób lub przetwarzających dane szczególnych kategorii (zdrowie, przekonania, kryminalne) albo dane, których naruszenie może powodować ryzyko. W praktyce UODO zaleca prowadzenie RCP wszystkim administratorom, ponieważ stanowi on podstawę zgodności i ułatwia reakcję na incydenty.
Jak długo przechowywać rejestr czynności przetwarzania?
RODO nie określa minimalnego okresu przechowywania RCP, ale powinien być dostępny przez cały czas działalności administratora i przez rozsądny okres po jej zakończeniu (minimum 5 lat dla celów dowodowych). Dane projektowe powiązane z rachunkowością przechowuje się przez 5 lat podatkowych.
Czy KSeF zastępuje dotychczasowe faktury papierowe?
Tak, od momentu wejścia w życie obowiązku dla danej kategorii podatnika, faktury ustrukturyzowane (XML w formacie FA_VAT) wysyłane przez KSeF są jedyną akceptowaną formą fakturowania B2B. Faktury papierowe i PDF nie będą już prawnie ważne między przedsiębiorcami zarejestrowanymi w KSeF.
Czym jest umowa powierzenia przetwarzania i czy jest obowiązkowa?
Umowa powierzenia (Art. 28 RODO) jest obowiązkowa zawsze, gdy przekazujesz dane osobowe podmiotowi zewnętrznemu do przetwarzania w Twoim imieniu — np. dostawcy oprogramowania PM. Brak umowy to naruszenie RODO, nawet jeśli dane są bezpieczne faktycznie. Umowę powierzenia uzgadniasz z dostawcą na piśmie — w panelu 4myprojects.net nie ma gotowego dokumentu do pobrania, więc wystąp o niego, zanim wprowadzisz do systemu dane osobowe.