Registrul de Evidență a Prelucrărilor este documentul intern unde operatorul sau persoana împuternicită descrie, pentru fiecare prelucrare, ce date personale colectează, în ce scop, de la cine și cui le transmite. Formă scrisă (și electronică), ținută la operator — nu se depune la autoritate, ci se prezintă la cerere. Obligatoriu conform art. 30 GDPR, chiar pentru firme sub 250 de angajați dacă prelucrarea vizează date sensibile, este regulă sau creează risc.
Definiție
Registrul de Evidență a Prelucrărilor, cunoscut și sub acronimul ROPA (Record of Processing Activities), este o „hartă" internă a modului în care o organizație folosește datele personale. Fiecare activitate de prelucrare — de exemplu „administrarea personalului", „facturarea clienților", „recrutare" sau „supraveghere video" — se înregistrează ca o intrare separată, documentând all-urile elementelor cerute de Regulamentul (UE) 2016/679, art. 30.
Pentru fiecare prelucrare, registrul trebuie să conțină: identitatea și contactul operatorului, scopurile prelucrării, categoriile de persoane vizate și de date, categoriile de destinatari, transferurile internaționale (dacă există), termenele de ștergere și o descriere a măsurilor de securitate. Persoana împuternicită (furnizor de servicii) ține o versiune mai restrânsă a registrului, documentând doar categoriile de prelucrări efectuate pentru fiecare client-operator.
Registrul nu este depus la o autoritate — rămâne în proprietatea operatorului și se prezintă Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) doar la cerere, de regulă în curs de control. Acesta înlocuiește vechiul sistem de notificare a prelucrărilor, transferând responsabilitatea de la autorizarea prealabilă la documentare internă și demonstrare conformității.
Cea mai frecventă confuzie: pragul de 250 de angajați (art. 30 alin. 5) nu scutește firmele mici — trei excepții reiau imediat obligația: dacă prelucrarea creează risc, nu este ocazională sau implică date sensibile (art. 9 GDPR), registrul devine obligatoriu indiferent de dimensiune. În practică, aproape orice organizație cu angajați sau clienți recurenți este obligată. Legat de Glosarul GDPR și Protecția Datelor, Registrul este component esențială a principiului de responsabilitate (accountability) și suport pentru alte obligații, cum ar fi Acordul de Prelucrare a Datelor (DPA).
Întrebări frecvente
Firma mea are sub 250 de angajați — chiar trebuie să țin Registrul? Aproape sigur da. Art. 30(5) GDPR pare să scutească organizațiile mici, dar trei excepții (prelucrare cu risc, neocazională sau de date sensibile) anulează scutirea în majoritatea cazurilor. Dacă ai angajați sau clienți recurenți, acele prelucrări sunt neocazionale și registrul devine obligatoriu.
Care e diferența dintre Registrul operatorului și al persoanei împuternicite? Registrul operatorului (art. 30 alin. 1) documentează scopurile și toate elementele prelucrării. Registrul persoanei împuternicite (art. 30 alin. 2) este mai restrâns și listează doar categoriile de prelucrări în numele fiecărui operator-client, fără scopuri. O firmă poate avea ambele calități și deci ambele registre.
Cât de des trebuie actualizat Registrul? Ori de câte ori se schimbă ceva relevant: un scop nou, o categorie nouă de date, un furnizor nou, un transfer internațional sau un termen de stocare modificat. Nu este un document static, ci o evidență vie a activităților de prelucrare.