Registrul de evidență a prelucrărilor (ROPA) este documentul intern obligatoriu în care operatorul și persoana împuternicită documentează pentru fiecare prelucrare de date personale: ce date colectează, în ce scop, de la cine le primesc, cui le transmit și cât timp le păstrează. Se ține în scris, inclusiv electronic, și se prezintă ANSPDCP la cerere.
Definiție
Registrul de evidență a prelucrărilor (ROPA) este obligația legală fundamentală, prevăzută în art. 30 al Regulamentului (UE) 2016/679 (GDPR), prin care operatorul și persoana împuternicită documentează fiecare prelucrare de date personale pe care o efectuează.
Ce documentează ROPA?
Pentru fiecare prelucrare, registrul trebuie să conțină:
- Datele de contact ale operatorului, ale reprezentantului și ale responsabilului cu protecția datelor;
- Scopurile prelucrării — pentru ce se colectează și se folosesc datele;
- Categoriile de persoane vizate și categoriile de date (date de contact, date bancaire, date de sănătate);
- Categoriile de destinatari (cui se transmit datele, inclusiv furnizori terți și, eventual, țări terțe);
- Transferurile internaționale și garanțiile aferente;
- Termenele de stocare — cât timp se păstrează datele;
- O descriere generală a măsurilor de securitate.
Format și depozitare
Legea cere doar formă scrisă — inclusiv electronică (un tabel Excel, o bază de date, un sistem cloud). Nu este obligatoriu nici un format oficial, nici depunerea la vreo autoritate. Registrul rămâne o evidență internă. Se prezintă autorității de supraveghere (ANSPDCP) doar la cerere, de obicei într-un control.
Cine trebuie să țină ROPA?
Teoretic, art. 30 alin. (5) GDPR pare să scutească organizațiile cu mai puțin de 250 de angajați. Practic, excepția nu funcționează: dacă prelucrarea generează un risc, nu este ocazională, sau include date sensibile (art. 9 GDPR), obligația se activează. Rezultat: aproape orice firmă activă — PFA cu clienți, magazine online, ONG-uri — este obligată.
De ce ROPA este crucială?
Registrul este expresia practică a principiului responsabilității (accountability) din art. 5 alin. (2) GDPR. Operatorul trebuie să dovedească că prelucrează date conform legii. O evaluare de impact (DPIA) pentru prelucrări cu risc ridicat, o notificare la ANSPDCP în caz de incident, și alte obligații GDPR — toate se ancorez în ROPA. Lipsa registrului se sancționează cu amenzi de până la 10.000.000 EUR.
Aflați mai multe în ghidul complet de GDPR.
Întrebări frecvente
1. Ce este Registrul de evidență a prelucrărilor (ROPA)? ROPA este evidența obligatorie în care operatorul sau persoana împuternicită documentează pentru fiecare prelucrare: ce date colectează, în ce scop, de la cine le primește, cui le transmite și cât timp le păstrează. Se ține în scris, inclusiv electronic, și se prezintă ANSPDCP la cerere.
2. Pentru ce se folosește ROPA? ROPA demonstrează conformitatea cu GDPR. Principiul responsabilității din art. 5 alin. (2) GDPR cere operatorului și persoanei împuternicite să mențină evidențe ale prelucrărilor și să le pună la dispoziția autorității. Registrul este instrumentul central al acestei demonstrații.
3. Cine trebuie să țină ROPA? Toți operatorii și persoanele împuternicite. Deși legea pare să scutească organizațiile cu sub 250 de angajați, scutirea nu se aplică dacă prelucrarea prezintă risc, nu este ocazională sau include date sensibile. În practică, aproape orice firmă activă este obligată.