Model de registru GDPR în Excel
Modelul este un punct de pornire pentru descrierea activităților reale. Nu stabilește automat dacă ai obligația de a ține registrul și nu confirmă legalitatea prelucrărilor. Exemplele nu conțin date ale clienților Cremene.
Începe cu activitatea, nu cu lista de persoane
„Gestionarea cererilor comerciale” este o activitate de prelucrare. „Fișierul Excel al Mariei” este doar unul dintre locurile în care se află datele. Vorbește cu echipa care primește cererile, urmărește traseul informațiilor și verifică aplicațiile folosite. Registrul descrie categorii și fluxuri; nu este nevoie să copiezi în el numele tuturor clienților.
Stabilește separat dacă firma decide scopurile și mijloacele prelucrării, în calitate de operator, sau prelucrează date în numele unui client. Aceeași firmă poate avea roluri diferite pentru activități diferite. Un furnizor de aplicații poate fi persoană împuternicită pentru datele clientului și operator pentru propriile recrutări.
Ce cere articolul 30
| Evidența operatorului — art. 30 alin. (1) | Ce clarifici în practică |
|---|---|
| Identificare și contacte | Operatorul și, dacă este cazul, operatorul asociat, reprezentantul și responsabilul cu protecția datelor. |
| Scopuri | Pentru ce folosești datele în fiecare activitate. |
| Persoane și date | Categoriile de persoane vizate și de date personale. |
| Destinatari | Categoriile de destinatari, inclusiv cei din țări terțe sau organizații internaționale. |
| Transferuri, dacă există | Țara sau organizația; documentația garanțiilor în cazul special prevăzut de art. 49 alin. (1) al doilea paragraf. Analiza mecanismului de transfer se face separat. |
| Ștergere și securitate | Acolo unde este posibil: termenele preconizate de ștergere și descrierea generală a măsurilor tehnice și organizatorice. |
Evidența persoanei împuternicite are conținutul distinct prevăzut la alin. (2): contacte, categoriile activităților realizate în numele fiecărui operator, transferurile relevante și, unde este posibil, descrierea generală a măsurilor de securitate. Nu înlocui automat această evidență cu tabelul operatorului.
Exemplu de lucru: cereri primite prin site
| Câmp | Punct de pornire pentru verificare |
|---|---|
| Activitate și scop | Primirea și soluționarea cererilor despre serviciile companiei. |
| Categorii | Persoane care solicită informații; date de contact profesional și conținutul cererii. |
| Sisteme și destinatari | Verifică formularul, furnizorul de e-mail și CRM-ul, inclusiv accesul echipei și subcontractanții. |
| Păstrare | Stabilește un termen justificat pentru cererile fără rezultat și reguli distincte pentru relațiile care devin contractuale. |
| Măsuri | Verifică accesul pe roluri, autentificarea și ștergerea; nu declara măsuri doar pentru că apar într-un model. |
| Transferuri | Verifică locurile de prelucrare, accesul din afara SEE și mecanismul juridic aplicabil. |
Poți adăuga temeiul juridic, responsabilul intern, sistemele, data verificării și legătura cu informarea de confidențialitate. Aceste coloane suplimentare sunt recomandări de organizare; nu toate sunt enumerate expres în art. 30. Temeiul juridic trebuie analizat oricum pentru prelucrare, potrivit art. 6, și nu se deduce automat din folosirea unui formular.
Sursă: GDPR, art. 5 alin. (1) lit. c), e) și alin. (2), art. 6 și art. 30.
Cum folosești modelul, pas cu pas
- Alege fișa potrivită rolului: operator pentru prelucrările ale căror scopuri și mijloace le stabilești; persoană împuternicită pentru prelucrările realizate în numele unui client. Verifică rolul înainte de completare.
- Duplică fișa pentru fiecare activitate sau operator, după caz. Urmărește un flux de la colectare până la ștergere, împreună cu oamenii care lucrează efectiv cu datele.
- Completează ce ai confirmat și marchează separat necunoscutele. Pentru un furnizor, numele aplicației nu îți spune singur unde sunt prelucrate datele sau cine poate avea acces.
- Stabilește cine verifică informațiile lipsă și până când. Revizuiește fișa când se schimbă scopul, datele, aplicațiile sau destinatarii.
Sub 250 de angajați nu înseamnă scutire automată
Articolul 30 alin. (5) are o excepție pentru organizațiile cu mai puțin de 250 de angajați, dar această excepție nu acoperă prelucrările care pot genera riscuri pentru drepturi și libertăți, nu sunt ocazionale sau includ datele speciale ori penale menționate de normă. Condițiile sunt alternative: nu trebuie să apară toate deodată.
De exemplu, gestionarea curentă a personalului nu devine ocazională fiindcă firma are zece angajați. La polul opus, nu poți impune evidența unei activități realmente ocazionale doar din numărul mic de salariați: verifici și celelalte condiții. Dacă nu cunoști frecvența, datele și riscurile, concluzia privind excepția rămâne nedeterminată.
Sursă: GDPR, art. 30 alin. (5), cu trimiterile la art. 9 alin. (1) și art. 10.
Păstrează registrul legat de schimbări
- Desemnează cine anunță introducerea unui sistem sau a unui scop nou.
- Revizuiește activitatea când se schimbă destinatarii, transferurile ori termenele de ștergere.
- Leagă rândul de documentele și verificările relevante; marchează informațiile încă neconfirmate.
- Verifică dacă ștergerea și restricțiile de acces se aplică efectiv. Un registru completat nu dovedește singur conformitatea.
Întrebări despre model
Trebuie să existe câte un rând pentru fiecare client?
- În evidența operatorului
- Registrul descrie activități, categorii de persoane și categorii de date. Nu este o copie a bazei de clienți.
- În evidența persoanei împuternicite
- Articolul 30 alin. (2) cere identificarea fiecărui operator în numele căruia se lucrează și categoriile de activități realizate pentru fiecare. De aceea fișele sunt distincte.
Poți păstra registrul electronic: art. 30 alin. (3) prevede forma scrisă, inclusiv electronică. Fișierul Excel este una dintre formele posibile. Un document completat nu înlocuiește măsurile și verificările descrise în el.
Sursă: GDPR, art. 30 alin. (1)–(4), în forma consolidată indicată mai sus.
Surse și limite
Surse consultate pentru revizia din 14 octombrie 2026. Articolele și versiunile relevante sunt indicate lângă explicații. Exemplele de organizare sunt orientative; analiza obligațiilor unei companii depinde de faptele sale și de forma aplicabilă a normelor.