HITY GOFINU

Na mocy zmian wprowadzonych do ustawy o ochronie danych osobowych z dniem 1 stycznia br. administratorzy danych (np. przedsiębiorcy będący spółkami prawa handlowego lub będący osobami fizycznymi) uzyskali możliwość powoływania w swoich firmach administratorów bezpieczeństwa informacji (ABI) na nowych zasadach. Obecnie powołanie w firmie ABI jest uprawnieniem, a nie obowiązkiem administratora danych. Powołanie ABI i zgłoszenie go do rejestru administratorów bezpieczeństwa informacji prowadzonego przez Generalnego Inspektora Ochrony Danych Osobowych powoduje, że administrator danych nie ma obowiązku zgłaszania do rejestracji u GIODO zbiorów przetwarzanych przez siebie danych. Taki obowiązek obciąża natomiast tych administratorów danych, którzy nie powołają w swoich firmach ABI. Jakie jeszcze obowiązki obciążają tych administratorów danych, którzy nie powołali ABI?

Co, jeśli nie zgłoszono ABI?

Ci przedsiębiorcy, którzy powołali ABI w swoich firmach na podstawie przepisów obowiązujących przed 1 stycznia 2015 r., byli zobowiązani zgłosić ich do rejestru administratorów bezpieczeństwa informacji prowadzonego przez GIODO, na nowych zasadach do 30 czerwca tego roku. Jeżeli takiego zgłoszenia nie dokonali, to po tej dacie dotychczasowi ABI przestali pełnić tę funkcję z mocy prawa, a wszelkie obowiązki w zakresie zapewniania przestrzegania przepisów o ochronie danych osobowych przejęli administratorzy danych.

Generalny Inspektor Ochrony Danych Osobowych twierdzi, że odsetek podmiotów, które powołały ABI, jest jednak wciąż zbyt mały. To zaś oznacza, że duża część przedsiębiorców wybiera ten model zarządzania ochroną danych w firmie, który zakłada niepowoływanie ABI z jednoczesnym obowiązkiem zgłaszania do rejestracji Generalnemu Inspektorowi zbiorów danych osobowych. Jeżeli administrator danych nie powołał w swojej firmie ABI, to przetwarzanie danych może rozpocząć dopiero po zgłoszeniu zbioru danych do rejestracji Generalnemu Inspektorowi, chyba że ustawa zwalnia go z tego obowiązku. Jeżeli zaś chodzi o tzw. dane wrażliwe (patrz ramka), to administrator danych może rozpocząć ich przetwarzanie w zbiorze danych po zarejestrowaniu zbioru przez GIODO (nie już w momencie dokonania zgłoszenia do GIODO).

Trzeba zauważyć, że nie wszystkie zbiory danych podlegają obowiązkowi zgłaszania ich do rejestracji u GIODO. Katalog administratorów danych, którzy podlegają takiemu zwolnieniu, i którzy nawet jeśli nie powołają ABI nie muszą dokonywać wspomnianych zgłoszeń, zawiera art. 43 ust. 1 i 1a ustawy o ochronie danych osobowych (patrz ramka).

Jakie obowiązki ma administrator danych?

Administrator danych zobowiązany jest zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. Przede wszystkim powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Administrator danych prowadzi dokumentację opisującą sposób przetwarzania danych oraz środki, które stosuje w celu zabezpieczania danych.

Przedsiębiorca, który zdecyduje się nie powoływać w swojej firmie ABI, zobowiązany jest wykonywać wszystkie te obowiązki, które obciążają ABI, z wyłączeniem obowiązku sporządzania przez administratora bezpieczeństwa informacji sprawozdania dla administratora danych. W związku z tym zapewnia przestrzeganie przepisów o ochronie danych osobowych, w szczególności przez:

• sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych,
   
• nadzorowanie opracowania i aktualizowania dokumentacji opisującej sposób przetwarzania danych oraz środki, które stosuje w celu zabezpieczania danych, a także przestrzegania zasad w niej określonych,
   
• zapewnianie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych.

Do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych.

Osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia.

Administrator danych jest zobowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane. W związku z tym administrator danych musi prowadzić ewidencję osób upoważnionych do ich przetwarzania. Obecnie nie obowiązuje żaden urzędowy wzór takiego upoważnienia, powinien on jednak zawierać:

• imię i nazwisko osoby upoważnionej,
   
• datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych,
   
• identyfikator, jeżeli dane są przetwarzane w systemie informatycznym.

Zgłoszenie zbiorów danych do GIODO

Jak już wspomniano, administrator danych jest zobowiązany zgłosić zbiór danych do rejestracji Generalnemu Inspektorowi, z wyjątkiem przypadków, o których mowa w art. 43 ust. 1 i 1a ustawy.

Takie zgłoszenie powinno zawierać:

• wniosek o wpisanie zbioru do rejestru zbiorów danych osobowych,
   
• oznaczenie administratora danych i adres jego siedziby lub miejsca zamieszkania, w tym numer REGON, jeżeli został mu nadany, oraz podstawę prawną upoważniającą do prowadzenia zbioru, a w przypadku powierzenia przetwarzania danych innemu podmiotowi lub wyznaczenia takiego podmiotu, oznaczenie tego podmiotu i adres jego siedziby lub miejsca zamieszkania,
   
• cel przetwarzania danych,
   
• opis kategorii osób, których dane dotyczą, oraz zakres przetwarzanych danych,
   
• sposób zbierania oraz udostępniania danych,
   
• informację o odbiorcach lub kategoriach odbiorców, którym dane mogą być przekazywane,
   
• opis środków technicznych i organizacyjnych zastosowanych w celu ochrony tych danych,
   
• informację o sposobie wypełnienia warunków technicznych i organizacyjnych,
   
• informację dotyczącą ewentualnego przekazywania danych do państwa trzeciego.

Zgłoszenia można dokonać także drogą elektroniczną, z użyciem bezpiecznego podpisu elektronicznego. Zgłoszenie może również zostać przekazane drogą elektroniczną bez użycia podpisu elektronicznego, jeżeli zostanie uzupełnione zgłoszeniem w formie papierowej. Aplikacja umożliwiająca skuteczne dokonanie zgłoszenia drogą elektroniczną znajduje się na stronie internetowej GIODO - w systemie "platforma e-GIODO" (www.giodo.gov.pl). Wzór takiego zgłoszenia zawiera rozporządzenie Ministra Administracji i Cyfryzacji w sprawie wzoru zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (Dz. U. z 2008 r. nr 229, poz. 1536).

Administrator danych jest zobowiązany zgłaszać Generalnemu Inspektorowi każdą zmianę informacji dotyczących danego zbioru, w terminie 30 dni od dnia dokonania modyfikacji w zbiorze danych. Generalny Inspektor prowadzi ogólnokrajowy, jawny rejestr zbiorów danych osobowych. W związku z tym, że rejestr jest ogólnodostępny, to każdy ma prawo go przeglądać. Na żądanie administratora danych może być wydane zaświadczenie o zarejestrowaniu zgłoszonego przez niego zbioru danych. Wykreślenie z rejestru zbiorów danych osobowych jest dokonywane, w drodze decyzji administracyjnej, jeżeli:

• zaprzestano przetwarzania danych w zarejestrowanym zbiorze,
   
• rejestracji dokonano z naruszeniem prawa.

Administrator danych w każdym czasie może powołać ABI. Termin graniczny do 30 czerwca br. dotyczył tylko tych administratorów, którzy chcieli, by dotychczasowi ABI pełnili u nich w firmach dalej tę funkcję, na nowych zasadach. Jeśli administrator danych zdecyduje się powołać ABI, ma 30 dni na zgłoszenie go do rejestru prowadzonego przez GIODO. W ciągu 14 dni powinien poinformować GIODO o wszelkich zmianach dotyczących powołanego ABI, a w ciągu 30 dni musi go powiadomić o ewentualnym odwołaniu go z tego stanowiska.

Dokumentacja dotycząca ochrony danych

Zakres dokumentacji, jaki powinien opracować administrator danych w zakresie zapewnienia prawidłowej ochrony danych osobowych, określa rozporządzenie Ministra Spraw Wewnętrznych i Administracji w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. nr 100, poz. 1024). Na tę dokumentację składa się polityka bezpieczeństwa i instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych. Dokumenty te powinny być prowadzone w formie pisemnej.

Polityka bezpieczeństwa powinna zawierać:

• wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe,
   
• wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych,
   
• opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi,
   
• sposób przepływu danych pomiędzy poszczególnymi systemami,
   
• określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych.

Z kolei instrukcja powinna zawierać w szczególności:

• procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności,
   
• stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem,
   
• procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników, - procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania,
   
• sposób, miejsce i okres przechowywania elektronicznych nośników informacji zawierających dane osobowe oraz kopii zapasowych,
   
• sposób zabezpieczenia systemu informatycznego,
   
• procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych.

System informatyczny, w którym przetwarzane są dane osobowe, musi mieć określony poziom bezpieczeństwa, uzależniony od kategorii danych, które podlegają przetwarzaniu. Wyróżnia się trzy poziomy:

• podstawowy,
   
• podwyższony,
   
• wysoki.

Poziom podstawowy ma zastosowanie, gdy w systemie informatycznym nie są przetwarzane dane wrażliwe oraz żadne z urządzeń systemu informatycznego, służącego do przetwarzania danych osobowych, nie jest połączone z siecią publiczną. Opis środków bezpieczeństwa stosowany na wspomnianych poziomach określa załącznik do powołanego rozporządzenia.

Podstawa prawna

Ustawa z dnia 29.08.1997 r. o ochronie danych osobowych (Dz. U. z 2014 r. poz. 1182 ze zm.)