Ochrona danych osobowych - wydanie kwiecień 2015 r. - ebook

Problemy ze zgłaszaniem ABI

Michał Bienias

aplikant radcowski przy Okręgowej Izbie Radców Prawnych w Warszawie, prawnik w Kancelarii Prawnej Traple, Konarski, Podrecki i Wspólnicy

Z początkiem 2015 roku weszły w życie nowe przepisy ustawy o ochronie danych osobowych. Mimo że nie wydano jeszcze najważniejszych rozporządzeń wykonawczych do ustawy, to administratorzy danych osobowych już teraz muszą realizować obowiązki wynikające ze znowelizowanych przepisów np. powołać i zarejestrować ABI.

Ogólnopolski rejestr ABI

Generalny Inspektor Ochrony Danych Osobowych 26 stycznia 2015 r. uruchomił system informatyczny zapewniający publiczny dostęp do rejestru ABI. Jego prowadzenie przewiduje art. 46c uodo. Zawiera on informacje o powołanych przez administratorów danych i zarejestrowanych w GIODO ABI.

Publiczny dostęp do rejestru udostępniono w ramach rozbudowy funkcjonującej od 2006 roku elektronicznej platformy – e-GIODO1.

Zgodnie ze stanem z 8 marca 2015 r. w rejestrze widnieją dane 291 administratorów bezpieczeństwa informacji. W przeważającej większości są to ABI powołani przez jednostki sektora finansów publicznych, m.in. szkoły, sądy, komendy straży granicznej czy policji itd. Może to oznaczać, że wiele podmiotów komercyjnych wciąż rozważa, który z dwóch modeli wypełniania obowiązków ustawy wybrać, tj.:

- powołanie ABI,
- samodzielne wykonywanie obowiązków związanych z ochroną danych przez ADO.

+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| - ważne |
| |
| Do 30 czerwca 2015 r. ABI wykonuje nowe obowiązki nadane mu znowelizowaną ustawą o ochronie danych osobowych, mimo że nie został zgłoszony do rejestru GIODO (art. 35 ustawy o ułatwieniu wykonywania działalności gospodarczej). W razie niezgłoszenia do rejestru, od 1 lipca 2015 r. dotychczasowi ABI będą pozbawieni uprawnień i obowiązków wynikających z uodo. |
+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+

Mimo zwolnienia z obowiązku rejestracji zbiorów danych w razie powołania ABI i zgłoszenia go do GIODO (art. 43 ust. 1a uodo), grudzień 2014 roku był rekordowym miesiącem pod względem ilości zgłoszeń zbiorów danych do rejestracji.

W styczniu 2015 roku liczba zbiorów danych zgłoszonych do rejestru także była porównywalna do liczby sprzed nowelizacji2. Oznacza to, że ADO nie skorzystali jeszcze ze zwolnienia, jakie przyniosła im nowelizacja3.

Zgłaszanie ABI

W Dzienniku Ustaw 29 grudnia 2014 r. opublikowano rozporządzenie ministra administracji i cyfryzacji z 10 grudnia 2014 r. w sprawie wzorów zgłoszeń powołania i odwołania administratora bezpieczeństwa informacji (Dz.U. poz. 1934)4.

Przedstawiciele biura GIODO zwracają uwagę, że ADO mają trudności ze stosowaniem wzoru zgłoszenia ABI. Niemal połowa zgłoszeń na formularzu stanowiącym załącznik do rozporządzenia zawierała błąd formalny. Warunkiem poprawnego wypełnienia zgłoszenia jest podpisanie formularza przez osobę, która reprezentuje ADO.

Formularz był bardzo często podpisywany przez ABI. Niektórzy ADO wysyłali zgłoszenia na innym dokumencie niż formularz ustanowiony przez rozporządzenie.

Pełniący obowiązki GIODO Andrzej Lewiński wskazał także na dotychczasową realizację nowych przepisów o transferach danych osobowych do państw trzecich. Zauważył, że wpłynął tylko jeden wniosek o zatwierdzenie wiążących reguł korporacyjnych. Wnioskodawcą jest rodzima międzynarodowa spółka KGHM.

------------------------------------------------------------------------

1 Rejestr dostępny jest pod adresem: http://egiodo.giodo.gov.pl. Ostatni dostęp: 8.03.15 r.

2 Komentarze przedstawicieli biura GIODO wyrażone podczas Dnia Ochrony Danych Osobowych Rady Europy – transmisja dostępna pod adresem: http://giodo.gov.pl/410/id_art/8303/j/pl Ostatni dostęp: 8.03.15 r.

3 Obowiązkowi rejestracji zbiorów danych osobowych, z wyjątkiem zbiorów zawierających dane sensytywne, nie podlega administrator danych, który powołał ABI i zgłosił go GIODO do rejestracji (art. 43 ust. 1a uodo).

4 Tekst dostępny pod adresem: http://dziennikustaw.gov.pl/du/2014/1934/1 Ostatni dostęp. 9.03.15 r.

Zasady prowadzenia zbiorów danych osobowych przez ABI

Znowelizowana ustawa o ochronie danych osobowych nakłada na powołanego i zgłoszonego do GIODO administratora bezpieczeństwa informacji obowiązek prowadzenia rejestru zbiorów danych. Wciąż nie ma jednak rozporządzenia, które regulowałoby tę kwestię.

Na stronie Rządowego Centrum Legislacji w zakładce „Rządowy proces legislacyjny”, a także na stronie Biuletynu Informacji Publicznej Ministerstwa Administracji i Cyfryzacji 14 stycznia 2015 r. opublikowano nowy tekst projektu rozporządzenia kolejnego rozporządzenia do znowelizowanej ustawy o ochronie danych osobowych.

Jest to rozporządzenie ministra administracji i cyfryzacji w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych. Nowy tekst projektu uwzględnia ustalenia konferencji uzgodnieniowej, która odbyła się 9 stycznia 2015 r. oraz uwagi zgłoszone w trybie roboczym przez Rządowe Centrum Legislacji1.

Należy bowiem przypomnieć, że nowym zadaniem administratora bezpieczeństwa informacji jest prowadzenie jawnego rejestru zbiorów danych przetwarzanych przez Administratora Danych Osobowych (art. 36a ust. 2 pkt 2 ustawy o ochronie danych osobowych).

Co znajdzie się w rejestrze

Rozporządzenie MAiC reguluje sposób prowadzenia rejestru zbiorów danych osobowych przez administratorów bezpieczeństwa informacji. Precyzuje ono postać prowadzenia rejestru, dopuszczając oprócz postaci papierowej także postać elektroniczną rejestru.

Darmowy fragment