nad ustawš o ułatwieniu warunków wykonywania działalnoœci gospodarczej tzw. IV ustawš deregulacyjnš, w ramach której znowelizowana zostanie również ustawa o ochronie danych osobowych.
W projekcie proponuje się kompleksowe zwolnienie z obowišzku rejestracyji zbiorów danych przez administratora danych, który powołał i zgłosił do rejestracji Generalnemu Inspektorowi administratora bezpieczeństwa informacji (ABI). Zmianie ulegajš przepisy odnoszšce się do zadań ABI i jego usytuowania organizacyjnego w jednostce administratora danych. Powyższe zwolnienie z obowišzku rejestracyjnego nie dotyczy jednakże zbiorów zawierajšcych dane wrażliwe.

Zgodnie z nowelizacjš administrator danych będzie obowišzany zgłosić Generalnemu Inspektorowi powołanie i odwołanie administratora bezpieczeństwa informacji (ABI), a także zmian objętych zgłoszeniem.

Projekt ustawy przewiduje rozszerzenie kompetencji rejestracyjnych Generalnego Inspektora Ochrony Danych Osobowych, który będzie zobowišzany do prowadzenia jawnego rejestru ABI.
Wykreœlenie ABI z rejestru następuje po złożeniu przez administratora danych zawiadomienia o jego odwołaniu. GIODO może z urzędu wydać administratorowi danych decyzję o wykreœleniu ABI z rejestru, jeżeli ABI nie spełnia okreœlonych prawem warunków lub nie wykonuje zadań, dla których został powołany.
Trwajš prace
W przypadku wykreœlenia ABI z rejestru administratorów bezpieczeństwa informacji administrator danych traci prawo do zwolnienia go z obowišzku rejestracji zbiorów. Oznacza to, iż obowišzany będzie w takim przypadku zgłosić wszystkie zbiory danych osobowych, które przetwarza. Nowelizacja przewiduje jednak możliwoœć ponownego zgłoszenia do rejestracji ABI wykreœlonego z rejestru.

System rejestracji ABI ma w prosty sposób zapewnić kontrolę, czy administrator danych faktycznie spełnił warunki niezbędne do zwolnienia go z obowišzku rejestracyjnego.

Jednoczeœnie w ramach proponowanych rozwišzań okreœlony zostaje status ABI, na który składajš się: wymogi stawiane osobie majšcej pełnić omawianš funkcję, organizacyjne usytuowania funkcji oraz dopuszczenie nałożenia na ABI innych zadań niż okreœlonych w ustawie o ochronie danych osobowych. Projektowana nowelizacja przyjmuje, że ABI może wykonywać inne nałożone na niego zadania, które nie naruszajš jego obowišzków dotyczšcych ochrony danych osobowych. Celowo projektowana zmiana unika regulowania kwestii zmierzajšcej w kierunku tworzenia nowej grupy zawodowej

Jeœli chodzi o wymagania stawiane ABI to projekt stanowi, iż administratorem bezpieczeństwa informacji może być osoba, która:
1) ma pełnš zdolnoœć do czynnoœci prawnych oraz korzysta z pełni praw publicznych,
3) posiada odpowiedniš wiedzę w zakresie ochrony danych osobowych,
4) nie była karana za przestępstwo popełnione z winy umyœlnej.

Natomiast do zadań ABI należało będzie:

1) zapewnienie przestrzegania przepisów o ochronie danych osobowych, w szczególnoœci przez:
a) sprawdzanie zgodnoœci przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych,
b) nadzorowanie opracowania i aktualizowania dokumentacji (polityka bezpieczeństwa i instrukcja zarzšdzania systemem informatycznym)
c) zapoznawanie osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych,
2) prowadzenie jawnego rejestru zbiorów danych przetwarzanych przez administratora danych, zawierajšcego nazwę zbioru oraz informacje oraz inne informacje identyfikujšce zbiór.

W œwietle regulacji ABI podlega bezpoœrednio kierownikowi jednostki organizacyjnej lub osobie fizycznej będšcej administratorem danych, którzy zapewniajš œrodki i organizacyjnš odrębnoœć administratora bezpieczeństwa informacji niezbędne do niezależnego wykonywania przez administratora bezpieczeństwa informacji powierzonych mu zadań.

Niezależnie od zwolnienia z obowišzku rejestracyjnego administratora danych, który powołał i zgłosił do rejestracji Generalnemu Inspektorowi administratora bezpieczeństwa informacji, proponuje się wprowadzenie zwolnienia w odniesieniu do zbiorów danych, które nie sš prowadzone w systemie informatycznym, za wyjštkiem zbiorów zawierajšcych dane szczególnie chronione.

Nowelizacja wprowadza możliwoœć uproszczonej kontroli przestrzegania przepisów o ochronie danych osobowych, która będzie wykonywana – na wniosek GIODO – przez niezależnego ABI, zastępujšc w tym zakresie bezpoœredniš kontrolę Generalnego Inspektora.

Po przeprowadzonej kontroli ABI będzie sporzšdzał sprawozdanie zawierajšce informacje okreœlone w ustawie, które następnie przedstawi Generalnemu Inspektorowi.

Nowe przepisy niosš za sobš również szereg wštpliwoœci, którym nierzadko towrzyszš krytyczne refleksje. Wszyscy sš zgodni, że stanowi nowa regulacja to istotne novum w krajowym prawie ochrony danych osobowych. Bezsprzecznie nowelizacja podnosi rangę ABI przez wyznaczenie katalogu jego zadań, podległoœć bezpoœrednio kierownikowi jednostki organizacyjnej, obowišzek zapewnienia ABI œrodków niezbędnych do realizacji jego zadań.

Mnożš się pytania dotyczšce wprowadzanych nowelš instytucji. Jakie skutki w odniesieniu do wczeœniej zgłoszonych zbiorów danych będzie miało wyznaczenie ABI i zgłoszenie tego faktu do GIODO, czy zbiory wczeœniej zgłoszone podlegajš aktualizacji a może tylko wykreœleniu.

Jaka będzie praktyka GIODO w zakresie prawa zlecenia ABI przeprowadzenia kontroli i przedstawienia organowi sprawozdania z tej kontroli.

Jaki status ma ABI w okresie przejœciowym tj. do 30 czerwca 2015 r. Jakie zadania musi a jakie może w tym okresie wykonywać. To najważniejsze, ale niestety nie jedyne zagadnienia wzbudzajšce najwięcej emocji i kontrowersji.


Autor Mariola Malicka Strona autorki artykułu.