OPUBLIKOWANO: KWIECIEŃ 2012

ZAKTUALIZOWANO: WRZESIEŃ 2014

Procedury i instrukcje związane z ochroną danych osobowych w żłobku

Opracowała: Aneta Chamczyńska-Penkala, prawnik

Podstawa prawna:

• Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2014 r. poz. 1182),
• Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. z 2004 r. Nr 100 poz. 1024).

Administratorem danych osobowych w żłobku może być sam dyrektor żłobka, wyznaczony przez niego pracownik bądź osoba lub firma z zewnątrz. Jednak bez względu na to, kto administruje danymi osobowymi w żłobku, osoba ta musi zastosować odpowiednie środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych, odpowiednie do zagrożeń oraz kategorii danych objętych ochroną. W szczególności powinna ona zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem Ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (dalej: Ustawa) oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Należy przypomnieć, że pod pojęciem przetwarzania danych osobowych należy rozumieć jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych (art. 7 pkt 2 Ustawy).

Zgodnie z art. 36 ust. 3 Ustawy, w żłobku musi być wyznaczony administrator bezpieczeństwa informacji, chyba że dyrektor sam przetwarza dane osobowe, przy czym nie ma tu znaczenia fakt, czy są one przetwarzane w systemie informatycznym czy na papierze. Przepisy nie określają jego obowiązków, ale zasadne wydaje się wysnucie wniosku, iż ma on nadzorować stosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych, a w szczególności zabezpieczenie danych przez dostępem do nich osób nieuprawnionych czy też utratą, uszkodzeniem bądź zniszczeniem. Zazwyczaj jest nim jeden z pracowników, ale przepisy nie wykluczają zatrudnienia do tego zadania osoby z zewnątrz. Wyznaczenie powinno nastąpić w formie pisemnej.

Do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych (art. 37 Ustawy). Chodzi tu nie tylko o upoważnienie dla osoby, która stale zajmuje się przetwarzaniem danych osobowych, ale również dla osoby, która ad hoc ma się zajmować danymi, np. serwisant w celu usunięcia usterki. Ustawodawca nie wskazał, jaka ma być treść czy forma takiego upoważnienia, jednak z uwagi na wartość dowodową zasadne jest, aby miało ono formę pisemną. Dla dyrektora żłobka ważne jest, aby taka osoba podpisała oświadczenie o znajomości przepisów o ochronie danych osobowych oraz o zachowaniu w tajemnicy informacji, do których ma dostęp.

Administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały wprowadzone do zbioru oraz komu są przekazywane (art. 38 Ustawy). Ustawa