OPUBLIKOWANO: PAŹDZIERNIK 2013

ZAKTUALIZOWANO: WRZESIEŃ 2014

Funkcja administratora danych osobowych i administratora bezpieczeństwa informacji w żłobku niepublicznym

Opracował: Łukasz Zegarek, prawnik, ekspert kancelarii prawnej Lex Artist, specjalizujący się w dziedzinie ochrony danych osobowych

Podstawa prawna:

• Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2014 r. poz. 1182),
• Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. z 2004 r. Nr 100 poz. 1024).

W Ustawie o ochronie danych osobowych występują dwa istotne pojęcia, których znaczenie nie zawsze jest w pełni zrozumiałe. Chodzi o administratora danych osobowych (ADO) i administratora bezpieczeństwa informacji (ABI). Kim są te podmioty? Jaką funkcję pełnią w żłobku niepublicznym? Czym się od siebie różnią? Czy można pełnić jednocześnie obie te funkcje? Niniejszy artykuł ma na celu wyjaśnienie tych kwestii.

Administrator danych osobowych

Zgodnie z art. 7 pkt 4 Ustawy o ochronie danych osobowych przez administratora danych osobowych rozumie się „organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych”. Zatem podmiotami tymi są:

• organy państwowe lub samorządowe,
• państwowe lub komunalne jednostki organizacyjne,
• podmioty niepubliczne realizujące zadania publiczne,
• osoby prawne, jednostki organizacyjne nieposiadające osobowości prawnej lub osoby fizyczne, przetwarzające dane w związku ze swą działalnością zarobkową, zawodową albo dla realizacji celów statutowych.

Żłobek niepubliczny należy zakwalifikować jako ADO. Spełnia on bowiem wszystkie warunki definicyjne wskazane w art. 7 pkt 4 uodo., a więc jest administratorem danych z mocy prawa. Pełnienia tej funkcji nie można przenieść na kogoś innego (np. poprzez umowę), dlatego udzielenie przez ADO pełnomocnictwa (np. do złożenia wniosku rejestracyjnego do GIODO) nie pozbawia go statusu administratora danych. Inaczej mówiąc – określony podmiot albo jest, albo nie jest administratorem danych osobowych i nie ma w tym zakresie żadnej dobrowolności. Aby jednak żłobek (jako ADO) mógł realizować nałożone nań obowiązki (np. dotyczące nadawania upoważnień), potrzebna jest osoba wykonująca je w jego imieniu. Osobami tymi w odniesieniu do wskazanych placówek są ich dyrektorzy. To oni bowiem nimi kierują.

żłobek = administrator danych osobowych

dyrektor = osoba reprezentująca administratora danych osobowych

Administrator bezpieczeństwa informacji

Z kolei o administratorze bezpieczeństwa informacji (ABI) mowa jest w art. 36 uodo. Zgodnie z ust. 3 wskazanego artykułu: „Administrator danych wyznacza administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony, o których mowa w ust. 1, chyba że sam wykonuje te czynności”. Administrator danych osobowych może więc sam pełnić tę funkcję lub wyznaczyć inną osobę (np. innego pracownika żłobka). Istnieje również możliwość outsourcingu ABI (w takiej sytuacji administratorem bezpieczeństwa informacji będzie pracownik zewnętrznej firmy, która zajmuje się ochroną danych osobowych). Zawsze jednak należy pamiętać, że niezależnie od tego, która z tych trzech możliwości zostanie wybrana, każdy żłobek musi mieć w swojej strukturze administratora bezpieczeństwa informacji – w postaci działającego w imieniu ADO dyrektora bądź innej wyznaczonej osoby.

Oprócz art. 36 ust. 3 uodo. dalsze przepisy Ustawy