OPUBLIKOWANO: 28 SIERPNIA 2015

Nowe rozporządzenia z zakresu ochrony danych osobowych

Opracował: Łukasz Zegarek, prawnik, ekspert kancelarii prawnej Lex Artist, specjalizujący się w dziedzinie ochrony danych osobowych

Podstawa prawna:

• Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2014 poz. 1182 ze zm.),
• Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji (Dz.U. z 2015 r. poz. 745),
• Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych (Dz.U. z 2015 r. poz. 719).

Od 1 stycznia 2015 r. placówki oświatowe nie mają już obowiązku powoływania administratora bezpieczeństwa informacji (ABI). Oznacza to, że obowiązki spoczywające do tej pory na ABI-m przejmuje dyrektor. Jak wiadomo, dyrektor przedszkola jest obciążony wieloma zadaniami, dlatego może zdecydować się na powołanie ABI-ego, warto zatem wiedzieć, jakie są jego obowiązki.

Regulacje prawne

W życie weszły oczekiwane rozporządzenia wykonawcze uzupełniające znowelizowane przepisy Ustawy o ochronie danych osobowych. Jest to Rozporządzenie w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji oraz Rozporządzenie w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych. Ich wejście w życie stało się niezbędne dla prawidłowego funkcjonowania zmodyfikowanej i wzmocnionej pozycji ABI-ego w placówce, która decyduje się na jego powołanie.

Obowiązki ABI-ego

Nowelizacja Ustawy o ochronie danych osobowych z 1 stycznia 2015 r. utworzyła katalog minimalnych obowiązków, jakie musi spełniać ABI. Najważniejsze z nich to:

• sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych (art. 36a ust. 2 pkt 1 uodo.),
• prowadzenie rejestru zbiorów danych przetwarzanych przez administratora danych, z wyjątkiem zbiorów, o których mowa w art. 43 ust. 1, zawierającego nazwę zbioru oraz informacje, o których mowa w art. 41 pkt 2–4a i 7 (art. 36a ust. 2 pkt 2 uodo.).

Przez cztery miesiące ustawodawca nie ustanowił niezbędnych aktów wykonawczych. Nałożono więc na placówki nowe obowiązki, ale bez ich sprecyzowania. Jednym z powodów legislacyjnych opóźnień była żywa dyskusja nad projektami Rozporządzeń.

Nadzór nad dokumentacją

Nadzór to pojęcie z zakresu prawa administracyjnego, uprawniające nie tylko do sprawdzenia stanu faktycznego i porównania ze stanem postulowanym, lecz także zakładające możliwość wywarcia wpływu na kontrolowanego. W jaki sposób kwestia ta została uregulowana w