OPUBLIKOWANO: 22 CZERWCA 2016
ZAKTUALIZOWANO: 14 STYCZNIA 2018

Zmiany w ochronie danych osobowych

Opracował: Michał Łyszczarz, prawnik, współautor komentarza do Ustawy o systemie oświaty

Podstawa prawna:

• Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2016 r. poz. 922),
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. U.E. z 2016 r. L 119).

14 kwietnia 2016 r. Parlament Europejski przyjął rozporządzenie w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych oraz dyrektywę w sprawie ochrony danych osobowych przetwarzanych na potrzeby ścigania przestępstw. Przywołane regulacje zaczną obowiązywać w państwach członkowskich Unii Europejskiej za dwa lata, ale warto zapoznać się z nimi już teraz, tym bardziej, że będą miały bezpośrednie konsekwencje w sferze obowiązków dyrektorów przedszkoli, szkół i placówek systemu oświaty, w jednostkach tych przetwarzane są bowiem dane osobowe.

Administrator bezpieczeństwa informacji

Zgodnie z treścią art. 36a Ustawy o ochronie danych osobowych administrator danych osobowych (ADO), którym jest dyrektor przedszkola, może powołać administratora bezpieczeństwa informacji (ABI). Do zadań administratora bezpieczeństwa informacji należy:

1. zapewnianie przestrzegania przepisów o ochronie danych osobowych, w szczególności przez:

1. sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych,
2. nadzorowanie opracowania i aktualizowania dokumentacji, o której mowa w art. 36 ust. 2 (opisującej sposób przetwarzania danych), oraz przestrzeganie zasad w niej określonych,
3. zapewnianie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych;

2. prowadzenie rejestru zbiorów danych przetwarzanych przez administratora danych.

Administrator danych osobowych może powierzyć administratorowi bezpieczeństwa informacji wykonywanie innych obowiązków. ABI podlega bezpośrednio dyrektorowi i może nim być osoba, która:

1. ma pełną zdolność do czynności prawnych i korzysta z pełni praw publicznych,
2. ma odpowiednią wiedzę w zakresie ochrony danych osobowych,
3. nie była karana za umyślne przestępstwo.

Tym, na co należy zwrócić szczególną uwagę w przywołanej regulacji, jest fakultatywność powołania administratora bezpieczeństwa informacji. Administrator danych osobowych „może” go powołać, ale nie ma takiego obowiązku. Potwierdzeniem tej tezy jest treść art. 36b uodo., stosownie do którego w przypadku niepowołania administratora bezpieczeństwa informacji jego zadania wykonuje sam administrator danych – czyli dyrektor jednostki.

Zasady te ulegną jednak zmianie wraz z rozpoczęciem obowiązywania Rozporządzenia w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)