OPUBLIKOWANO: 15 GRUDNIA 2017
Powołanie inspektora ochrony danych osobowych
Podstawa prawna:
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE z 4.05.2016 r. L 119/1),
- Projekt ustawy o ochronie danych osobowych (z 12 września 2017 r.),
- Projekt ustawy Przepisy wprowadzające ustawę o ochronie danych osobowych (z 12 września 2017 r.).
- Ustawa z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz.U. z 2017 r. poz. 2077),
- Ustawa z dnia 7 września 1991 r. o systemie oświaty (t.j. Dz.U. z 2017 r. poz. 2198),
- Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2016 r. poz. 922),
- Rozporządzenie MAiC z dnia 10 grudnia 2014 r. w sprawie wzorów zgłoszeń powołania i odwołania administratora bezpieczeństwa informacji (Dz.U. z 2014 r. poz. 1934),
- Rozporządzenie MAiC z dnia 11 maja 2015 r. w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji (Dz.U. z 2015 r. poz. 745).
Zmiany w zakresie ochrony danych osobowych wprowadzają nowe regulacje związane z powołaniem inspektora ochrony danych, który ma zastąpić obecnego administratora bezpieczeństwa informacji.
W poprzednim miesiącu rozpoczęliśmy cykl artykułów dotyczący zmian w zakresie ochrony danych osobowych, jakie zajdą po 25 maja 2018 r. W niniejszym artykule zajmiemy się powoływaniem inspektora ochrony danych, którego zadaniem będzie wspieranie przetwarzania danych w przedszkolu zgodnie z dyrektywami rozporządzenia unijnego.
Przedszkola niesamorządowe i niepubliczne nie są jednostkami budżetowymi i nie zostały wskazane jako podmioty publiczne w rozumieniu przepisów rozporządzenia unijnego. Oznacza to, że w ich przypadku wyznaczenie inspektora jest dobrowolne. Warto jednak, by dyrektorzy tych placówek zapoznali się z treścią zaplanowanych zmian. Mimo że powołanie inspektora danych nie będzie dla nich obligatoryjne, może okazać się pożytecznym rozwiązaniem.
Przypomnijmy
Od 25 maja 2018 r. zaczną obowiązywać przepisy unijnego Rozporządzenia w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej RODO). Regulacje w nim zawarte stosowane będą bezpośrednio (również w przedszkolach), ale resort cyfryzacji przygotował Projekt ustawy o ochronie danych osobowych, dzięki której polskie i unijne przepisy będą się uzupełniać. Polskie przepisy muszą zapewniać skuteczne stosowanie przepisów Rozporządzenia, nie powielając jego rozwiązań ani nie stojąc z nimi w sprzeczności. W tym celu konieczne jest – oprócz uchwalenia nowej Ustawy o ochronie danych osobowych – także dokonanie licznych zmian w innych ustawach, zapewniających dostosowanie krajowego porządku prawnego do nowych norm prawnych. Z uwagi na ich liczbę zdecydowano się przygotować przepisy przejściowe (Projekt ustawy przepisy wprowadzające ustawę o ochronie danych osobowych).
Wyznaczenie inspektora ochrony danych
Rozporządzenie unijne wymaga od przedszkoli publicznych obowiązkowego wyznaczenia inspektora ochrony danych osobowych. Co prawda obecnie obowiązujące przepisy już określają zasady powoływania specjalistów, którzy zajmują się przetwarzaniem danych osobowych w przedszkolu, to jednak zatrudnianie administratora bezpieczeństwa informacji nie jest obowiązkowe. Zmieni się to wraz z wejściem w życie RODO, które reguluje kwestię wyznaczania inspektorów w przepisach art. 37–39. ABI-ego zastąpi obowiązkowo powoływany inspektor ochrony danych osobowych, o czym przesądza art. 37 ust. 1 lit. a.
Rozporządzenie unijne w art. 37 nie wskazuje bezpośrednio, że administrator danych osobowych wyznacza inspektora w jednostkach oświatowych. Stanowi jedynie, że należy to zrobić, gdy przetwarzania danych dokonują organ lub podmiot publiczny. Zatem dlaczego obowiązek ten dotyczy również przedszkoli? Otóż definicję „organów” i „podmiotów publicznych” znajdziemy w projektowanej Ustawie o ochronie danych osobowych, która uzupełni tutaj przepisy RODO. W rozdziale 2 (art. 4–5) nowej Ustawy uregulowano tryb notyfikacji inspektorów ochrony danych osobowych i podmioty obowiązane w polskim porządku prawnym do wyznaczenia inspektora ochrony danych osobowych. I tak w art. 4 ww. Ustawy wskazano, że podmiotami publicznymi obowiązanymi do wyznaczenia inspektora są podmioty publiczne wskazane w art. 9
