Administrator bezpieczeństwa informacji – nowy sojusznik GIODO

Na mocy nowych przepisów o ochronie danych osobowych GIODO może m.in. zwracać się bezpośrednio do administratorów bezpieczeństwa informacji wpisanych do rejestru ze sprawami z zakresu ochrony danych osobowych. Niewątpliwie świadczy to zacieśnieniu współpracy pomiędzy GIODO a ABI.

Stosownie do nowego przepisu art. 36a ust. 2 pkt 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, głównym zadaniem ABI jest zapewnienie przestrzegania przepisów o ochronie danych osobowych. W szczególności chodzi o sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowywanie w tym zakresie sprawozdania do administratora danych.

Rozporządzenie, które regulowałoby sposób realizacji tych zadań nie zostało jeszcze uchwalone. Jest jednak już jego projekt. Pojawiły się w nim dwie definicje: „sprawdzenia” i „sprawozdania”. Zgodnie z § 2 pkt 3 projektu rozporządzenia pojęcie „sprawdzenia” należy rozumieć jako czynności mające na celu zweryfikowanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych, w szczególności w wyniku zwrócenia się o dokonanie sprawdzenia przez GIODO.

Sprawdzenie może być dokonywane dla administratora danych (§ 3 ust. 1 pkt 1), a także dla GIODO (§ 3 ust. 1 pkt 2). Generalny Inspektor może się zwrócić do ABI wpisanego do rejestru o dokonanie sprawdzenia u administratora danych, który go powołał, wskazując zakres i termin sprawdzenia (art. 19b ust. 1 ustawy). Po dokonaniu sprawdzenia ABI za pośrednictwem administratora danych przedstawia GIODO sprawozdanie (art. 19b ust. 2 ustawy).
Stosownie do § 2 pkt 4 projektu rozporządzenia „sprawozdanie” należy rozumieć jako dokument zawierający elementy określone w art. 36c ustawy (wymagania formalne dla sprawozdania), opracowany przez ABI, po dokonaniu sprawdzenia.

Działania te mogą być utrwalone np. w postaci notatki z czynności lub odpowiedniego protokołu. Na ich podstawie ABI sporządza sprawozdanie. Następnie przekazuje je administratorowi danych w terminie umożliwiającym zachowanie przez ADO terminu wskazanego przez GIODO na podstawie art. 19b ustawy. ABI zobowiązany jest przechowywać sprawozdanie oraz inne dokumenty przez 5 lat od dnia ich sporządzenia.

Od tego roku ABI ma dwojaką rolę. Z jednej strony, w razie jego powołania ABI jest osobą, której pozycja zostanie wzmocniona w wewnętrznej strukturze organizacyjnej administratora danych. Zaś z drugiej ABI staje się pewnego rodzaju pośrednikiem – połączeniem o charakterze administracyjnym – pomiędzy administratorem danych a GIODO.

O ile bezpośrednia podległość pod kierownika jednostki nie budzi zastrzeżeń, to wpływ innych obowiązków na sprawowanie funkcji nie jest już tak jasny. Wymaganie odnośnie innych obowiązków jest dość niejasne i zostanie zapewne doprecyzowane w trakcie najbliższych miesięcy przez praktykę, doktrynę oraz orzecznictwo. Jest to bardzo istotna kwestia, gdyż zazwyczaj funkcja ABI jest łączona z innymi obowiązkami.