Są szczegółowe wytyczne dla administratorów bezpieczeństwa informacji

Od początku czerwca 2015 r. obowiązuje rozporządzenie ministra administracji i cyfryzacji w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji. Zostało wydane w związku z wejściem przepisów nakładających na administratorów bezpieczeństwa informacji (tzw. ABI) obowiązek dokonywania sprawdzenia zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowywania w tym zakresie sprawozdania dla administratora danych.

Wcześniej w przepisach ustawy o ochronie danych osobowych przewidywano jedynie obowiązek nadzorowania przez administratora bezpieczeństwa informacji przestrzegania zasad ochrony. Nie wskazano natomiast konieczności podejmowania przez administratora bezpieczeństwa informacji konkretnych działań. W związku z wprowadzeniem nowych obowiązków administratora danych, zaistniała konieczność uregulowania trybu i sposobu ich realizacji.

Rozporządzenie określa m.in. tryb i sposób:

1. sprawdzania zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowania sprawozdania w tym zakresie,
2. nadzorowania opracowania i aktualizowania dokumentacji opisującej sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną oraz przestrzegania zasad określonych w dokumentacji.

I tak np. ABI, dokumentując czynności w toku sprawdzenia może utrwalać dane na nośnikach informatycznych oraz wydrukach. Może też:

1. sporządzać notatki z wyjaśnień, przeprowadzonych oględzin oraz z czynności związanych z dostępem do urządzeń, nośników oraz systemów informatycznych służących do przetwarzania danych osobowych;
2. odebrać wyjaśnienia osoby, której czynności objęto sprawdzeniem;
3. sporządzać kopie otrzymanego dokumentu;
4. sporządzać kopie obrazu wyświetlonego na ekranie komputera służącego do przetwarzania lub zabezpieczania danych osobowych;
5. sporządzać kopie zapisów rejestrów systemu informatycznego służącego do przetwarzania danych osobowych lub zapisów konfiguracji technicznych środków zabezpieczeń tego systemu.

Rozporządzenie określa także co administrator danych powinien uwzględnić przygotowując plan sprawdzeń. Ponadto, rozporządzenie zawiera przepisy odnoszące się do przygotowywania przez administratora bezpieczeństwa sprawozdania ze sprawdzenia.