Prowadzenie rejestru zbiorów przez ABI – rozporządzenie już obowiązuje

Ustawodawca dał ABI dowolność – rejestr może być prowadzony w formie papierowej bądź elektronicznej. Administrator bezpieczeństwa informacji powinien zamieścić w rejestrze następujące informacje:

1. nazwa zbioru danych;

2. oznaczenie administratora danych i adres jego siedziby lub miejsca zamieszkania oraz numer identyfikacyjny rejestru podmiotów gospodarki narodowej, jeżeli został mu nadany;

3. oznaczenie przedstawiciela administratora danych, o którym mowa w art. 31a ustawy, i adres jego siedziby lub miejsca zamieszkania – w przypadku wyznaczenia takiego podmiotu;

4. oznaczenie podmiotu, któremu powierzono przetwarzanie danych ze zbioru na podstawie art. 31 ustawy, i adres jego siedziby lub miejsca zamieszkania – w przypadku powierzenia przetwarzania danych temu podmiotowi;

5. podstawa prawna upoważniająca do prowadzenia zbioru danych;

6. cel przetwarzania danych w zbiorze;

7. opis kategorii osób, których dane są przetwarzane w zbiorze;

8. zakres danych przetwarzanych w zbiorze;

9. sposób zbierania danych do zbioru, w szczególności informacja, czy dane do zbioru są zbierane od osób, których dotyczą, czy z innych źródeł niż osoba, której dane dotyczą;

10. sposób udostępniania danych ze zbioru, w szczególności informacja, czy dane ze zbioru są udostępniane innym podmiotom niż upoważnione na podstawie przepisów prawa;

11. oznaczenie odbiorcy danych lub kategorii odbiorców, którym dane mogą być przekazywane;

12. informacja dotycząca ewentualnego przekazywania danych do państwa trzeciego.
    Zbiór danych powinien być wpisany do rejestru przed rozpoczęciem jego przetwarzania. Zbiór powinien być też na bieżąco aktualizowany. W przypadku wykreślenia zbioru danych z rejestru w rejestrze pozostawia się nazwę zbioru danych, datę wpisania zbioru danych oraz datę ostatniej aktualizacji informacji dotyczących tego zbioru wraz z adnotacją, że jest to data wykreślenia zbioru z rejestru.

Rejestr zbiorów danych prowadzony przez ABI powinien być jawny. Oznacza to, że dane w nim zamieszczone muszą być udostępnione w powszechnie zrozumiałej formie. W przypadku prowadzenia rejestru w postaci elektronicznej administrator bezpieczeństwa informacji udostępnia rejestr do przeglądania:

• na stronie internetowej administratora danych, przy czym na stronie głównej umieszcza się odwołanie umożliwiające bezpośredni dostęp do rejestru, lub

• na stanowisku dostępowym w systemie informatycznym administratora danych znajdującym się w siedzibie lub miejscu zamieszkania tego administratora, lub

• przez sporządzenie wydruku rejestru z systemu informatycznego administratora danych.

W przypadku prowadzenia rejestru w postaci papierowej administrator bezpieczeństwa informacji udostępnia każdemu zainteresowanemu treść rejestru do przeglądania w siedzibie lub miejscu zamieszkania administratora danych.