iSecure logo
Blog

2015 – rok nowych zadań ABI

Michał Sztąberek
Kategorie

Choć przełom roku obfitował w duże zamieszanie związane z nowelizacją przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, zmiany obowiązujące od 1 stycznia br. to ciągle aktualny temat. Duży blok zagadnień poświęcono Administratorom Bezpieczeństwa Informacji i nie ulega wątpliwości, że wymagania stawiane ABI po zmianie przepisów stanowią przejaw wzmocnienia jego roli.

ABI z misją do spełnienia

Kluczowa nowość dotycząca każdego ABI to obowiązki, które zostały wprost określone w ustawie o ochronie danych osobowych. Od 1 stycznia 2015 r. osoba pełniąca funkcję ABI jest odpowiedzialna za zapewnianie przestrzegania przepisów o ochronie danych osobowych, w szczególności przez:

  • sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie tych danych oraz opracowanie w tym zakresie sprawozdania dla administratora danych,
  • nadzorowanie opracowania i aktualizowania polityki bezpieczeństwa oraz instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych oraz przestrzegania zasad określonych w tych dokumentach,
  •  zapewnianie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie tych danych.

Ciekawą zmianą jest niesformalizowany dotąd obowiązek sprawozdawczości. Ważne jest,
że przeprowadzenie sprawdzenia może odbyć się nie tylko na rzecz administratora danych (np. w formie audytu wewnętrznego), ale także na skutek zwrócenia się GIODO do ABI o dokonanie takiego sprawdzenia. W tym pierwszym przypadku ustawodawca wymaga od ABI przygotowania planu sprawdzeń. W praktyce sprowadza się to do tego, że kwestie takie jak przedmiot, zakres, termin przeprowadzenia sprawdzeń oraz sposób ich dokumentowania muszą być z góry przemyślane i konsekwentnie realizowane przez ABI. Z kolei każde sprawdzenie, czy to dokonywane dla administratora danych (planowo lub doraźnie), czy na skutek zwrócenia się o jego dokonanie przez GIODO, kończy się opracowaniem sprawozdania. Zawierać ma ono m. in wykaz czynności podjętych przez ABI w toku sprawdzenia oraz imiona, nazwiska i stanowiska osób biorących udział w tych czynnościach, czy planowane lub podjęte działania przywracające stan zgodny z prawem, w przypadku zauważenia naruszeń w toku sprawdzenia. Jeszcze zatem w trakcie lub przed sprawdzeniem ABI będzie musiał się dokładnie zastanowić, jak wykonywać swoje zadanie i osiągnąć zamierzony efekt końcowy (czyli sprawozdanie), zgodnie z oczekiwaniami ustawodawcy.
Do kompletu nowych zadań ABI zaliczyć należy także prowadzenie jawnego rejestru zbiorów danych przetwarzanych przez administratora danych, za wyjątkiem zbiorów które podlegają ustawowemu zwolnieniu z obowiązku zgłoszenia do rejestracji (np. zbiory danych pracowników, danych kontaktowych, zbiory, które nie są prowadzone z wykorzystaniem systemów informatycznych,).
Na tym jednak nie koniec, ponieważ sięgając do ustawy o ochronie danych osobowych przekonamy się, że nic nie stoi na przeszkodzie, by ABI miał wyznaczone także inne czynności. Administrator danych może bowiem powierzyć Administratorowi Bezpieczeństwa Informacji wykonywanie innych obowiązków, jeżeli nie naruszy to prawidłowego wykonywania ustawowo określonych zadań.

ABI – wielki nieobecny?

Od początku tego roku powołanie ABI to możliwość dla administratora danych, a nie obowiązek. Należy jednak pamiętać, że jeżeli zabraknie ABI w organizacji, wszystkie wyżej wskazane zadania, przypisane ABI na mocy znowelizowanych przepisów (za wyjątkiem opracowania sprawozdania po sprawdzeniu i prowadzenia jawnego rejestru zbiorów), zostaną automatycznie przeniesione na administratora danych, odpowiedzialnego odtąd za ich wykonanie. Idąc dalej, brak powołania ABI nie wyłącza stosowania przepisów ustawy o ochronie danych osobowych, więc ostatecznie i tak u administratora danych musiałaby być co najmniej jedna osoba zaznajomiona dostatecznie z tematyką ochrony danych osobowych i kompetentna do sprawowania pieczy nad systemem ochrony danych osobowych. Pytanie więc, czy warto rezygnować z obecności ABI?

W praktyce powołanie ABI może się wiązać z określonymi korzyściami, jak np. zwolnienie
z obowiązku rejestracji zbiorów danych osobowych, które temu obowiązkowi podlegają
(za wyjątkiem zbiorów zawierających dane wrażliwe), czy zminimalizowanie ryzyka kontroli
przez inspektorów GIODO na rzecz skorzystania przez organ z uprawnienia zwrócenia się do ABI o przeprowadzenie sprawdzenia (wówczas sprawdzenie wykonywane będzie przez ABI). Posiadając ABI mamy także niejako gwarancję scentralizowanego systemu kontroli nad systemem ochrony danych osobowych. Do instytucji, jako administratorów danych, należy więc podjęcie decyzji, czy skorzystać z uprawnienia, jakim jest powołanie ABI i czy osobę do pełnienia tej funkcji wyznaczyć spośród kadry wewnętrznej, czy może zewnętrznych specjalistów.

Podobne wpisy:

Dlaczego RODO nie zabije blockchain i technologii rejestrów rozproszonych
Michał Sztąberek

ABI w drodze do inspektora…

Generalny Inspektor Ochrony Danych Osobowych wraz ze wsparciem Stowarzyszenia Administratorów Bezpieczeństwa Informacji dąży do zmian w ustawie o ochronie danych osobowych. Chodzi tu o swego rodzaju deregulację obecnie obowiązujących przepisów w związku z planowanymi zmianami w prawie Unii Europejskiej (UE), która już przystąpiła do reformy przepisów w tym zakresie.

Prevent Magazine - zaprenumeruj już dziś
Michał Sztąberek

Prevent Magazine – zaprenumeruj już dziś

Już 15 maja bieżącego roku na świat przyjdzie nasze długo wyczekiwane dziecko – Prevent Magazine, a iSecure stanie się, oprócz firmy doradczej, także wydawnictwem.

Bezpieczeństwo w sieci
Michał Sztąberek

Bezpieczeństwo w sieci

Podczas ostatniej edycji Social Impact, imprezy organizowanej przez naszych przyjaciół z firmy IRCenter, Maria Lothamer miała okazję opowiedzieć o bezpieczeństwie w sieci pod kątem social mediów. Poniżej prezentujemy slajdy z tej prezentacji.