iSecure logo
Blog

2015 – rok nowych zadań ABI

Michał Sztąberek
Kategorie

Choć przełom roku obfitował w duże zamieszanie związane z nowelizacją przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, zmiany obowiązujące od 1 stycznia br. to ciągle aktualny temat. Duży blok zagadnień poświęcono Administratorom Bezpieczeństwa Informacji i nie ulega wątpliwości, że wymagania stawiane ABI po zmianie przepisów stanowią przejaw wzmocnienia jego roli.

ABI z misją do spełnienia

Kluczowa nowość dotycząca każdego ABI to obowiązki, które zostały wprost określone w ustawie o ochronie danych osobowych. Od 1 stycznia 2015 r. osoba pełniąca funkcję ABI jest odpowiedzialna za zapewnianie przestrzegania przepisów o ochronie danych osobowych, w szczególności przez:

  • sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie tych danych oraz opracowanie w tym zakresie sprawozdania dla administratora danych,
  • nadzorowanie opracowania i aktualizowania polityki bezpieczeństwa oraz instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych oraz przestrzegania zasad określonych w tych dokumentach,
  •  zapewnianie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie tych danych.

Ciekawą zmianą jest niesformalizowany dotąd obowiązek sprawozdawczości. Ważne jest,
że przeprowadzenie sprawdzenia może odbyć się nie tylko na rzecz administratora danych (np. w formie audytu wewnętrznego), ale także na skutek zwrócenia się GIODO do ABI o dokonanie takiego sprawdzenia. W tym pierwszym przypadku ustawodawca wymaga od ABI przygotowania planu sprawdzeń. W praktyce sprowadza się to do tego, że kwestie takie jak przedmiot, zakres, termin przeprowadzenia sprawdzeń oraz sposób ich dokumentowania muszą być z góry przemyślane i konsekwentnie realizowane przez ABI. Z kolei każde sprawdzenie, czy to dokonywane dla administratora danych (planowo lub doraźnie), czy na skutek zwrócenia się o jego dokonanie przez GIODO, kończy się opracowaniem sprawozdania. Zawierać ma ono m. in wykaz czynności podjętych przez ABI w toku sprawdzenia oraz imiona, nazwiska i stanowiska osób biorących udział w tych czynnościach, czy planowane lub podjęte działania przywracające stan zgodny z prawem, w przypadku zauważenia naruszeń w toku sprawdzenia. Jeszcze zatem w trakcie lub przed sprawdzeniem ABI będzie musiał się dokładnie zastanowić, jak wykonywać swoje zadanie i osiągnąć zamierzony efekt końcowy (czyli sprawozdanie), zgodnie z oczekiwaniami ustawodawcy.
Do kompletu nowych zadań ABI zaliczyć należy także prowadzenie jawnego rejestru zbiorów danych przetwarzanych przez administratora danych, za wyjątkiem zbiorów które podlegają ustawowemu zwolnieniu z obowiązku zgłoszenia do rejestracji (np. zbiory danych pracowników, danych kontaktowych, zbiory, które nie są prowadzone z wykorzystaniem systemów informatycznych,).
Na tym jednak nie koniec, ponieważ sięgając do ustawy o ochronie danych osobowych przekonamy się, że nic nie stoi na przeszkodzie, by ABI miał wyznaczone także inne czynności. Administrator danych może bowiem powierzyć Administratorowi Bezpieczeństwa Informacji wykonywanie innych obowiązków, jeżeli nie naruszy to prawidłowego wykonywania ustawowo określonych zadań.

ABI – wielki nieobecny?

Od początku tego roku powołanie ABI to możliwość dla administratora danych, a nie obowiązek. Należy jednak pamiętać, że jeżeli zabraknie ABI w organizacji, wszystkie wyżej wskazane zadania, przypisane ABI na mocy znowelizowanych przepisów (za wyjątkiem opracowania sprawozdania po sprawdzeniu i prowadzenia jawnego rejestru zbiorów), zostaną automatycznie przeniesione na administratora danych, odpowiedzialnego odtąd za ich wykonanie. Idąc dalej, brak powołania ABI nie wyłącza stosowania przepisów ustawy o ochronie danych osobowych, więc ostatecznie i tak u administratora danych musiałaby być co najmniej jedna osoba zaznajomiona dostatecznie z tematyką ochrony danych osobowych i kompetentna do sprawowania pieczy nad systemem ochrony danych osobowych. Pytanie więc, czy warto rezygnować z obecności ABI?

W praktyce powołanie ABI może się wiązać z określonymi korzyściami, jak np. zwolnienie
z obowiązku rejestracji zbiorów danych osobowych, które temu obowiązkowi podlegają
(za wyjątkiem zbiorów zawierających dane wrażliwe), czy zminimalizowanie ryzyka kontroli
przez inspektorów GIODO na rzecz skorzystania przez organ z uprawnienia zwrócenia się do ABI o przeprowadzenie sprawdzenia (wówczas sprawdzenie wykonywane będzie przez ABI). Posiadając ABI mamy także niejako gwarancję scentralizowanego systemu kontroli nad systemem ochrony danych osobowych. Do instytucji, jako administratorów danych, należy więc podjęcie decyzji, czy skorzystać z uprawnienia, jakim jest powołanie ABI i czy osobę do pełnienia tej funkcji wyznaczyć spośród kadry wewnętrznej, czy może zewnętrznych specjalistów.

Podobne wpisy:

Michał Sztąberek

Ofiary SPAMu (także od Stowarzyszenia „Bądźmy Legalni”)

W konsekwencji otrzymywania licznych zapytań, kierowanych do firmy iSecure w wyniku mailingu prowadzonego przez Stowarzyszenie „Bądźmy Legalni” (z którym, jak wyjaśniamy tutaj, nie wiążą nas żadne relacje), pragniemy przybliżyć kilka istotnych kwestii związanych ze spamem.

Marketingowi mówimy tak, ale…
Michał Sztąberek

Marketingowi mówimy tak, ale…

Dzisiaj będzie krótko o przetwarzaniu danych w celach marketingowych. Stare porzekadło mówi, że „reklama dźwignią handlu” i trudno się z tym nie zgodzić, jednak należy pamiętać, że reklama musi być zgodna z prawem. Zwłaszcza chodzi mi tu o aspekt związany z możliwością wykorzystania czyichś danych osobowych w celach marketingowych.

Jeszcze raz o nowelizacji
Michał Sztąberek

Jeszcze raz o nowelizacji

Tak jak pisałem ostatnio, wszystko wskazuje na to, że lada chwila nowelizacja ustawy o ochronie danych osobowych stanie się faktem. W oczekiwaniu na nią, chciałbym polecić zapoznanie się z tą wersją noweli, która została przekazana przez Sejm do Senatu – można ją pobrać tutaj.
Jednocześnie warto też sięgnąć po uchwałę Senatu, z której wynika, że zostały zgłoszone do pierwotnego tekstu pewne poprawki.