Ochrona danych osobowych: nowe obowiązki dla przedsiębiorców

Ci, którzy nie zdecydują się na wyznaczenie administratora bezpieczeństwa informacji, muszą sami wypełniać nowe obowiązki – pisze prawnik Łukasz Czynienik.

Aktualizacja: 23.03.2015 08:37 Publikacja: 23.03.2015 08:28

Ochrona danych osobowych: nowe obowiązki dla przedsiębiorców

Foto: materiały prasowe

Dużo się mówi o korzyściach płynących ze zmiany ustawy o ochronie danych osobowych (uodo), a niewiele o nowych obowiązkach, jakie przy tej okazji nałożono na przedsiębiorców przetwarzających dane. Od 1 stycznia 2015 r. nie ma już żadnych wątpliwości, że powołanie administratora bezpieczeństwa informacji (ABI) jest dobrowolne. Decyzja w tym zakresie należy wyłącznie do administratora danych.

ABI – powoływać czy nie

Główną, ale też jedyną z formalnego punktu widzenia, korzyścią płynącą z powołania ABI i zgłoszenia tego faktu do generalnego inspektora ochrony danych osobowych jest zwolnienie administratora danych z obowiązku rejestracji ich zbioru. Warunkiem jest jednak, by zbiór ten nie zawierał danych wrażliwych w rozumieniu uodo, np. informacji o stanie zdrowia czy wyrokach skazujących. Przetwarzanie danych wrażliwych przy jednoczesnym powołaniu ABI nie zwalnia z obowiązku rejestracji.

Przedsiębiorcy, którzy zdecydują się na powołanie ABI, mogą mieć większą pewność, że przestrzegają przepisów o ochronie danych. Mogą też oczekiwać zwiększenia bezpieczeństwa samych danych. Zgodnie bowiem z uodo ABI może zostać osoba, która ma odpowiednią wiedzę w zakresie ochrony danych osobowych. Ustawa nie przewiduje obowiązku sprawdzenia wiedzy i kwalifikacji kandydata, ale należy założyć, że zadbają o to sami przedsiębiorcy.

Druga strona medalu to dodatkowe koszty związane z powołaniem ABI. Można do nich zaliczyć koszt wynagrodzenia ABI i jego zastępców – ich powołanie w dużych organizacjach może być konieczne. Znaczne rozszerzenie obowiązków ABI oraz wymóg niezależności i organizacyjnej odrębności w wykonywaniu zadań sprawiają, że w praktyce przedsiębiorcy będą zmuszeni do utworzenia mu odrębnego stanowiska pracy.

Dodatkowy koszt to również czas pracowników obsługujących zapytania i żądania ABI w trakcie przeprowadzanego przez niego obowiązkowego okresowego sprawdzania zgodności przetwarzania danych z przepisami o ich ochronie. Kosztem dla przedsiębiorców będzie też wdrożenie zaleceń ABI zawartych w sprawozdaniach z kontroli.

Wprowadzone zmiany precyzują zakres obowiązków ABI. Należy do nich prowadzenie rejestru zbiorów danych przetwarzanych przez administratora oraz zapewnianie przestrzegania przepisów o ochronie danych. Realizacja drugiego zadania ma polegać m.in. na sprawdzaniu zgodności przetwarzania danych z przepisami oraz opracowaniu sprawozdania dla administratora danych.

Opublikowany pod koniec grudnia 2014 r. projekt rozporządzenia precyzuje sposób wypełniania przez ABI lub samego administratora danych (w razie niepowołania ABI) nowych obowiązków. Sęk w tym, że do dziś nie zostało ono przyjęte. Co więcej, w trakcie konsultacji społecznych zgłoszono blisko 150 poprawek i Ministerstwo Administracji i Cyfryzacji pracuje nad nową wersją aktu.

Zgodnie z dotychczasowym brzmieniem projektu sprawdzanie zgodności przetwarzania danych osobowych z przepisami będzie miało charakter planowy lub pozaplanowy. Będą to tzw. sprawdzenia wewnętrzne, prowadzone dla administratora danych. Niezależne od tego ABI będzie przeprowadzał sprawdzenia na wniosek GIODO, co jednak nie wyłącza możliwości przeprowadzenia kontroli przez samego regulatora. ABI ma obowiązek przedstawić GIODO, za pośrednictwem administratora danych, sprawozdanie z kontroli przeprowadzonej na jego wniosek.

Sprawdzenie planowe będzie prowadzone według przygotowanego wcześniej planu określającego jego termin, przedmiot poszczególnych sprawdzeń, a także zakres czynności, które będą podjęte w jego toku. Sprawdzenie pozaplanowe będzie się odbywało niezwłocznie po otrzymaniu informacji o naruszeniu ochrony danych osobowych lub w razie uzasadnionego podejrzenia takiego naruszenia.

Projekt precyzuje, że w toku kontroli ABI może m.in. dokonywać oględzin miejsc przetwarzania danych, zbierać wyjaśnienia oraz dokumentować te czynności.

Z kolei prowadzony przez ABI nadzór nad dokumentacją przetwarzania danych ma polegać m.in. na weryfikacji skuteczności opisanych w niej środków organizacyjnych i technicznych zabezpieczenia danych. Wypełnienie tego obowiązku wymaga nie lada wiedzy, w tym technicznej.

Analiza nowych przepisów prowadzi do wniosku, że w zasadzie nie ma alternatywy dla powołania ABI. W razie jego niewyznaczenia przedsiębiorca sam musi realizować nowe obowiązki. Jedyny wyjątek w przypadku niepowołania ABI to brak konieczności prowadzenia rejestru zbiorów danych oraz brak obowiązku sporządzenia sprawozdania z kontroli, przy zachowaniu jednak obowiązku przeprowadzenia samej kontroli przynajmniej raz do roku.

Biurokratyzacja w natarciu

Nie sposób oprzeć się wrażeniu, że wprowadzająca zmiany do uodo ustawa o ułatwieniu wykonywania działalności gospodarczej paradoksalnie przyczyniła się do zwiększenia obowiązków podmiotów przetwarzających dane osobowe. Nowe przepisy dotyczą w tej samej mierze tzw. procesorów, czyli podmiotów przetwarzających dane osobowe na zlecenie administratorów danych. Ponadto wprowadzenie obowiązku okresowego sprawdzania zgodności przetwarzania danych przyczyni się do zwiększenia obowiązków samego regulatora, który będzie przyjmował i weryfikował sprawozdania z kontroli przeprowadzanych przez ABI na jego wniosek. Ostatecznie może się okazać, że przedsiębiorcy nie są ani chętni, ani przygotowani do samokontroli. Ustawodawca szacuje, że na prawie 2 mln administratorów danych w Polsce zainteresowanych powołaniem ABI będzie tylko ok. 3 tys. podmiotów. Po blisko trzech miesiącach obowiązywania nowych przepisów w rejestrze ABI prowadzonym przez GIODO widnieje niewiele ponad 600 zgłoszeń, z których znaczna część to podmioty publiczne, takie jak gminy, szkoły czy szpitale. Przedsiębiorcy, którzy nie zdecydują się na wyznaczenie ABI, muszą od 1 stycznia 2015 r. sami wypełniać nowe obowiązki.

CV

Autor jest radcą prawnym z firmy Linklaters

Dużo się mówi o korzyściach płynących ze zmiany ustawy o ochronie danych osobowych (uodo), a niewiele o nowych obowiązkach, jakie przy tej okazji nałożono na przedsiębiorców przetwarzających dane. Od 1 stycznia 2015 r. nie ma już żadnych wątpliwości, że powołanie administratora bezpieczeństwa informacji (ABI) jest dobrowolne. Decyzja w tym zakresie należy wyłącznie do administratora danych.

ABI – powoływać czy nie

Pozostało 92% artykułu
2 / 3
artykułów
Czytaj dalej. Subskrybuj
Opinie Prawne
Marek Isański: Wybory kopertowe, czyli „prawo” państwa kontra prawa obywatela
Opinie Prawne
Tomasz Pietryga: Co dalej z podsłuchami i Pegasusem po raporcie Adama Bodnara
Opinie Prawne
Ewa Łętowska: Złudzenie konstytucjonalisty
Opinie Prawne
Robert Gwiazdowski: Podsłuchy praworządne. Jak podsłuchuje PO, to już jest OK
Opinie Prawne
Antoni Bojańczyk: Dobra i zła polityczność sędziego