Nowelizacja ustawy o ochronie danych osobowych

24 listopada Prezydent podpisał ustawę o ułatwieniu działalności gospodarczej (tzw. IV pakiet deregulacyjny). Jedną z nowelizowanych ustaw jest ta o ochronie danych osobowych. Nowe przepisy wejdą w życie 1 stycznia 2015 r. Zmiany będą dotyczyć m.in. zniesienia obowiązku powołania administratora bezpieczeństwa informacji, zniesienia obowiązku rejestracji w GIODO zbiorów danych osobowych, poza tymi, które zawierają tzw. dane wrażliwe, dla przedsiębiorców, którzy powołają administratora bezpieczeństwa informacji, rejestrowania w GIODO takich administratorów oraz możliwości przekazywania danych do państw trzecich bez zgody Generalnego Inspektora Ochrony Danych Osobowych (pod pewnymi warunkami).

Nowy ABI

Obecnie, w myśl art. 36 ustawy o ochronie danych osobowych (DzU z 2014 r., poz. 1182), jest tak, że administrator danych, czyli każda osoba, instytucja, decydująca o zakresie i celach gromadzenia oraz przetwarzania danych, jest zobowiązana zastosować środki techniczne i organizacyjne zapewniające ich właściwą ochronę, odpowiednią do zagrożeń oraz kategorii danych. W szczególności muszą one być zabezpieczone przed ich udostępnieniem osobom trzecim (nieupoważnionym), zabraniem przez taką osobę, przetwarzaniem z naruszeniem przepisów, a także zmianą, utratą, uszkodzeniem lub zniszczeniem. W myśl ust. 3 tego artykułu administrator danych wyznacza administratora bezpieczeństwa informacji, nadzorującego przestrzegania zasad zapewniających takie bezpieczeństwo, chyba że sam wykonuje takie czynności.

I w tym zakresie właściwie nic się nie zmieni. Nadal będzie tak, że administrator danych będzie mógł samodzielnie dbać i odpowiadać za bezpieczeństwo danych i ich zgodne z prawem przetwarzanie, ale będzie mógł także powołać administratora bezpieczeństwa informacji, co może zapewnić mu pewne dodatkowe korzyści. Zmieni się bowiem status takiego nowego ABI.

Należy bowiem zaznaczyć, że przepisy, wprowadzające możliwość powołania administratora bezpieczeństwa informacji, regulują jego podstawowe zadania, wskazują warunki jego powołania i umiejscowienia w hierarchii firmy. Jeśli chodzi o zadania, to jest to oczywiście obowiązek zapewnienia przestrzegania przepisów o ochronie danych osobowych oraz dodatkowo prowadzenia jawnego rejestru zbiorów danych przetwarzanych w danej firmie (instytucji). Jeśli chodzi o warunki jego powołania, to ustawa wymaga od takiej osoby posiadania pełnej zdolność do czynności prawnych oraz korzystania z pełni praw publicznych, legitymowania się odpowiednią wiedzą z zakresu przepisów o ochronie danych osobowych. Ponadto taka osoba nie może być karana za przestępstwo popełnione z winy umyślnej. I wreszcie nowelizacja ustawy wskazuje na usytuowanie organizacyjne nowego ABI w jednostce administratora danych. Chodzi tu o wymóg bezpośredniej podległości kierownikowi takiej jednostki.

Nowelizacja przyjmuje, że ABI może wykonywać inne nałożone na niego zadania, o ile nie narusza to jego obowiązków dotyczących ochrony danych osobowych. Tak jak obecnie, znowelizowane przepisy dopuszczają także przeniesienie zadań administratora bezpieczeństwa informacji na zewnątrz (outsourcing). Pewną nowością jest natomiast możliwość powołania zastępców administratora bezpieczeństwa informacji, co może mieć znaczenie w sytuacjach, w których ABI tymczasowo nie mógłby realizować swoich zadań.

Co to daje

Powołanie ABI na nowych zasadach przede wszystkim wpływa na kwestie związane z rejestracją zbiorów danych osobowych. Obecnie, zgodnie z art. 40 ustawy, administrator danych jest obowiązany zgłosić zbiór danych do rejestracji generalnemu inspektorowi, z wyjątkiem przypadków, o których mowa w art. 43 ust. 1. Większość tych wyjątków nie dotyczy przedsiębiorców, ponieważ odnoszą się do specyficznych sytuacji (np. przetwarzanie danych niejawnych, uzyskanych w wyniku czynności operacyjno-rozpoznawczych przez uprawnionych funkcjonariuszy, przetwarzanych dla potrzeb postępowania sądowego albo tych przetwarzanych przez generalnego inspektora informacji finansowej, czy takich, które są gromadzone przez właściwe organy w związku z funkcjonowaniem systemu Schengen oraz wizowego systemu informacyjnego). Do wyjątków, które częściej mogą dotyczyć przedsiębiorców, należą te przypadki, gdy administrator przetwarza dane:

- w związku z zatrudnieniem u niego, świadczeniem mu usług na podstawie umów cywilnoprawnych, a także dotyczące osób u niego zrzeszonych lub uczących się,

- dotyczące osób korzystających z jego usług medycznych, obsługi notarialnej, adwokackiej, radcy prawnego, rzecznika patentowego, doradcy podatkowego lub biegłego rewidenta,

- wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej (istotne jest tu słowo „wyłącznie"),

- powszechnie dostępne,

- w zakresie drobnych bieżących spraw życia codziennego.

W każdym innym przypadku zbiór danych należy zgłosić do GIODO. I właśnie powołanie administratora bezpieczeństwa informacji ma ten obowiązek znieść, przy czym do GIODO trzeba będzie zgłosić taką osobę. Innymi słowy zniknie obowiązek rejestrowania zbioru (w tym zgłaszania jego aktualizacji), a trzeba będzie zgłosić ABI.

Zgodnie z przepisami, które z nowym rokiem wejdą w życie, powołanie i odwołanie administratora bezpieczeństwa informacji trzeba będzie zgłosić w terminie 30 dni od dnia jego powołania lub odwołania.  Takie zgłoszenie powinno zawierać:

- oznaczenie administratora danych i adres jego siedziby lub miejsca zamieszkania, w tym numer identyfikacyjny rejestru podmiotów gospodarki narodowej, jeżeli został mu nadany,

- dane administratora bezpieczeństwa informacji (imię i nazwisko,  numer PESEL lub, gdy ten numer nie został nadany, nazwę i numer dokumentu stwierdzającego tożsamość, adres do korespondencji, jeżeli jest inny niż adres administratora danych osobowych),

- datę powołania,

- oświadczenie administratora danych o spełnianiu przez administratora bezpieczeństwa informacji warunków niezbędnych do pełnienia wskazanej funkcji.

Zmiany informacji objętych takim zgłoszeniem trzeba będzie aktualizować w terminie 14 dni od dnia ich dokonania.

Wyjątki od reguły

Zwolnienie z obowiązku rejestracji zbiorów danych ma dotyczyć tych zawierających tzw. dane zwykłe. Jeśli chodzi o dane szczególnie chronione, czyli tzw. informacje wrażliwe, wymóg rejestracji nadal będzie obowiązywał, niezależnie od powołania administratora bezpieczeństwa informacji.

Warto przypomnieć, że w myśl art. 27 ustawy o ochronie danych osobowych chodzi tu o informacje ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również dane o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz te dotyczące skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym.

Co do zasady ich przetwarzanie jest zabronione, chyba że spełnione są przesłanki wskazane w art. 27 ust. 2 (np. osoba, której dane dotyczą, wyrazi na to zgodę na piśmie, gdy przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych albo przetwarzanie dotyczy danych, które zostały podane do wiadomości publicznej przez osobę, której one dotyczą).

Rejestry zawierające takie informacje nadal trzeba będzie zgłaszać generalnemu inspektorowi.