Od 1 stycznia 2015 roku obowiązują nowe przepisy związane z ochroną danych osobowych. Zmiany wynikają z wejścia w życie ustawy z 7 listopada 2014 r. o ułatwieniu wykonywania działalności gospodarczej. Co to oznacza w praktyce?
Zakres nowelizacji
Wejście w życie ustawy z 7 listopada 2014 r. o ułatwieniu wykonywania działalności gospodarczej (Dz.U. z 2014 r., poz. 1662) spowodowało nowelizację ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. 1997 Nr 133, poz. 883 ze zm.). Wprowadzono ułatwienia związane z rejestracją zbiorów danych osobowych, uchylony został obowiązek wyznaczania administratora bezpieczeństwa informacji (dalej „ABI”), sprecyzowano sposób powoływania ABI, zakres jego zadań oraz podległość organizacyjną, uproszczono przekazywanie danych osobowych do państw trzecich.
Zwolnienie z obowiązku rejestracji zbioru danych w GIODO
Nowelizacja wprowadza zwolnienie z obowiązku zgłoszenia do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych („GIODO”) zbiorów danych osobowych, w przypadku, gdy administrator danych powołał ABI i zgłosił go GIODO do rejestracji. Zbioru danych nie będą musieli również rejestrować administratorzy przetwarzający je w zbiorach, które nie są prowadzone z wykorzystaniem systemów informatycznych. – Co ważne, zwolnienie z obowiązku rejestracji nie obejmuje administratorów danych, którzy przetwarzają dane wrażliwe podlegające szczególnej ochronie prawnej. Dane wrażliwe, zdefiniowane w art. 27 ust. 1 ustawy o ochronie danych osobowych obejmują m.in.: dane ujawniające przynależność wyznaniową, partyjną lub związkową, dane o stanie zdrowia, kodzie genetycznym czy nałogach – tłumaczy adwokat Justyna Metelska z TGC Corporate Lawyers.
Uchylenie obowiązku wyznaczenia Administratora Bezpieczeństwa Informacji
W wyniku zmiany przepisów, to administrator danych decyduje czy powoła ABI. Uchylony został przepis art. 36 ust. 3 ustawy o ochronie danych osobowych nakładający obowiązek wyznaczenia ABI, za wyjątkiem sytuacji, w których administrator sam wykonywał te czynności. Nowelizacja wprowadza zatem możliwość powołania ABI, jednocześnie określa jego podstawowe obowiązki, warunki powołania, możliwość wyznaczenia zastępcy oraz wskazuje na podległość organizacyjną. ABI podlega bezpośrednio kierownikowi danej jednostki organizacyjnej lub osobie fizycznej będącej administratorem danych.- GIODO prowadzi ogólnokrajowy, jawny rejestr administratorów bezpieczeństwa informacji. Administrator danych ma obowiązek zgłoszenia do rejestracji GIODO powołanie oraz odwołanie ABI w terminie 30 dni od daty zaistnienia zmiany. Wzory zgłoszeń powołania i odwołania ABI do rejestracji GIODO określa nowe Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 10 grudnia 2014 r. w sprawie wzorów zgłoszeń powołania i odwołania administratora bezpieczeństwa informacji (Dz.U. z 2014r., poz. 1934).- dodaje ekspertka. Zgodnie z przepisem art. 35 ustawy o ułatwieniu wykonywania działalności gospodarczej, ABI wyznaczony na podstawie uchylonego przepisu pełni swoją funkcję do czasu zgłoszenia go do rejestru administratorów bezpieczeństwa informacji, nie dłużej jednak niż do dnia 30 czerwca 2015r.
Powołanie i zadania Administratora Bezpieczeństwa Informacji
Zmiany powodują, iż wzrasta rola ABI. Nowe przepisy precyzują kto może pełnić tę funkcję oraz wskazują na konieczność podejmowania konkretnych zadań. Administratorem bezpieczeństwa informacji może zostać osoba, która ma pełną zdolność do czynności prawnych, korzysta z pełni praw publicznych, posiada odpowiednią wiedzę w zakresie ochrony danych osobowych i nie była karana za umyślne przestępstwo. Do jej zadań należy zapewnianie przestrzegania przepisów o ochronie danych osobowych, w szczególności poprzez: sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych, nadzorowanie opracowania i aktualizowania dokumentacji opisującej sposób przetwarzania danych oraz środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych oraz przestrzegania zasad określonych w tej dokumentacji, zapewnianie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz prowadzenie rejestru zbiorów danych przetwarzanych przez administratora danych, z wyjątkiem zbiorów zwolnionych z obowiązku rejestracji, o których mowa w art. 43 ust. 1 ustawy o ochronie danych osobowych. Administratorowi Bezpieczeństwa Informacji można powierzyć również inne obowiązki, jeżeli nie naruszy to prawidłowego wykonywania ustawowych zadań. W przypadku niepowołania ABI jego zadania wykonuje administrator danych, z wyłączeniem obowiązku sporządzenia sprawozdania.
Kontrola GIODO, sprawdzenie zgodności przetwarzania danych przez ABI
GIODO w dowolnym momencie może przeprowadzić kontrolę zgodności przetwarzania danych przez administratora danych. Oprócz kontroli przeprowadzanej przez GIODO, zgodnie z nowymi przepisami GIODO może zwrócić się do ABI wpisanego do rejestru administratorów z wnioskiem o dokonanie sprawdzenia zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych u administratora, który go powołał wskazując zakres i termin sprawdzenia. Po dokonaniu sprawdzenia, ABI za pośrednictwem administratora danych osobowych przedstawia GIODO sprawozdanie – wyjaśnia Justyna Metelska.
Przekazywanie danych osobowych do państw trzecich
Warto podkreślić, iż zmianie uległy również obowiązki związane z przekazywaniem danych osobowych do państw trzecich spoza Europejskiego Obszaru Gospodarczego. W szczególności zgoda GIODO na przekazanie danych osobowych do państwa trzeciego, które nie zapewnia odpowiedniego poziomu ochrony danych osobowych, nie jest wymagana, pod warunkiem zapewnienia przez administratora danych odpowiedniego zabezpieczenia w zakresie prywatności oraz praw i wolności osoby, której dane dotyczą. Może to nastąpić poprzez zastosowanie standardowych klauzul umownych ochrony danych osobowych zatwierdzonych przez Komisję Europejską lub zatwierdzonych przez GIODO wiążących reguł korporacyjnych, czyli prawnie wiążących reguł ochrony danych osobowych przyjętych w ramach grupy przedsiębiorców do celów przekazania danych osobowych do należącego do tej grupy innego administratora danych w państwie trzecim lub podmiotu, któremu powierzono przetwarzanie danych w państwie trzecim.
Źródło: Agencja inplus PR
