Administratorzy Bezpieczeństwa Informacji (ABI) w wyniku nowelizacji ustawy o ochronie danych osobowych od 1 stycznia 2015 r. „wzbogacili się" o dodatkowy obowiązek w postaci prowadzenia rejestru zbiorów danych przetwarzanych przez administratora danych osobowych. W jaki sposób powinni ten obowiązek wykonywać dowiedzieli się dopiero w maju z treści rozporządzenia Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. (Dz. U. 2015 poz. 719) precyzującego sposób prowadzenia zbiorów danych przez ABI. Przywołane rozporządzenie obowiązuje od 26 maja 2015 r.

W dzisiejszym poście odpowiadamy na pytanie jednej z naszych Czytelniczek, dotyczące obowiązku rejestracji zbiorów. Problem dotyczy możliwości skorzystania ze zwolnienia z obowiązku rejestracji zbiorów w przypadku przetwarzania danych klientów (w tym osób fizycznych prowadzących działalność gospodarczą). Dane przetwarzane są tylko i wyłącznie w celu realizacji umowy i nie są wykorzystywane w celach reklamowych lub innych niż świadczenie usług.

Systemy monitoringu są powszechnie wykorzystywane do zapewnienia kontroli nad obserwowanym terenem oraz usprawnienia wykonywania zadań z zakresu ochrony osób i mienia. W świetle nieprawomocnego rozstrzygnięcia Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 7 lipca 2014 r. wydanego w sprawie sygn. akt II SA/Wa2393/13, o którym pisaliśmy już w poście

W dniu 9 lipca 2014 r. Wojewódzki Sąd Administracyjny w Warszawie wydał ważny dla osób, których wizerunki objęte zostały monitoringiem, wyrok w sprawie o sygn. akt II SA/Wa 2393/13. Istota problemu, z którym zmierzył się sąd, sprowadzała się do rozstrzygnięcia, czy system monitoringu wizyjnego, pozwalający na identyfikację osób fizycznych, jest zbiorem danych osobowych podlegającym przepisom ustawy o ochronie danych osobowych.

Nie każdy administrator musi zgłaszać zbiory!

Ogólny obowiązek rejestracji
Zgodnie z art. 40 ustawy o ochronie danych osobowych, administrator zobowiązany jest zgłosić zbiór danych osobowych do rejestracji w jawnym rejestrze, prowadzonym przez Generalnego Inspektora Ochrony Danych Osobowych. Mimo, że obowiązek ten przewidziany jest w ustawie o ochronie danych osobowych od początku jej istnienia, nadal wiele zbiorów pozostaje niezgłoszonych, a ich administratorzy nie są świadomi, że działają w sprzeczności w ustawą.

Podmiot, który zamierza przetwarzać dane osobowe zwykłe, może opierać swoje działania na jednej z kliku wymienionych w art. 23 ustawy o ochronie danych osobowych. Niewątpliwie najczęściej wspomnianą i omawianą przesłanką przetwarzania danych osobowych jest zgoda osoby, której dane dotyczą. Z tego względu zgodzie poświęcony został odrębny post. Zgoda nie jest jednak jedyną przesłanką przetwarzania danych osobowych. Ustawodawca przewiduje bowiem szereg innych przypadków, w których przetwarzanie danych osobowych jest dopuszczalne.