24 listopada 2014 roku, Prezydent podpisał ustawę z dnia 7 listopada 2014 roku o ułatwieniu wykonywania działalności gospodarczej. Jak już pisaliśmy we wcześniejszym poście Uwaga! Zmiany w ustawie o ochronie danych osobowych, ustawa wprowadza istotne zmiany w samej ustawie o ochronie danych osobowych. Na prośbę naszych Czytelników, raz jeszcze przybliżamy ten temat.
Cel reformy
Zmiany w ustawie o ochronie danych osobowych, które wejdą w życie 1 stycznia 2015 roku dotyczą w przeważającym zakresie nowej roli administratora bezpieczeństwa informacji (ABI), któremu powierzony zostanie większy zakres obowiązków. Część obowiązków, realizowanych do tej pory przez GIODO, przeniesiona zostanie bowiem na administratorów danych osobowych (ADO) i w konsekwencji, na powołanych przez nich administratorów bezpieczeństwa informacji. Ponadto, wprowadzone zostaną istotne uproszczenia w zakresie rejestracji zbiorów danych. O wszystkich zmianach przeczytać można poniżej.
Rejestracja na nowo
Ustawa o ochronie danych osobowych w nowym kształcie zawiera m.in. szerszy niż dotychczasowy katalog zwolnień z obowiązku rejestracji. Zgodnie z art. 43 ust. 1 ustawy, zwolnienia z obowiązku zgłoszenia zbioru danych do rejestru prowadzonego przez GIODO obejmują 11 przypadków. Od 1 stycznia 2015 roku katalog ten będzie szerszy – wprowadzone zostanie kolejne zwolnienie obejmujące zbiory prowadzone bez wykorzystania systemów informatycznych, w których nie są przetwarzane dane wrażliwe.
Kluczową dla całego systemu rejestracji zbiorów jest natomiast kolejna zmiana: w art. 43 dodany zostaje ust. 1a, który stanowi, że obowiązkowi rejestracji zbiorów, o ile nie zawierają one danych wrażliwych, nie podlega ADO, który powołał i zgłosił do GIODO administratora bezpieczeństwa informacji. Oznacza to, że przetwarzający dane zwykłe administrator danych, który wyznaczył w swojej organizacji ABI oraz wypełnił odpowiednie zgłoszenie i przesłał je do biura GIODO, w ogóle nie będzie musiał zgłaszać zbiorów danych do GIODO. Oczywiście na podstawie art. 43 ust. 1a ustawy o ochronie danych osobowych, nie skorzysta ze zwolnienia administrator danych, który przetwarza je w zbiorach, zawierających dane wrażliwe.
Nowy rodzaj zgłoszeń – zgłoszenia ABI
Jakie informacje nt. administratora bezpieczeństwa będą przekazywane w zgłoszeniu? Jak wskazuje nowy art. 46b ust. 2 ustawy o ochronie danych osobowych, w zgłoszeniu powołania ABI, administrator danych osobowych będzie musiał zawrzeć:
- oznaczenie samego ADO,
- dane administratora bezpieczeństwa informacji (imię i nazwisko, numer PESEL lub numer i nazwa dokumentu potwierdzającego tożsamość [jeśli numer PESEL nie został nadany], adres do korespondencji, jeśli jest inny niż adres siedziby ADO),
- datę powołania,
- oświadczenie, że powołany przez niego ABI spełnia warunki określone w art. 36a ust. 5 i 7 (o których przeczytacie Państwo w dalszej części postu).
Analogicznie, w przypadku zgłoszenia odwołania ABI, w zgłoszeniu znajdą się: oznaczenie ADO, dane administratora bezpieczeństwa informacji (imię, nazwisko, PESEL) oraz informacja o dacie i przyczynie odwołania.
Zgłoszenie powołanego administratora bezpieczeństwa informacji nastąpić musi w terminie 30 dni od dnia jego powołania. 30-dniowy termin przewidziano również dla obowiązku zgłoszenia odwołania administratora bezpieczeństwa informacji.
Zwrócić uwagę należy na krótki termin do zgłoszenia zmian jakichkolwiek informacji, które podać należy w samym zgłoszeniu. Ustawodawca przewiduje tutaj termin 14 dni.
Nowe zgłoszenia – nowy rejestr
W związku w wprowadzeniem nowego rodzaju zgłoszeń, powstanie nowy rejestr. Od 1 stycznia 2015 roku, na podstawie art. 46c ustawy o ochronie danych osobowych, GIODO prowadzić będzie ogólnokrajowy, jawny rejestr administratorów bezpieczeństwa informacji. W rejestrze zawarte będą oczywiście informacje w zakresie węższym, niż przewidziany dla samego zgłoszenia. I tak, poza informacją o ADO, ujawnione w rejestrze będą informacje o ABI: jego imię i nazwisko oraz adres korespondencyjny. Numer PESEL lub numer i nazwa dokumentu potwierdzającego tożsamość nie będą ujawniane w rejestrze.
Wykreślenie ABI z omawianego rejestru następować będzie w przypadku zgłoszenia odwołania ABI przez administratora danych osobowych lub w przypadku śmierci ABI. Generalny Inspektor Ochrony Danych Osobowych, zgodnie z art. 46d ust. 2 ustawy, z urzędu wydawał będzie decyzję o wykreśleniu danego ABI z rejestru, jeśli nie będzie spełniał on wymogów, określonych w art. 36a ust. 5 lub 7 ustawy o ochronie danych osobowych w znowelizowanej wersji lub też jeśli ABI nie będzie realizował zadań powierzonych mu zgodnie z art. 36a ust. 2 albo też, gdy ADO nie powiadomi Generalnego Inspektora o odwołaniu ABI.
Nowy ABI
Jak już pisaliśmy w poprzednim poście, poświęconym reformie ochrony danych osobowych, ustawa o ułatwieniu wykonywania działalności gospodarczej wprowadza istotne zmiany z zakresie samej funkcji ABI.
Ustawodawca przewiduje katalog przesłanek, których łączne spełnienie umożliwiać będzie powołanie na administratora bezpieczeństwa informacji. Według nowej ustawy administratorem bezpieczeństwa informacji może być osoba, która:
- ma pełną zdolność do czynności prawnych oraz korzysta z pełni praw publicznych,
- posiada odpowiednią wiedzę w zakresie ochrony danych osobowych,
- nie była karana za umyślne przestępstwo.
Na szczególną uwagę zasługuje wymóg posiadania przez administratora bezpieczeństwa informacji odpowiedniej wiedzy. Oznacza to, że administratorem bezpieczeństwa informacji nie może być i wynika to wprost z ustawy, przypadkowa osoba. Ze względu na powierzenie ABI nowych zadań, musi on mieć odpowiednie kompetencje. Niestety ustawa nie zawiera wytycznych, jak oceniać odpowiedni poziom wiedzy.
Ze względu na nowy zakres obowiązków administratora bezpieczeństwa informacji, ADO może powołać jego zastępców. Zastępcy muszą oczywiście spełnić te same wymogi, które ustawa stawia administratorowi bezpieczeństwa informacji.
Istotne jest również to, że w zakresie pełnionej funkcji, ABI podlegać może bezpośrednio tylko i wyłącznie osobie fizycznej będącej ADO lub kierownikowi jednostki organizacyjnej.
Nowe obowiązki ABI
Zgodnie ze znowelizowaną ustawą, administrator danych osobowych może powołać ABI, do zadań którego należą:
- zapewniania przestrzegania przepisów o ochronie danych osobowych,
- prowadzenie rejestru zbiorów danych przetwarzanych przez ADO.
Ustawodawca w art. 36a ust.1 ustawy podaje otwarty katalog obowiązków, składających się na ogólny obowiązek zapewniania przestrzegania przepisów o ochronie danych osobowych, wskazując, że ABI musi:
- sprawdzać zgodność przetwarzania danych osobowych z przepisami ustawy o ochronie danych osobowych i opracowywać w tym zakresie sprawozdanie dla GIODO,
- nadzorować: opracowywanie i aktualizację dokumentacji ochrony danych osobowych oraz przestrzeganie zasad w niej określonych,
- zapewniać zapoznanie osób upoważnionych do przetwarzania danych o z przepisami o ochronie danych osobowych.
Rejestr zbiorów, który od 1 stycznia 2015 prowadzony będzie obowiązkowo przez administratora bezpieczeństwa informacji, obejmie zbiory, które dotychczas podlegały zgłoszeniu do Generalnego Inspektora Ochrony Danych Osobowych. W rejestrze wskazać będzie trzeba nazwę danego zbioru, a także:
- oznaczenie ADO,
- cel przetwarzania zbiorów,
- opis kategorii osób, których dane dotyczą oraz zakres przetwarzanych danych,
- sposób zbierania oraz udostępniania danych,
- informację o odbiorach lub kategoriach odbiorców, którym dane mogą być przekazywane,
- informację o ewentualnym przekazywaniu danych do państw trzecich.
Rejestr ten będzie jawny.
Pamiętać należy, że niezależnie od prowadzenia przez ABI rejestru, ADO nadal będzie miał obowiązek prowadzenia wykazu zbiorów, który swoim zakresem obejmuje wszystkie zbiory danych.
Wśród nowych obowiązków ABI, na uwagę zasługuje również obowiązek przygotowywania sprawozdań, których zakres określony został w art. 36c i przytoczony przez nas w poprzednim poście o reformie ustawy o ochronie danych osobowych.
Nowe zasady przekazywania danych do państw trzecich
Od 1 stycznia 2015 roku obowiązywać będzie zmieniony art. 48, który mówi o możliwości przekazania danych osobowych do państw trzecich niezapewniających na swoim terytorium odpowiedniego poziomu ochrony danych za zgodą GIODO. Zgodnie z art. 48 w nowym brzmieniu, przekazanie danych będzie możliwie również bez zgody GIODO, o ile ADO zapewni odpowiednie zabezpieczenia w zakresie ochrony prywatności oraz praw i wolności osób, których dane dotyczą poprzez:
- standardowe klauzule umowne ochrony danych zatwierdzone przez Komisję Europejską,
- wiążące reguły korporacyjne zatwierdzone przez GIODO.
Procedura zatwierdzania wiążących reguł korporacyjnych (BCR – binding corporate rules) przewidziana została w art. 48 ust. 3-5 ustawy. Zgodnie z tą procedurą, GIODO zatwierdza BCR przyjęte w ramach grupy przedsiębiorców do celów przekazania danych przez ADO lub procesora do innego ADO lub procesora z tej samej grupy w państwie trzecim. W celu odpowiedniej oceny przedłożonych do zatwierdzenia reguł, GIODO może przeprowadzać konsultacje z właściwymi organami ds. ochrony danych z państw należących do Europejskiego Obszaru Gospodarczego.
Nowe kompetencje GIODO
Ze względu na zamiany w obowiązku rejestracyjnym, od 1 stycznia 2015 roku, GIODO przyznane zostanie kolejne zadanie. Oprócz prowadzenia rejestru zbiorów danych, GIODO prowadzić będzie również rejestr administratorów bezpieczeństwa informacji oraz udzielać będzie informacji zarówno o zarejestrowanych zbiorach danych, jak i administratorach bezpieczeństwa informacji.
Zgodnie z ustawą deregulacyjną, do ustawy o ochronie danych wprowadzony zostanie również art. 19b, przyznający GIODO prawo zwrócenia się do administratora bezpieczeństwa informacji, wpisanego do rejestru, o dokonanie sprawdzenia zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych i opracowania w tym zakresie sprawozdania dla GIODO.
Oczywiście, niezależnie od dokonania przez ABI sprawdzenia, GIODO będzie mógł przeprowadzić u danego administratora danych kontrolę.
Reforma w praktyce
Podsumowując wyżej opisane zmiany, wskazać należy przede wszystkim na zmianę zakresu obowiązków ABI oraz na nowe wymagania stawiane osobie pełniącej tę funkcję oraz na istotne zmiany dotyczące rejestracji zbiorów.
Dzięki powołaniu i zgłoszeniu do rejestru administratora bezpieczeństwa informacji, ADO nie będzie już musiał zgłaszać do rejestru prowadzonego przez GIODO większości zbiorów danych. Obowiązkiem tym objęte będą bowiem jedynie zbiory danych, zawierające dane szczególnie chronione.
Oczywiście inaczej zakres obowiązków ADO kształtował się będzie w przypadku niepowołania administratora bezpieczeństwa informacji. W takim wypadku, obowiązek zgłoszenia zbiorów w zasadzie pozostanie w niezmienionym kształcie. Do 31 grudnia 2014 roku wybór co do powołania ABI ma w zasadzie tylko ADO, który jest osobą fizyczną. W przypadku osób prawnych, obowiązek powołania administratora bezpieczeństwa informacji jest dziś bezsporny, o czym pisaliśmy w poście Jak Google przegrał walkę o ABI’ego. Po 1 stycznia 2015 roku sytuacja ulegnie zmianie ze względu na fakultatywność powoływania ABI i przyznanie ADO większej swobody wyboru w tym zakresie.
Czekające administratorów zmiany są krokiem w stronę zapewnienia silniejszych mechanizmów kontrolnych wewnątrz organizacji danego ADO i choć nie idą tak daleko, jak rozporządzenie ogólne dotyczące ochrony danych nadal opracowywane na szczeblu europejskim, zmierzają do zapewnienia administratorowi bezpieczeństwa informacji większej niezależności. Jednocześnie jednak przyczyniają się do nałożenia na ABI większego zakresu obowiązków.
Masz pytania dotyczące tematu artykułu? Skontaktuj się z autorem.
Katarzyna Witkowska-Nowakowska
Prawnik
