Ogólny obowiązek rejestracji
Zgodnie z art. 40 ustawy o ochronie danych osobowych, administrator zobowiązany jest zgłosić zbiór danych osobowych do rejestracji w jawnym rejestrze, prowadzonym przez Generalnego Inspektora Ochrony Danych Osobowych. Mimo, że obowiązek ten przewidziany jest w ustawie o ochronie danych osobowych od początku jej istnienia, nadal wiele zbiorów pozostaje niezgłoszonych, a ich administratorzy nie są świadomi, że działają w sprzeczności w ustawą.
Po co rejestrować?
Obowiązek rejestracyjny wprowadzony został, by ułatwić Generalnemu Inspektorowi sprawowanie kontroli nad procesem przetwarzania danych osobowych. Pamiętać należy przede wszystkim o tym, że rejestracja dotyczy w istocie informacji o zbiorach danych osobowych i w żadnej mierze nie prowadzi do ujawniania danych osobowych jako takich. Administrator, wypełniając zgłoszenie rejestracyjne, przedstawia swoisty raport o samej strukturze zbiorów i zastosowanych wobec nich zabezpieczeniach fizycznych oraz formalno-prawnych.
Rejestr, prowadzony przez Generalnego Inspektora ma również umożliwić osobom, których dane dotyczą weryfikację, czy administrator, któremu zamierzają udostępnić swoje dane spełnia obowiązki nałożone na niego przez ustawę o ochronie danych osobowych. Jak wskazuje bowiem art. 42 ust. 2 ustawy, każdy ma prawo przeglądać ogólnokrajowy rejestr zbiorów, prowadzony przez GIODO.
Czego można dowiedzieć się z rejestru?
Z rejestru można dowiedzieć się nie tylko, czy dany zbiór został w ogóle zarejestrowany, ale również na jakiej podstawie przetwarzane są dane wchodzące w skład zbioru, jaki jest cel przetwarzania bądź zakres zbieranych danych. Zakres informacji ujawnianych w rejestrze regulowany jest ustawowo i wynika z art. 42 ust. 1 w związku z art. 41 ust. 1 pkt 1-4a i pkt 7. Oznacza to, że ogólnodostępnymi są informacje o tym, jaki podmiot jest administratorem w stosunku do danego zbioru, jaki jest cel przetwarzania danych osobowych i zakres przetwarzanych danych, a także w jaki sposób zbierane są lub udostępniane są dane włączone do zbioru. Ponadto, w rejestrze znaleźć można informacje o odbiorcach lub kategoriach odbiorców danych, a także o przypadkach ewentualnego przekazywania danych do państw trzecich.
W samym zgłoszeniu zawarty jest również opis środków technicznych i organizacyjnych, zastosowanych przez administratora, o których mowa w art. 36-39 oraz informacja o sposobie wypełnienia warunków technicznych i organizacyjnych, określonych w art. 39 a. Choć administrator wypełniając zgłoszenie, przekazuje Generalnemu Inspektorowi te informacje, nie są one publikowane w rejestrze.
Kiedy zgłaszać zbiór?
Bardzo istotny, a w praktyce często pomijany, pozostaje moment powstania obowiązku rejestracyjnego. Zgodnie z art. 46 ust. 1 ustawy, zgłoszenia zbioru do rejestracji w przypadku przetwarzania danych osobowych zwykłych należy dokonać przed przystąpieniem do przetwarzania danych. Co ważne dla poprawności przetwarzania danych osobowych konieczne jest zgłoszenie zbioru, a nie uzyskanie jego rejestracji przed przystąpieniem do przetwarzania.
Inaczej jest w przypadku, o którym mowa w art. 46 ust. 2 ustawy o ochronie danych osobowych. Administrator danych osobowych wrażliwych może bowiem rozpocząć ich przetwarzanie w zbiorze dopiero po jego zarejestrowaniu. Ten zaostrzony wymóg związany jest z większą ochroną, jaką ustawodawca zapewnia, gdy dochodzi do przetwarzania danych sensytywnych.
O zmianach też trzeba informować
Art. 41 ust. 2 ustawy zobowiązuje administratora do zgłaszania GIODO każdej zmiany informacji, zawartych w samym zgłoszeniu. Obowiązek aktualizacji zgłoszenia zrealizowany być musi w terminie 30 dni od dnia dokonania zmiany w zbiorze danych. Ustawa przewiduje od tej reguły jeden wyjątek. Jeśli administrator przetwarzający dotychczas tylko dane osobowe zwykłe zamierza rozszerzyć zakres przetwarzanych danych o dane wrażliwe, musi zgłosić taką zmianę przed przystąpieniem do przetwarzania. Art. 41 ust. 4 zakłada, że do zgłaszania zmian znajdują odpowiednie zastosowanie przepisy o rejestracji zbiorów danych. Dla zgłaszającego oznacza to, że zgłoszenie aktualizacyjne wypełni na takim samym formularzu, na jakim dokonywał pierwszego zgłoszenia zbioru.
Czy GIODO zawsze zarejestruje zbiór?
Ustawodawca przewidział przypadki, w których pomimo zgłoszenia zbioru, nie dojdzie do jego rejestracji (art. 44 ustawy o ochronie danych osobowych). Decyzja odmowna zostanie wydana, gdy nie zostały wypełnione wszystkie elementy zgłoszenia, o których była mowa w poście, a które wskazuje art. 41 ust. 1 ustawy.
Ponadto, nie dojdzie do rejestracji, jeśli przetwarzanie danych, wchodzących w skład zbioru, który podlega zgłoszeniu, naruszałoby zasady przetwarzania, o których mowa w art. 23 -28 ustawy. Chodzi tutaj o przypadki przetwarzania danych bez podstawy prawnej, przetwarzania danych niezgodnie z zasadą adekwatności, celowości, ograniczenia czasowego czy też przetwarzania danych mimo niespełnienia obowiązku informacyjnego.
Decyzją odmowną zakończy się również próba zgłoszenia zbioru w przypadku, gdy urządzenia i systemy informatyczne służące do przetwarzania danych w zbiorze nie spełniają podstawowych warunków technicznych i organizacyjnych, o których mowa w rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 roku w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych, wydanym na postawie art. 39 a ustawy.
Jak zgłaszać zbiory?
Zgłoszenia zbiorów dokonywać można w formie papierowej. Warto jednak dodać, że na stronie internetowej Generalnego Inspektora Ochrony Danych Osobowych dostępny jest elektroniczny formularz, umożliwiający dokonanie rejestracji, jeśli zgłaszający dysponuje bezpiecznym podpisem elektronicznym. Jeśli takim podpisem zgłaszający nie dysponuje, nadal możliwe jest zgłoszenie drogą elektroniczną. W takim wypadku, należy jednak uzupełnić zgłoszenie, dosyłając odpowiednio podpisany wydruk formularza elektronicznego pocztą.
Nie każdy administrator musi zgłaszać zbiory!
Ustawa przewiduje szereg zwolnień z obowiązku rejestracji. O nich, a także o wykreślaniu zbiorów z rejestru oraz o zmianach w obowiązku rejestracyjnym, przewidzianych w projekcie rozporządzenia ogólnego, pisać będziemy w kolejnym poście.
Masz pytania dotyczące tematu artykułu? Skontaktuj się z autorem.
Katarzyna Witkowska-Nowakowska
Prawnik
