OCHRONA DANYCH OSOBOWYCH

Transkrypt

1 Styczeń 2015 issn nr 4 OCHRONA DANYCH OSOBOWYCH Aktualności, Orzecznictwo, Studia przypadków, Opracowania Organizacja ochrony danych po nowelizacji Nowe zadania i pozycja ABI w organizacji Ułatwienia w transferze danych do państw trzecich

2 Oficyna Prawa Polskiego Wydawnictwo WiP ul. Łotewska 9A, Warszawa NIP: KRS: Sąd Rejonowy dla m.st. Warszawy, Sąd Gospodarczy XIII Wydział Gospodarczy Rejestrowy Wysokość kapitału zakładowego: zł Ochrona danych osobowych Patronat merytoryczny: Traple, Konarski, Podrecki i Wspólnicy Sp. jawna Redaktor: Wioleta Szczygielska Kierownik grupy wydawniczej: Ewa Ziętek-Maciejczyk Wydawca: Monika Kijok Koordynacja produkcji: Mariusz Jezierski, Magdalena Huta Korekta: Zespół Projekt graficzny okładki: Michał Marczewski Skład i łamanie: Ireneusz Gawliński Drukarnia: MDdruk Nakład: 500 egz. Ochrona danych osobowych wraz z przysługującym Czytelnikom innymi elementami dostępnymi w prenumeracie (e-letter, strona WWW i inne) chronione są prawem autorskim. Przedruk materiałów opublikowanych w Ochronie danych osobowych oraz w innych dostępnych elementach prenumeraty bez zgody wydawcy jest zabroniony. Zakaz nie dotyczy cytowania publikacji z powołaniem się na źródło. Publikacja Ochrona danych osobowych została przygotowana z zachowaniem najwyższej staranności i wykorzystaniem wysokich kwalifikacji, wiedzy i doświadczenia autorów oraz konsultantów. Zaproponowane w publikacji Ochrona danych osobowych oraz w innych dostępnych elementach subskrypcji wskazówki, porady i interpretacje nie mają charakteru porady prawnej. Ich zastosowanie w konkretnym przypadku może wymagać dodatkowych, pogłębionych konsultacji. Publikowane rozwiązania nie mogą być traktowane jako oficjalne stanowisko organów i urzędów państwowych. W związku z powyższym redakcja nie może ponosić odpowiedzialności prawnej za zastosowanie zawartych w publikacji Ochrona danych osobowych lub w innych dostępnych elementach prenumeraty wskazówek, przykładów, informacji itp. do konkretnych przypadków. Informacje o prenumeracie: tel.: faks: cok@opp.com.pl

3 SPIS TREŚCI Spis treści Nowelizacja ustawy o ochronie danych osobowych Organizacja ochrony danych osobowych po nowelizacji Xawery Konarski Rejestracja ABI w GIODO - pytania o trzecią drogę Damian Karwala Rejestracja zbiorów danych osobowych po nowelizacji dr Jan Byrski Administrator danych może realizować zadania ABI Rola ABI w okresie przejściowym (do 30 czerwca 2015 r.) Przyczyna odwołania ABI a sytuacja prawna ADO Paweł Tobiczyk Odpowiednia wiedza z ochrony danych nowy wymóg Paweł Tobiczyk Odpowiedzialność ABI po nowelizacji ustawy Nowe zasady przekazywania danych do państw trzecich Damian Karwala OCHRONA DANYCH OSOBOWYCH 141 STYCZEŃ 2015

4 LIST OD REDAKTORA Drodzy Czytelnicy! Wioleta Szczygielska redaktor prowadząca Jesteśmy w przededniu poważnych zmian w ochronie danych osobowych. Od nowego roku wchodzi w życie nowelizacja ustawy o ochronie danych osobowych. Jest to największa od 2004 roku zmiana tego aktu. Obejmuje ona zmiany dotyczące trzech obszarów. Pierwszym jest organizacja ochrony danych osobowych, w tym sposób funkcjonowania Administratorów Bezpieczeństwa Informacji. Druga kwestia, która ulegnie zmianie, związana jest z obowiązkiem zgłoszenia zbiorów danych osobowych do rejestracji w GIODO. Trzeci zakres zmian dotyczy zaś zasad transferu danych osobowych do państw trzecich. W związku z tym, że zmiany budzą wiele wątpliwości i pytań, cały numer został poświęcony tej kwestii. Wybitni eksperci z Kancelarii Prawnej Traple Konarski Podrecki i Wspólnicy wyjaśniają najbardziej zawiłe kwestie związane z nowelizacją. Jakie możliwości w zakresie organizacji ochrony danych daje ustawa? Jak należy postępować w okresie przejściowym (1 stycznia 30 czerwca 2015 r.)? Jak należy rozumieć wymóg odpowiedniej wiedzy ABI? Na te i wiele innych pytań znajdą Państwo odpowiedzi w aktualnym numerze. Szczególnie polecam artykuł przygotowany przez radcę prawnego Damiana Karwalę Nowe zasady przekazywania danych do państw trzecich. Autor wyjaśnia w nim, na jakich zasadach będzie odbywał się transfer danych osobowych za granicę po 1 stycznia 2015 r. Życzę owocnej lektury! PATRONAT MERYTORYCZNY EKSPERCI Damian Karwala, radca prawny, współpracownik Kancelarii Prawnej Traple Konarski Podrecki i Wspólnicy, ekspert prawny Polskiej Izby Ubezpieczeń oraz Związku Pracodawców Branży Internetowej IAB Polska XAWERY KONARSKI adwokat, starszy wspólnik w Kancelarii Prawnej Traple Konarski Podrecki i Wspólnicy, ekspert prawny Polskiej Izby Informatyki i Telekomunikacji, Polskiej Izby Ubezpieczeń oraz Związku Pracodawców Branży Internetowej IAB Polska Paweł Tobiczyk, aplikant adwokacki, doktorant w Katedrze Prawa Własności Intelektualnej Uniwersytetu Jagiellońskiego, pracownik departamentu Technologie Media Telekomunikacja w Kancelarii Prawnej Traple Konarski Podrecki i Wspólnicy, aplikant radcowski przy Okręgowej Izbie Radców Prawnych w Warszawie, prawnik w Kancelarii Prawnej Traple Konarski Podrecki i Wspólnicy dr Jan Byrski adwokat, wspólnik w Kancelarii Prawnej Traple Konarski Podrecki i Wspólnicy, adiunkt w Katedrze Prawa Cywilnego i Gospodarczego Uniwersytetu Ekonomicznego w Krakowie. OCHRONA DANYCH OSOBOWYCH 142 STYCZEŃ 2015

5 NOWELIZACJA USTAWY Organizacja ochrony danych osobowych po nowelizacji Nowelizacja ustawy o ochronie danych osobowych ustanawia nowe zasady organizacji ochrony danych osobowych. Zgodnie z nimi administrator danych może wybrać, czy zadania te chce wykonywać samodzielnie, czy też przy pomocy Administratora Bezpieczeństwa Informacji. W tym drugim przypadku w ustawie wprowadzono dodatkowe, korzystne rozwiązania dla administratorów danych. Nowe zasady organizacji ochrony danych Z konstrukcyjnego punktu widzenia organizacja ochrony danych osobowych przez administratorów danych może być realizowana w dwóch, równoważnych modelach: a) samodzielnie przez administratora danych (ADO) albo b) z udziałem Administratora Bezpieczeństwa Informacji (ABI), powołanego przez administratora danych. Należy podkreślić, że wybór jednego z powyższych modeli nie ma znaczenia z punktu widzenia zakresu ochrony danych osobowych, do której zobowiązany jest ADO. W obu modelach administratorzy danych są zobowiązani do podjęcia działań tego samego rodzaju, np. w zakresie doboru środków technicznych i organizacyjnych zabezpieczenia danych. Z drugiej strony w dyrektywie nr 95/46/WE Parlamentu Europejskiego i Rady z 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych 1 uprzywilejowano model z udziałem ABI-ego. W art. 18 ust. 2 dyrektywy określony jest on jako urzędnik do spraw ochrony danych osobowych (data protection official). W myśl regulacji unijnej, administratorzy danych, którzy w ramach swoich struktur stworzą tego rodzaju funkcję, mogą liczyć na zwolnienie z obowiązku zgłaszania przetwarzania danych do rejestracji w organie ds. ochrony danych osobowych. Jest to wyraz preferowanej na poziomie unijnym idei zapewnienia nie tylko kontro- 1 Dz.U. UE nr L 281 z r. XAWERY KONARSKI adwokat, starszy wspólnik w Kancelarii Prawnej Traple Konarski Podrecki i Wspólnicy, ekspert prawny Polskiej Izby Informatyki i Telekomunikacji, Polskiej Izby Ubezpieczeń oraz Związku Pracodawców Branży Internetowej IAB Polska li instytucjonalnej w zakresie ochrony danych, sprawowanej przez powołany do tego organ (w Polsce Generalnego Inspektora Ochrony Danych Osobowych, GIODO), ale także kontroli funkcjonalnej, realizowanej w ramach struktury wewnętrznej administratora danych 2. Przyjmuje się, że kontrola tego rodzaju jest efektywniej organizowana w sytuacji powołania specjalnej struktury u administratora danych. Funkcjonowanie ABI przed nowelizacją W dotychczasowym stanie prawnym funkcjonowanie ABI było regulowane jednym przepisem, tj. art. 36 ust. 3 ustawy o ochronie danych osobowych 3. Zgodnie z nim administrator wyznacza Administratora Bezpieczeństwa Informacji, nadzorującego przestrzeganie zasad ochrony, chyba że sam wykonuje te czynności. Z treści tego przepisu Generalny Inspektor wywodził obowiązek wyznaczania ABI przez tych administratorów danych, którzy działają jako osoby prawne (np. spółki). Stanowisko to zostało potwierdzone w orzecznictwie sądów administracyjnych 4. Obowiązku takiego nie mieli natomiast ci administratorzy danych, którzy byli osobami fizycznymi (np. przedsiębiorcy prowadzący jednoosobową działalność gospodarczą). 2 Paweł Fajgielski, Administrator bezpieczeństwa informacji geneza, stan obecny i perspektywy zmian Dodatek Monitora Prawniczego nr 9/2004). 3 Ustawa z 29 sierpnia o ochronie danych osobowych (tekst jednolity: Dz.U. z 2014 r., poz. 1182). 4 Wyrok Naczelnego Sądu Administracyjnego z dnia 21 lutego 2014 r. (I OSK 2445/12). Szersze omówienie tego orzeczenia w niniejszym numerze M. Bienias Administrator danych może realizować zadania ABI. OCHRONA DANYCH OSOBOWYCH 143 STYCZEŃ 2015