Obowiązek powoływania Administratora Bezpieczeństwa Informacji dr Marlena Sakowska- Baryła radca prawny Wydział Prawny w Departamencie Obsługi i Administracji Urzędu Miasta Łodzi
Nowelizacja ustawy o ochronie danych osobowych Ustawa z dnia 7 listopada 2014 r. o ułatwieniu wykonywania działalności gospodarczej (Dz. U. z 2014 r. poz. 1662) istotne: art. 9, 35, 36 ustawa weszła w życie 1 stycznia 2015 r. Zakres zmian: 1.pozycja, zadania ABI 2. rejestracja zbiorów, rejestracja ABI 3. przekazywanie danych do państwa trzeciego 2
Na skutek nowelizacji uodo 1.Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 10 grudnia 2014 r. w sprawie wzorów zgłoszeń powołania i odwołania administratora bezpieczeństwa informacji (Dz. U. poz. 1934) 2.Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych (Dz. U. poz. 719) 3.Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji (Dz. U. poz. 745) 3
ABI w uodo przed nowelizacją POPRZEDNIO: art. 36 ust. 3 uodo Administrator danych wyznacza administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony, o których mowa w ust. 1, chyba że sam wykonuje te czynności. 4
Pozycja prawna ABI od 01.01.2015 r. Art. 36 ust. 3 skreślony Status ABI określają art. 36a-36c W wyniku nowelizacji: 1. fakultatywność powołania ABI 2. ustawowe określenie jego zadań 3.rozstrzygnięcie kwestii zastępców 4.określony status ABI i jego usytuowanie organizacyjne 5.ustawa wskazuje, kto może być ABI 5
Fakultatywność powołania ABI Art. 36a. 1. Administrator danych może powołać administratora bezpieczeństwa informacji. Co z już powołanym ABI? Co jeśli administrator danych nie zdecyduje się powoływać ABI? 6
Fakultatywność powołania ABI Art. 35. ustawy o ułatwieniu wykonywania działalności gospodarczej Administrator bezpieczeństwa informacji wyznaczony na podstawie art. 36 ust. 3 ustawy zmienianej w art. 9, w brzmieniu dotychczasowym, pełni funkcję administratora bezpieczeństwa informacji w rozumieniu art. 36a ust. 1 ustawy zmienianej w art. 9, w brzmieniu nadanym niniejszą ustawą, do czasu zgłoszenia go do rejestru, o którym mowa w art. 46c ustawy zmienianej w art. 9, w brzmieniu nadanym niniejszą ustawą, nie dłużej jednak niż do dnia 30 czerwca 2015 r. 7
Jeśli ADO zdecyduje się powołać ABI, powinien udokumentować ten fakt. Wyznaczenie ABI może nastąpić np.: w indywidualnym dokumencie akcie powołania ABI w drodze zarządzania poprzez wprowadzenie odpowiednich postanowień np. w "Polityce bezpieczeństwa", z których wynikać będzie, że osoba zajmująca dane stanowisko pełni tę właśnie funkcję 8
Kto może być ABI? Art. 36a. 5. Administratorem bezpieczeństwa informacji może być osoba, która: 1) ma pełną zdolność do czynności prawnych oraz korzysta z pełni praw publicznych; 2) posiada odpowiednią wiedzę w zakresie ochrony danych osobowych; 3) nie była karana za umyślne przestępstwo. 9
Pozycja ABI Art. 36a. 7. Administrator bezpieczeństwa informacji podlega bezpośrednio kierownikowi jednostki organizacyjnej lub osobie fizycznej będącej administratorem danych. Art. 36a. 8. Administrator danych zapewnia środki i organizacyjną odrębność administratora bezpieczeństwa informacji niezbędne do niezależnego wykonywania przez niego zadań, o których mowa w ust. 2. 10
Pozycja ABI Art. 36a. ust. 4. Administrator danych może powierzyć administratorowi bezpieczeństwa informacji wykonywanie innych obowiązków, jeżeli nie naruszy to prawidłowego wykonywania zadań, o których mowa w ust. 2. łączenie funkcji ABI i innych funkcji (np. ASI, pełnomocnika ds IN) WCZEŚNIEJ często BYWAŁO, że funkcja ABI była funkcją DODATKOWĄ czy tak może być nadal? nowe zadania: sprawozdania, prowadzenie rejestru zbiorów + zadania dotychczasowe 11
Zastępcy ABI Art. 36a. 6. Administrator danych może powołać zastępców administratora bezpieczeństwa informacji, którzy spełniają warunki określone w ust. 5. powołanie zastępców ABI jest fakultatywne uodo nie określa komu podlegać mają zastępcy ABI uodo nie określa usytuowania zastępców ABI w strukturze organizacyjnej 12
Co jeśli nie powołam ABI? Art. 36b. W przypadku niepowołania administratora bezpieczeństwa informacji zadania określone w art. 36a ust. 2 pkt 1, z wyłączeniem obowiązku sporządzania sprawozdania, o którym mowa w art. 36a ust. 2 pkt 1 lit. a, wykonuje administrator danych. Niepowołanie ABI oznacza brak konieczności sporządzania sprawozdania, ale: administrator danych wykonuje nadzór 13
Korzyści z powołania ABI 1) odciążenie ADO w zapewnianiu należytej ochrony danych osobowych; 2) zapewnienie stałego nadzoru nad przestrzeganiem zasad ochrony; 3) monitorowanie aktualności wprowadzonych rozwiązań i prawidłowości dokumentacji organizacyjnej i osobowej; 4) zaznajamianie personelu z zasadami ochrony danych osobowych przez osobę posiadającą odpowiednią wiedzę; 5) dostęp do sprawozdań obrazujących stopień zgodności przetwarzania danych z przepisami o ochronie danych, które dadzą ADO wiedzę odnośnie stanu ochrony i efektywności zastosowanych rozwiązań; 6) prowadzenie rejestru zbiorów danych dotychczas podlegających zgłoszeniu do rejestracji GIODO; 7) korzystanie ze srawdzenia na żądanie GIODO, która może zmniejszyć ryzyko kontroli prowadzonej przez GIODO. 14
Mankamenty powołania ABI 1) niezależność ABI i wyodrębnienie organizacyjne oraz ograniczony zakres jego zadań ABI ma zajmować się ochroną danych osobowych, a jedynie wyjątkowo innymi zadaniami; 2) koszty zatrudnienia profesjonalisty 3) zwolnienie z obowiązku zgłoszenia do rejestracji zbiorów ujętych w rejestrze prowadzonym przez ABI nie dotyczy zbiorów, w których przetwarza się tzw. dane wrażliwe; 4) sprawdzenie zlecone ABI przez GIODO nie wyłącza możliwości przeprowadzenia kontroli przez GIODO w zakresie objętym sprawdzeniem; 5) nowy obszar kontroli GIODO związany z powołaniem ABI 6) realizacja obowiązku zgłoszenia ABI do rejestracji przez GIODO, aktualizacji zgłoszeń i związanie terminami ustawowymi w tym zakresie 7) problemy z prowadzeniem rejestru zbiorów przez ABI 15
Dziękuję za uwagę! m.sakowska@uml.lodz.pl