Choć przełom roku obfitował w duże zamieszanie związane z nowelizacją przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, zmiany obowiązujące od 1 stycznia br. to ciągle aktualny temat. Duży blok zagadnień poświęcono Administratorom Bezpieczeństwa Informacji i nie ulega wątpliwości, że wymagania stawiane ABI po zmianie przepisów stanowią przejaw wzmocnienia jego roli.
ABI z misją do spełnienia
Kluczowa nowość dotycząca każdego ABI to obowiązki, które zostały wprost określone w ustawie o ochronie danych osobowych. Od 1 stycznia 2015 r. osoba pełniąca funkcję ABI jest odpowiedzialna za zapewnianie przestrzegania przepisów o ochronie danych osobowych, w szczególności przez:
Ciekawą zmianą jest niesformalizowany dotąd obowiązek sprawozdawczości. Ważne jest, że przeprowadzenie sprawdzenia może odbyć się nie tylko na rzecz administratora danych (np. w formie audytu wewnętrznego), ale także na skutek zwrócenia się GIODO do ABI o dokonanie takiego sprawdzenia. W tym pierwszym przypadku ustawodawca wymaga od ABI przygotowania planu sprawdzeń. W praktyce sprowadza się to do tego, że kwestie takie jak przedmiot, zakres, termin przeprowadzenia sprawdzeń oraz sposób ich dokumentowania muszą być z góry przemyślane i konsekwentnie realizowane przez ABI. Z kolei każde sprawdzenie, czy to dokonywane dla administratora danych (planowo lub doraźnie), czy na skutek zwrócenia się o jego dokonanie przez GIODO, kończy się opracowaniem sprawozdania. Zawierać ma ono m. in wykaz czynności podjętych przez ABI w toku sprawdzenia oraz imiona, nazwiska i stanowiska osób biorących udział w tych czynnościach, czy planowane lub podjęte działania przywracające stan zgodny z prawem, w przypadku zauważenia naruszeń w toku sprawdzenia. Jeszcze zatem w trakcie lub przed sprawdzeniem ABI będzie musiał się dokładnie zastanowić, jak wykonywać swoje zadanie i osiągnąć zamierzony efekt końcowy (czyli sprawozdanie), zgodnie z oczekiwaniami ustawodawcy.
Do kompletu nowych zadań ABI zaliczyć należy także prowadzenie jawnego rejestru zbiorów danych przetwarzanych przez administratora danych, za wyjątkiem zbiorów które podlegają ustawowemu zwolnieniu z obowiązku zgłoszenia do rejestracji (np. zbiory danych pracowników, danych kontaktowych, zbiory, które nie są prowadzone z wykorzystaniem systemów informatycznych,).
Na tym jednak nie koniec, ponieważ sięgając do ustawy o ochronie danych osobowych przekonamy się, że nic nie stoi na przeszkodzie, by ABI miał wyznaczone także inne czynności. Administrator danych może bowiem powierzyć Administratorowi Bezpieczeństwa Informacji wykonywanie innych obowiązków, jeżeli nie naruszy to prawidłowego wykonywania ustawowo określonych zadań.
ABI – wielki nieobecny?
Od początku tego roku powołanie ABI to możliwość dla administratora danych, a nie obowiązek. Należy jednak pamiętać, że jeżeli zabraknie ABI w organizacji, wszystkie wyżej wskazane zadania, przypisane ABI na mocy znowelizowanych przepisów (za wyjątkiem opracowania sprawozdania po sprawdzeniu i prowadzenia jawnego rejestru zbiorów), zostaną automatycznie przeniesione na administratora danych, odpowiedzialnego odtąd za ich wykonanie. Idąc dalej, brak powołania ABI nie wyłącza stosowania przepisów ustawy o ochronie danych osobowych, więc ostatecznie i tak u administratora danych musiałaby być co najmniej jedna osoba zaznajomiona dostatecznie z tematyką ochrony danych osobowych i kompetentna do sprawowania pieczy nad systemem ochrony danych osobowych. Pytanie więc, czy warto rezygnować z obecności ABI?
W praktyce powołanie ABI może się wiązać z określonymi korzyściami, jak np. zwolnienie z obowiązku rejestracji zbiorów danych osobowych, które temu obowiązkowi podlegają (za wyjątkiem zbiorów zawierających dane wrażliwe), czy zminimalizowanie ryzyka kontroli przez inspektorów GIODO na rzecz skorzystania przez organ z uprawnienia zwrócenia się do ABI o przeprowadzenie sprawdzenia (wówczas sprawdzenie wykonywane będzie przez ABI). Posiadając ABI mamy także niejako gwarancję scentralizowanego systemu kontroli nad systemem ochrony danych osobowych. Do instytucji, jako administratorów danych, należy więc podjęcie decyzji, czy skorzystać z uprawnienia, jakim jest powołanie ABI i czy osobę do pełnienia tej funkcji wyznaczyć spośród kadry wewnętrznej, czy może zewnętrznych specjalistów.
Katarzyna Ułasiuk – konsultantka ds. bezpieczeństwa informacji, iSecure Sp. z o.o.
