Zmiany w ustawie o ochronie danych osobowych – nowy status ABI

Od 01 stycznia 2015 r. obowiązują istotne zmiany przepisów ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997 r. (dalej: uodo). Zmiany te zostały wprowadzone ustawą z dnia 7 listopada 2014 r. o ułatwieniu wykonywania działalności gospodarczej. Mają one stworzyć dla administratorów danych, w tym przedsiębiorców, ułatwienia w zakresie stosowania się do wymogów ustawy w obszarze dokumentowania czynności i kontaktów z Generalnym Inspektorem Ochrony Danych Osobowych (dalej; GIODO). Dotyczą one dwóch kwestii, tj. zmian w zakresie obowiązku rejestracji zbiorów danych i możliwości korzystania przez administratorów danych z instytucji Administratora Bezpieczeństwa Informacji (dalej: ABI), któremu przyznane zostały nowe prawa i obowiązku, a tym samym nadające ABI nowy status.

W zakresie obowiązku rejestracji zbiorów danych do dotychczas obowiązujących zwolnień (art. 43 ust. 1 uodo) wprowadzone zostało zwolnienia z obowiązku rejestracji zbiorów danych przetwarzanych w zbiorach, które nie są prowadzone z wykorzystaniem systemów informatycznych (tzw. „papierowych”), z wyjątkiem zbiorów zawierających tzn. dane „wrażliwe” (art. 27 ust. 1 uodo), jako szczególnie chronione. W przypadku natomiast powołania przez administratora danych ABI i zgłoszenia tego faktu GIODO taki administrator danych już nie będzie podlegał obowiązkowi rejestracji zbiorów danych osobowych, z wyjątkiem zbiorów zawierających ww. dane „wrażliwe”. Zadaniem powołanego przez niego ABI będzie bowiem prowadzenie rejestru zbiorów danych przetwarzanych przez administratora danych. Rejestr ten ma być jawny, a sposób jego prowadzenia mają określić przepisy wykonawcze.

Oprócz ww. ABI uzyskał inne nowe prawa i obowiązki. Do jego zadań należy zapewnianie przestrzegania przepisów o ochronie danych osobowych, w szczególności przez: sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych o określonej przez przepisy uodo treści, nadzorowanie opracowania i aktualizowania wymaganej dokumentacji oraz przestrzegania zasad w niej określonych, czy zapewnianie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych.

Aby ABI mógł funkcjonować w ramach ww. statusu powinien zostać zgłoszony do rejestracji GIODO w terminie 30 dni od dnia jego powołania. Dotychczas powołani ABI przy spełnieniu warunków określonych w Ustawie powinni zostać zgłoszeni do rejestracji GIODO do dnia 30 czerwca 2015 r. (art. 35 ww. ustawy o ułatwieniu wykonywania działalności gospodarczej). Jeżeli administrator danych nie dokona w ww. terminie zgłoszenia dotychczasowego ABI do rejestracji, po dniu 30 czerwca 2015 r. przestaje on pełnić tę funkcję, a ww. zadania ABI,  z wyłączeniem prowadzenia ww. rejestru zbiorów danych przetwarzanych przez administratora danych oraz obowiązku sporządzania ww. sprawozdania  zobowiązany jest wykonywać administrator danych. Administrator danych po zgłoszeniu ABI do rejestracji zobowiązany jest zgłaszać GIODO każdą zmianę informacji objętych zgłoszeniem powołania ABI w terminie 14 dni od dnia zmiany, z tym że jego odwołanie w terminie 30 dni od dnia tego odwołania (art. 46b uodo).

Uprawnione jest stanowisko, że zgłoszenie dotychczasowego ABI do rejestracji, czy powołanie nowego jest uprawnieniem, a nie obowiązkiem administratora danych (administrator danych „może” powołać ABI – por. art. 36a uodo).  Natomiast na gruncie uchylonego w wyniku ww. zmiany przepisu art. 36 ust. 3 uodo, zgodnie z którym:  „Administrator danych wyznacza administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony, o których mowa w ust. 1, chyba że sam wykonuje te czynności.” wydane zostało orzeczenie (wyrok NSA z dnia 21 lutego 2014 r., sygn. akt I OSK 2445/12), z którego wyprowadzone zostało stanowisko, iż w każdej sytuacji, w której struktura organizacyjna administratora danych jest wieloosobowa, powinien on w ramach tej struktury wyznaczyć osobę fizyczną odpowiedzialną za wykonywanie czynności nadzorczych, powierzając jej obowiązki ABI, czy stanowisko, że należy przyjąć, że ABI powinien być osobą fizyczną, a w konsekwencji administrator danych może wykonywać jego czynności tylko wtedy, gdy jest osobą fizyczną.

Zmiana statusu ABI i związane z tym możliwe korzyści dla przedsiębiorców są na tyle istotne, że warto kwestię powołania ABI rozważyć. ABI powinien być osobą fizyczną. Przyjmuje się, że możliwy jest outsourcing tej funkcji. Ma to szereg zalet, ale na ile będzie to optymalne rozwiązanie zależy od wyboru właściwej osoby, której się te funkcje powierza i treści zawieranej umowy w tym zakresie. Dlatego szczególnie ważne jest właściwe opracowane treści tej umowy, bowiem wymogi i zadania stawiane ABI zostały w zmienionych przepisach uodo tylko ogólnie określone. Warto też przy okazji ww. zmian spojrzeć szerzej i zweryfikować dotychczas zastosowane rozwiązania w ramach systemu ochrony danych osobowych, a szczególnie stosowaną dokumentacji w tym zakresie i ewentualnie je przeorganizować lub też zmienić.