Ochrona danych osobowych po nowelizacji

Przeczytaj także: Ochrona danych osobowych po zmianach

Podstawowym zamierzeniem nowelizacji jest poprawienie warunków wykonywania działalności gospodarczej, w tym m.in. poprzez przyjęcie rozwiązań mających zredukować lub względnie uprościć liczne obowiązki spoczywające na przedsiębiorcach. Zmiany objęte nowelizacją dotyczą także obowiązków w zakresie ochrony przetwarzania danych osobowych.

Jedna z najistotniejszych zmian przewidzianych w nowelizacji odnośnie przepisów o ochronie danych osobowych dotyczy obowiązku rejestracji zbiorów danych osobowych. W tym miejscu warto przypomnieć, że w poprzednim stanie prawnym, o ile nie zachodził określony w przepisach wyjątek, wskazane w przepisach podmioty (w tym przedsiębiorcy) zobowiązani byli zgłosić każdy zbiór przetwarzanych danych Generalnemu Inspektorowi Danych Osobowych (dalej „GIODO”), prowadzącemu rejestr zbiorów. Zgodnie zaś z obecnymi przepisami, prowadzenie rejestru zbiorów danych przetwarzanych przez dany podmiot należy do zadań administratora bezpieczeństwa informacji, powołanego w tym podmiocie. Należy przy tym wskazać, że stosownie do nowych regulacji powołanie i odwołanie administratora bezpieczeństwa informacji podlega zgłoszeniu do rejestracji GIODO w terminie 30 dni od dnia jego powołania lub odwołania. W rezultacie, kompetencje GIODO zostały poszerzone o prowadzenie ogólnokrajowego, jawnego rejestru administratorów bezpieczeństwa informacji. Nowe przepisy określiły ponadto tryb zgłaszania i wykreślania administratora bezpieczeństwa informacji.

W związku z powyższym, od dnia wejścia w życie nowelizacji, przedsiębiorcy mogą wedle swojego uznania albo zgłaszać do rejestracji GIODO zbiory danych albo też powoływać i zgłaszać do rejestracji GIODO administratorów bezpieczeństwa informacji, odpowiedzialnych za prowadzenie rejestru tych zbiorów. Warto przy tym zaznaczyć, że podobnie jak rejestr zbiorów prowadzony przez GIODO tak i rejestry prowadzone przez administratorów bezpieczeństwa informacji są jawne, a zatem każdy może je przeglądać.

Poza prowadzeniem rejestru zbiorów danych, w drodze nowelizacji administratorom bezpieczeństwa informacji zostały przyznane także inne nowe kompetencje. Jedną z nich jest obowiązek zapewniania przestrzegania przepisów o ochronie danych osobowych, które ma polegać w szczególności na sprawdzaniu zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych i opracowaniu w tym zakresie sprawozdania dla administratora danych w danym podmiocie. W nowelizacji określono także jakie informacje powinno zawierać takie sprawozdanie. Co przy tym istotne, o dokonanie sprawdzenia zgodności, o jakim mowa powyżej, może zwrócić się do administratora bezpieczeństwa informacji także GIODO. W takim przypadku stosowne sprawozdanie jest przekazywane, za pośrednictwem administratora danych, do GIODO.

Do zadań administratora bezpieczeństwa informacji włączono także nadzorowanie opracowania i aktualizowania wymaganej przepisami dokumentacji opisującej sposób przetwarzania danych oraz zastosowane środki ochrony, a zatem polityki bezpieczeństwa oraz instrukcji zarządzania systemem informatycznym. Ponadto określono jakie wymagania musi spełniać osoba pełniąca funkcję administratora bezpieczeństwa informacji, czego nie przewidywały dotychczasowe przepisy o ochronie danych osobowych. Do wymagań, o jakich mowa powyżej, zaliczono m.in. obowiązek posiadania pełnej zdolności do czynności prawnych oraz korzystania z pełni praw publicznych, a także posiadanie odpowiedniej wiedzy w zakresie ochrony danych osobowych.

Kolejna z istotnych zmian polega na rozszerzeniu katalogu zbiorów danych niepodlegających obowiązkowi rejestracji. Zgodnie z nowymi przepisami, ze zwolnienia tego korzystają także zbiory, które nie są prowadzone z wykorzystaniem systemów informatycznych, z wyjątkiem zbiorów zawierających tzw. dane wrażliwe (tj. takie dane jak pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne, przynależność partyjną lub związkową, informacje o stanie zdrowia).

W nowelizacji znalazły się także zmiany dotyczące przekazywania danych osobowych do państw trzecich, które nie zapewniają na swoim terytorium odpowiedniego poziomu ochrony takich danych. W tym zakresie określono przypadki, w których w opisanych powyżej okolicznościach przekazanie danych jest możliwe z pominięciem obowiązku uzyskania zgody GIODO.

Podsumowując, nowelizacja wprowadziła istotne zmiany w zakresie regulacji dotyczących ochrony danych osobowych. Do najistotniejszych z nich należy wprowadzenie możliwości powołania i zgłoszenia do GIODO administratora bezpieczeństwa informacji, który zgodnie z nowymi przepisami odpowiada za prowadzenie zbiorów danych przetwarzanych przez dany podmiot, dzięki czemu zbiorów tych nie trzeba zgłaszać do GIODO. Nowelizacja przyznała administratorowi bezpieczeństwa informacji także inne nowe kompetencje oraz włączyła do katalogu zbiorów danych niepodlegających rejestracji zbiory prowadzone z wykorzystaniem systemów informatycznych nieobejmujące jednak tzw. danych wrażliwych. Nowe rozwiązania mają ułatwić przedsiębiorcom realizację obowiązków w zakresie ochrony danych osobowych, a tym samym przyczynić się do ogólnego ułatwienia prowadzenia działalności gospodarczej. Z czasem przekonamy się czy wprowadzone zmiany przyniosą zakładane rezultaty.