Source: http://portalodo.com/rejestruje-czyli-o-zglaszaniu-zbiorow-do-rejestru-giodo/
Timestamp: 2019-05-26 11:37:21+00:00

Document:
"Rejestruję", czyli o zgłaszaniu zbiorów do rejestru GIODO | Portal ODO
Czego można dowiedzieć się z rejestru?
Z rejestru można dowiedzieć się nie tylko, czy dany zbiór został w ogóle zarejestrowany, ale również na jakiej podstawie przetwarzane są dane wchodzące w skład zbioru, jaki jest cel przetwarzania bądź zakres zbieranych danych. Zakres informacji ujawnianych w rejestrze regulowany jest ustawowo i wynika z art. 42 ust. 1 w związku z art. 41 ust. 1 pkt 1-4a i pkt 7. Oznacza to, że ogólnodostępnymi są informacje o tym, jaki podmiot jest administratorem w stosunku do danego zbioru, jaki jest cel przetwarzania danych osobowych i zakres przetwarzanych danych, a także w jaki sposób zbierane są lub udostępniane są dane włączone do zbioru. Ponadto, w rejestrze znaleźć można informacje o odbiorcach lub kategoriach odbiorców danych, a także o przypadkach ewentualnego przekazywania danych do państw trzecich.
W samym zgłoszeniu zawarty jest również opis środków technicznych i organizacyjnych, zastosowanych przez administratora, o których mowa w art. 36-39 oraz informacja o sposobie wypełnienia warunków technicznych i organizacyjnych, określonych w art. 39 a. Choć administrator wypełniając zgłoszenie, przekazuje Generalnemu Inspektorowi te informacje, nie są one publikowane w rejestrze.
Kiedy zgłaszać zbiór?
Bardzo istotny, a w praktyce często pomijany, pozostaje moment powstania obowiązku rejestracyjnego. Zgodnie z art. 46 ust. 1 ustawy, zgłoszenia zbioru do rejestracji w przypadku przetwarzania danych osobowych zwykłych należy dokonać przed przystąpieniem do przetwarzania danych. Co ważne dla poprawności przetwarzania danych osobowych konieczne jest zgłoszenie zbioru, a nie uzyskanie jego rejestracji przed przystąpieniem do przetwarzania.
Inaczej jest w przypadku, o którym mowa w art. 46 ust. 2 ustawy o ochronie danych osobowych. Administrator danych osobowych wrażliwych może bowiem rozpocząć ich przetwarzanie w zbiorze dopiero po jego zarejestrowaniu. Ten zaostrzony wymóg związany jest z większą ochroną, jaką ustawodawca zapewnia, gdy dochodzi do przetwarzania danych sensytywnych.
O zmianach też trzeba informować
Art. 41 ust. 2 ustawy zobowiązuje administratora do zgłaszania GIODO każdej zmiany informacji, zawartych w samym zgłoszeniu. Obowiązek aktualizacji zgłoszenia zrealizowany być musi w terminie 30 dni od dnia dokonania zmiany w zbiorze danych. Ustawa przewiduje od tej reguły jeden wyjątek. Jeśli administrator przetwarzający dotychczas tylko dane osobowe zwykłe zamierza rozszerzyć zakres przetwarzanych danych o dane wrażliwe, musi zgłosić taką zmianę przed przystąpieniem do przetwarzania. Art. 41 ust. 4 zakłada, że do zgłaszania zmian znajdują odpowiednie zastosowanie przepisy o rejestracji zbiorów danych. Dla zgłaszającego oznacza to, że zgłoszenie aktualizacyjne wypełni na takim samym formularzu, na jakim dokonywał pierwszego zgłoszenia zbioru.
Czy GIODO zawsze zarejestruje zbiór?
Ustawodawca przewidział przypadki, w których pomimo zgłoszenia zbioru, nie dojdzie do jego rejestracji (art. 44 ustawy o ochronie danych osobowych). Decyzja odmowna zostanie wydana, gdy nie zostały wypełnione wszystkie elementy zgłoszenia, o których była mowa w poście, a które wskazuje art. 41 ust. 1 ustawy.
Ponadto, nie dojdzie do rejestracji, jeśli przetwarzanie danych, wchodzących w skład zbioru, który podlega zgłoszeniu, naruszałoby zasady przetwarzania, o których mowa w art. 23 -28 ustawy. Chodzi tutaj o przypadki przetwarzania danych bez podstawy prawnej, przetwarzania danych niezgodnie z zasadą adekwatności, celowości, ograniczenia czasowego czy też przetwarzania danych mimo niespełnienia obowiązku informacyjnego.
Decyzją odmowną zakończy się również próba zgłoszenia zbioru w przypadku, gdy urządzenia i systemy informatyczne służące do przetwarzania danych w zbiorze nie spełniają podstawowych warunków technicznych i organizacyjnych, o których mowa w rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 roku w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych, wydanym na postawie art. 39 a ustawy.
Jak zgłaszać zbiory?
Zgłoszenia zbiorów dokonywać można w formie papierowej. Warto jednak dodać, że na stronie internetowej Generalnego Inspektora Ochrony Danych Osobowych dostępny jest elektroniczny formularz, umożliwiający dokonanie rejestracji, jeśli zgłaszający dysponuje bezpiecznym podpisem elektronicznym. Jeśli takim podpisem zgłaszający nie dysponuje, nadal możliwe jest zgłoszenie drogą elektroniczną. W takim wypadku, należy jednak uzupełnić zgłoszenie, dosyłając odpowiednio podpisany wydruk formularza elektronicznego pocztą.
Ustawa przewiduje szereg zwolnień z obowiązku rejestracji. O nich, a także o wykreślaniu zbiorów z rejestru oraz o zmianach w obowiązku rejestracyjnym, przewidzianych w projekcie rozporządzenia ogólnego, pisać będziemy w kolejnym poście.

References: art. 42
 art. 41
 art. 36
 art. 39
 art. 46
 art. 46

Art. 41
 Art. 41
 art. 41
 art. 23
 art. 39