Source: https://poradnikprzedsiebiorcy.pl/-rejestracja-zbiorow-danych-w-giodo
Timestamp: 2019-04-23 08:00:07+00:00

Document:
Rejestracja zbiorów danych w GIODO - darmowy wzór z omówieniem - Poradnik Przedsiębiorcy
Zbiory danych osobowych - definicja
Które zbiory należy zgłosić w GIODO w 2015 roku?
Jakie zbiory danych są zawsze zwolnione z rejestracji?
Rejestr GIODO a jawny rejestr wewnętrzny
Jak zgłosić zbiór danych w GIODO?
Rok 2015 przyniósł zmiany w zakresie ustawy o ochronie danych osobowych. Wprowadzono możliwość rejestracji Administratora bezpieczeństwa informacji w GIODO, a przy tym zmieniono kryteria rejestracji zbiorów danych. Kiedy zatem i jakie zbiory podlegają rejestracji w GIODO?
Aby zarejestrować dane, należy je na początku zidentyfikować. W tym celu należy zapoznać się z definicją zawartą w art. 7 ustawy o ochronie danych osobowych.
Art. 7 Ustawy o ochronie danych osobowych
zbiorze danych - rozumie się przez to każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie.
W pierwszej kolejności należy zatem zidentyfikować, gdzie w firmie następuje praca z danymi osobowymi, a następnie określić kryteria dostępu i zdefiniować poszczególne zbiory danych przetwarzanych w firmie.
Przetwarzanie danych osobowych to nie tylko praca na nich, ale już samo ich zbieranie.
Obecnie obowiązek rejestracji danych w GIODO zależy od wielu czynników. Pierwszym jest kwestia zarejestrowania ABI-ego. Jeżeli jest zarejestrowany, obowiązek rejestracji zbiorów danych w dużej mierze zostaje zniesiony. Inaczej jest, gdy firma nie decyduje się rejestrować administratora bezpieczeństwa informacji. Wówczas bowiem nakłada się na nią obowiązek rejestracji zbiorów poza tymi wymienianymi przez ustawę jako zwolnione z rejestracji.
Rejestracja zbiorów danych o których mowa w art. 43 ust. 1 wymienia zwolnienia w zakresie rejestracji.
Art. 43 ust. 1 Ustawy o ochronie danych osobowych
12) przetwarzanych w zbiorach, które nie są prowadzone z wykorzystaniem systemów informatycznych, z wyjątkiem zbiorów zawierających dane, o których mowa w art. 27 ust. 1 [danych wrażliwych].
Dodatkowo art. 43 ust. 1a stanowi, iż zwolnieni z rejestracji zbiorów danych w GIODO są również ci, którzy powołali i zarejestrowali ABI-ego w rejestrze prowadzonym przez Generalnego Inspektora Ochrony Danych Osobowych. W ich przypadku zwolnienie odnosi się do wszystkich zbiorów (nie tylko tych wymienionych w art. 43 ust. 1) z jednym wyjątkiem, którym są zbiory danych wrażliwych - te podlegają rejestracji w GIODO bez względu na to, czy ABI został powołany/zarejestrowany, czy też nie.
Podmiot, który nie zarejestrował ABI-ego w rejestrze administratorów prowadzonym przez GIODO, jest zobowiązany do rejestracji zbiorów danych w rejestrze prowadzonym przez Głównego Inspektora (oczywiście poza zwolnieniami jakie przewiduje w tym zakresie ustawa, a mianowicie art. 43 ust. 1). Natomiast ten kto zarejestrował ABI-ego, jest co prawda zwolniony z rejestracji zbiorów danych zwykłych w GIODO, ale w zamian za to zobowiązany jest do prowadzenia jawnego rejestru zbiorów danych osobowych u siebie.
Administratorzy danych, którzy są zobowiązani do zarejestrowania zbiorów danych osobowych, a mianowicie:
przetwarzający dane wrażliwe niepodlegające zwolnieniu z obowiązku rejestracji oraz
którzy nie zarejestrowali w GIODO ABI-ego,
są zobowiązani dokonać zgłoszenia zbiorów w GIODO. Mają dwie możliwości rejestracji:
elektroniczną;
tradycyjną - papierową.
Wniosek rejestracyjny został podzielony na 6 części.
Część A. Wniosek
Należy podać nazwę rejestrowanego zbioru. Przykładowe nazwy zbiorów danych:
klienci sklepu XYZ;
uczestnicy konkursu XYZ;
prenumeratorzy newslettera.
Dane wnioskodawcy czyli ADO (administrator danych osobowych).
Przedstawiciel wnioskodawcy (dotyczy wyłącznie podmiotów mających siedzibę albo miejsce zamieszkania w państwie trzecim).
Informacja o powierzeniu danych, a dokładnie o podmiotach, którym te dane powierzono lub zamierza się je powierzyć (nazwa i adres).
Wskazanie podstawy prawnej do przetwarzania danych osobowych, gdzie do wyboru jest 5 przesłanek:
zgoda;
przepis prawa;
wzajemna umowa;
wykonanie określonych prawem zadań realizowanych dla dobra publicznego;
prawnie usprawiedliwiony cel ADO (w tym w szczególności: marketing bezpośredni własnych produktów/usług; dochodzenie roszczeń).
Część C. Cel przetwarzania danych, opis kategorii osób, których dane dotyczą, oraz zakres przetwarzanych danych
5. Cel przetwarzania danych.
6. Opis kategorii osób, których dane dotyczą.
7. Zakres przetwarzania danych, gdzie wskazano 12 punktów do wyboru:
8. Możliwość wymienienia pozostałych danych, poza tymi jakie nie widnieją w pkt. 7.
9. Charakter danych jeżeli rejestrowany jest zbiór danych wrażliwych.
10. Wskazanie podstawy przetwarzania danych, o których mowa w pkt. 9. Jeżeli w pkt. 9 nie została zaznaczona żadna ze wskazanych danych należy pominąć pkt 10 i przejść do kolejnej części formularza.
11. Pochodzenie danych. Należy wskazać, czy dane będą zbierane:
od osób, których dotyczą czy
12. Czy dane będą udostępniane? Czyli, czy administrator danych osobowych będzie umożliwiał wgląd do danych podmiotom innym niż upoważnionym na podstawie przepisów prawa.
13. Wskazanie odbiorców lub kategorii odbiorców, którym dane dotyczące rejestrowanego zbioru mogą być przekazywane.
Odbiorcy danych to każdy, komu udostępnia się dane osobowe, z wyłączeniem:
przedstawiciela, o którym mowa w art. 31a,
podmiotu, o którym mowa w art. 31,
organów państwowych lub organów samorządu terytorialnego, którym dane są udostępniane w związku z prowadzonym postępowaniem.
14. Należy uzupełnić, jeżeli planowane jest przekazywanie danych do państwa trzeciego czyli nienależącego do EOG (Europejskiego Obszaru Gospodarczego).
Część E. Opis środków technicznych i organizacyjnych zastosowanych w celach określonych w art. 36-39 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych
15. Wskazuje się w jakiej formie prowadzony jest zbiór:
centralnie czy w architekturze rozproszonej (lokalizacja w jednym miejscu czy też w wielu budynkach/serwerach w rozproszonej lokalizacji);
wyłącznie w formie papierowej czy też z użyciem systemu informatycznego;
z użyciem systemu informatycznego połączonego z internetem (sieć publiczna) czy też bez takich połączeń.
16. Informacja o wypełnieniu przez administratora danych osobowych obowiązków wynikających z ustawy, a mianowicie:
czy został wyznaczony administrator danych bezpieczeństwa informacji (ABI), nadzorujący przestrzeganie zasad ochrony przetwarzanych danych osobowych;
czy administrator danych sam wykonuje czynności ABI;
czy do przetwarzania danych zostały dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez ADO;
czy prowadzona jest ewidencja osób upoważnionych do przetwarzania danych;
czy została opracowana i wdrożona polityka bezpieczeństwa;
czy została opracowana i wdrożona instrukcja zarządzania systemem informatycznym;
czy opracowano i wdrożono inne środki mające na celu zabezpieczenie danych osobowych, a jeżeli tak to jakie?
Część F. Informacja o sposobie wypełniania warunków technicznych i organizacyjnych, o których mowa w rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r.w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024)
17. W tym punkcie należy wskazać poziom bezpieczeństwa przetwarzania danych w systemie informatycznym, który wdrożył administrator danych.
Poziom wysoki należy zastosować, jeżeli już przynajmniej jedno urządzenie systemu informatycznego służącego do przetwarzania danych osobowych połączone jest z siecią publiczną. Pkt 17 dotyczy wyłącznie zbiorów, które przetwarzane są z wykorzystaniem systemu informatycznego.
Wniosek rejestracyjny kończy się datą, podpisem i pieczęcią wnioskodawcy.
Zalacznik--Wzor-zgloszenia-zbioru-danych-do-rejestracji.pdf druk do ręcznego wypełnienia
Rejestracja zbiorów danych w GIODO od 2015 roku uległa zmianie. Kiedy i jakie zbiory należy zgłaszać oraz jak wypełnić wniosek rejestracyjny? W artykule znajdziesz szczegółowe omówienie i darmowy wzór wniosku o powołanie ABI formacie pdf.

References: art. 7

Art. 7
 art. 43

Art. 43
 art. 27
 art. 43
 art. 43
 art. 43
 art. 31
 art. 31
 art. 36