Source: https://prawosportowe.pl/a/ochrona-danych-osobowych
Timestamp: 2019-12-07 19:04:02+00:00
Document Index: 32742539

Matched Legal Cases: ['art. 6', 'art. 7', 'art. 43', 'art. 43', 'art. 43', 'art. 39']

Ochrona danych osobowych - PrawoSportowe.pl
Zagadnienia dotyczące ochrony danych osobowych niejednokrotnie były przedmiotem analizy autorów wpisów na portalu PrawoSportowe.pl. Prawdopodobnie pojawia się więc także pytanie: czy posiadany przez klub, związek sportowy zbiór danych jest zbiorem danych osobowych w rozumieniu ustawy o ochronie danych osobowych i czy należy go rejestrować Generalnemu Inspektorowi Ochrony Danych Osobowych (GIODO)? W związku z tym, dzisiaj przedstawię najważniejsze informacje w tym zakresie, na które powinny zwrócić uwagę m.in. wskazane podmioty.
Obowiązkowi rejestracji w GIODO podlegają zbiory danych osobowych. Zgodnie z ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 1997 nr 133 poz. 883 z późn. zm.), dalej u.o.d.o. za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej”(art. 6 ust.1.). Natomiast zgodnie z art. 7 u.o.d.o. zbiorem danych osobowych jest, „każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie”. Żeby więc jakikolwiek zestaw danych zaklasyfikować jako zbiór w rozumieniu przepisów ustawy, wystarczające jest kryterium umożliwiające odnalezienie danych osobowych w zestawie. Możliwość wyszukania według jakiegokolwiek kryterium osobowego (np. imię, nazwisko, PESEL) bądź nieosobowego (np. data zamieszczenia danych w zbiorze) już przesądza o uporządkowanym charakterze zestawu danych i tym samym umożliwia zakwalifikowanie go jako zbioru danych osobowych. Mając na uwadze powyższe, tylko będący zbiorem danych osobowych usystematyzowany zestaw danych powinien być zgłoszony do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych, o ile nie zachodzi żadna z przesłanek określonych w art. 43 ustawy (przepis ten zawiera katalog wyjątków od obowiązku rejestracji zbioru).
Należy jednak mieć na uwadze, że zwolnienie z obowiązku zgłoszenia do rejestracji nie jest równoznaczne ze zwolnieniem od obowiązku zabezpieczenia danych osobowych, zgodnie z postanowieniami rozdziału 5 u.o.d.o.
W odniesieniu do stowarzyszeń czy fundacji, to głównie przetwarzają one dane osób zrzeszonych u nich – co w związku z brzmieniem art. 43 ust. 1 pkt 4 wiąże się ze zwolnieniem zbiorów obejmujących te dane z obowiązku zgłoszenia do GIODO. Jednak w przypadku gdy poza osobami zatrudnionymi lub zrzeszonymi przetwarzane są inne dane, to wówczas wystąpi już obowiązek zgłoszenia zbiorów do GIODO - chyba że dane przetwarzane są wyłącznie w formie papierowej (przetwarzanych w zbiorach, które nie są prowadzone z wykorzystaniem systemów informatycznych) lub przetwarzanie następuje wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej – bądź jeżeli zajdą inne okoliczności określone w art. 43 ust. 1 u.o.d.o. Podmioty, które przetwarzają zbiory podlegające zgłoszeniu do GIODO muszą wybrać: opcję wdrożenia systemu ochrony danych z funkcją Administratora Bezpieczeństwa Informacji (ABI) lub rejestrując zbiory w GIODO. Możliwe są więc dwa warianty. Albo pełnienie funkcji nadzorcy ochrony danych przez administratora danych z wdrożeniem dokumentacji i rejestracją zbiorów do GIODO, albo wyznaczenie i zgłoszenie do rejestru ABI, który będzie czuwał nad dokumentacją i zbiorami wewnątrz danego podmiotu.
Należy mieć także na uwadze, że jeżeli dany podmiot przetwarza dane osobowe, za co zgodnie z u.o.d.o. uważa się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych, to musi posiadać dokumentację przetwarzania danych osobowych, zgodną z rozporządzeniem do art. 39a u.o.d.o. w tym szczególnie dokument polityki bezpieczeństwa, instrukcje zarządzania systemem informatycznym, wykazy ewidencyjne czy umowy powierzenia przetwarzania danych osobowych.