Source: http://adamklimowski.pl/na-prawo-patrz-5-co-musi-wiedziec-administrator-bezpieczenstwa-informacji.html
Timestamp: 2017-06-27 01:42:04+00:00
Document Index: 108252417

Matched Legal Cases: ['art. 36', 'art. 46', 'art. 36', 'art. 46', 'art. 43', 'art. 36']

© Na prawo patrz 5: co musi wiedzieć administrator bezpieczeństwa informacji? | Blog Adama Klimowskiego
abj, open	Na prawo patrz 5: co musi wiedzieć administrator bezpieczeństwa informacji?
21 stycznia 2015 1 stycznia 2015 r. zmieniła się ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. 2014 poz. 1182 ze zm., zwana dalej Ustawą), wprowadzająca spore zmiany, w większości dotyczących osoby administratora bezpieczeństwa informacji (ABI-ego). Nowością jest w szczególności wprowadzenie wymogów, jakie ABI musi spełniać, a które przedstawiają się następująco:
Przed zabraniem się do odpowiedzi na to pytanie sprawdziłem, co sądzą na ten temat osoby dłużej zajmujące się tematyką ochrony danych osobowych.
Krzysztof M. Król, Administrator bezpieczeństwa informacji – czy warto go powołać? (Lookreatywni)
Najważniejszym wymogiem jest posiadanie odpowiedniej wiedzy w zakresie ochrony danych osobowych. To w gestii administratora pozostanie decyzja, czy uważa on danego kandydata za spełniającego oczekiwania. Osoby te mogą podnosić swoje kompetencje poprzez szkolenia i certyfikaty.
Katarzyna Witkowska, Reforma ochrony danych osobowych – nowe obowiązki, nowe korzyści
Arwid Mednis, Nowy status administratorów bezpieczeństwa informacji
Posiadanie „odpowiedniej wiedzy”, wbrew pierwszym komentarzom po opublikowaniu ustawy, nie oznacza, że ABI musi mieć wykształcenie wyższe. Z drugiej strony, użycie przez ustawodawcę kolejnego wyrażenia nieostrego („odpowiednia wiedza”) może nieść dla administratorów danych poważne skutki. Brak odpowiedniej wiedzy może skutkować wykreśleniem ABI z rejestru prowadzonego przez GIODO co oznacza, że nie będzie on mógł pełnić tej funkcji u danego przedsiębiorcy lub innego podmiotu będącego administratorem danych.
Andrzej Lewiński, Administrator bezpieczeństwa informacji powinien być jak inspektor (Rzeczpospolita, 30 grudnia 2014 r., s. D4)
[Co należy rozumieć pod pojęciem odpowiednich kwalifikacji do zajmowania stanowiska ABI?] Ustawa tego nie precyzuje. I zresztą o to chodziło. Celem nowelizacji nie było tworzenie nowej grupy zawodowej, co stałoby w sprzeczności z ogólnym trendem do deregulacji zawodów. To decyzja administratora [danych osobowych – AK], kogo powoła na takie stanowisko. Działając we własnym interesie,powinien powołać osobę, która ma rzeczywistą wiedzę z zakresu ochrony danych.
JAKIE SĄ WYMAGANIA WOBEC KANDYDATÓW NA ABI? (strona internetowa GIODO)
Przesłanka posiadania przez ABI odpowiedniej wiedzy w zakresie ochrony danych osobowych (art. 36a ust. 5 pkt 2 u.o.d.o.) jest oceniana przez samego administratora danych. Działając we własnym interesie powinien on powołać osobę, która ma rzeczywistą wiedzę z zakresu ochrony danych. Znowelizowane przepisy u.o.d.o. nie wprowadzają wymogu posiadania przez ABI jakichkolwiek certyfikatów, poświadczeń ukończenia odpowiednich szkoleń itp. Poziom odpowiedniej wiedzy powinien być dostosowany do prowadzonych u administratora danych operacji przetwarzania danych oraz wymogów ich ochrony.
W mojej ocenie podkreślenia wymaga przede wszystkim, że ocena wiedzy ABI-ego dokonywana jest dwukrotnie:
W momencie zgłaszania ABI-ego do rejestru prowadzonego przez GIODO: zgłoszenia (zgodnie ze wzorem, stanowiącym załącznik do rozporządzenia wydanego na podstawie art. 46f Ustawy) dokonuje administrator danych osobowych (ADO). W treści zgłoszenia ADO deklaruje w szczególności, że ABI posiada odpowiednią wiedzę w zakresie ochrony danych osobowych.
W momencie badania przez GIODO spełnienia przesłanek z art. 36a ust. 5 Ustawy (w przypadku niespełnienia rzeczonych przesłanek GIODO z urzędu wydaje ADO decyzję o wykreśleniu ABI z rejestru, zgodnie z art. 46d ust. 2 pkt. 1 Ustawy).
O ile zatem na etapie zgłaszania ABI-ego do rejestru ADO ustna deklaracja ABI-ego może być uznana za wystarczającą, o tyle na etapie badania przez GIODO może w skrajnym przypadku (stwierdzenia przez GIODO, że deklarowana wiedza jest niewystarczająca) zaowocować wykreśleniem ABI-ego z rejestru. Oznacza to utratę korzyści związanych z powołaniem ABI-ego, np. możliwość niezgłaszania pewnych zbiorów danych osobowych (przetwarzanych u danego ADO) do GIODO (zgodnie z art. 43 ust. 1a Ustawy).
Wydaje się zatem, że działaniem najbezpieczniejszym jest przejście przez kandydata na ABI-ego szkolenia, na którym pozna tajniki zapewniania przestrzegania przepisów o ochronie danych osobowych (z naciskiem na sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych, opracowywanie dokumentacji opisującej sposób przetwarzania danych osobowych i prowadzenie rejestru zbiorów przetwarzanych przez ADO – vide art. 36a ust. 2 Ustawy).
Na prawo patrz - część 1
Na prawo patrz - część 2
← Idy blogowe siedem lat później: styczeń O przetwarzaniu danych osobowych – po angielsku → design by Netcodes
O przetwarzaniu danych osobowych – po angielsku (odsłon: 49 826)Idy blogowe siedem lat później: luty (odsłon: 7 515)Wyniki egzaminu wstępnego na aplikację radcowską (odsłon: 5 186)Na prawo patrz 5: co musi wiedzieć administrator bezpieczeństwa informacji? (odsłon: 4 820)10 źródeł informacji o ochronie danych osobowych (odsłon: 4 204)