Source: http://kancelariaaj.pl/publikacja11
Timestamp: 2018-12-13 21:30:31
Legal References Found: art. 24
 Art. 32
 art. 36
 art. 36
 art. 39
 art. 43
 art. 41

Document Content:
Kancelaria Radcy Prawnego Aneta Jastrzębska Publikacja 11
OBOWIĄZKI ADMINISTRATORA DANYCH OSOBOWYCH W ŚWIETLE PRZEPISÓW PRAWA
Większość przedsiębiorców w trakcie wykonywania działalności gospodarczej ma na różnych polach styczność z danymi osobowymi - informacjami o zatrudnionych pracownikach lub osobach współpracujących z nimi na podstawie umów cywilnoprawnych, informacjami o swoich klientach, podwykonawcach, itd.
Przesądza to o tym, że stają się oni administratorami danych osobowych będących w ich posiadaniu i przyjmują na siebie liczne obowiązki i ograniczenia nakładane przez przepisy prawa, w tym w szczególności przez:
- ustawę z dnia 29 sierpnia 1997 roku o ochronie danych osobowych (tekst jednolity: Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) (dalej "Ustawa"),
- rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024 z późn. zm.) (dalej "Rozporządzenie").
Zostały one szczegółowo wymienione w rozdziałach 3 i 4 Ustawy. Przykładem takich obowiązków jest art. 24 Ustawy, który, w przypadku zbierania danych osobowych od osoby, której one dotyczą, zobowiązuje administratora danych osobowych do poinformowania takiej osoby o:
W rozdziale 4 Ustawa reguluje także uprawnienia osób, których dane są przetwarzane. Art. 32 przykładowo określa prawo każdej osoby do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, tj. m.in. prawo do:
6) żądania uzupełnienia, uaktualnienia, sprostowania danych osobowych, czasowego lub stałego wstrzymania ich przetwarzania lub ich usunięcia, jeżeli są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są już zbędne do realizacji celu, dla którego zostały zebrane.
Zabezpieczenie danych osobowych i dokumentacja, którą należy stworzyć
Poza podstawowymi obowiązkami, które są dość powszechnie znane i nie budzą wątpliwości przedsiębiorców, Ustawa zawiera również przepisy, które są mniej popularne i spora część administratorów danych ma problem z ich realizacją. Są one zawarte w rozdziale 5, zatytułowanym "Zabezpieczenie danych osobowych".
Zgodnie z art. 36 ust. 1 Ustawy, administrator danych jest zobowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.
Administrator danych ma także obowiązek wyznaczenia administratora bezpieczeństwa informacji, tj. osoby nadzorującej przestrzeganie zasad ochrony danych osobowych w jego firmie (art. 36 ust. 3 Ustawy). Obowiązek nie ma zastosowania, gdy administrator sam wykonuje te czynności.
Jak stanowi art. 36 ust. 2 Ustawy, administrator danych ma także obowiązek prowadzić dokumentację opisującą sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. Na w/w dokumentację składa się:
- instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych. Szczegółowo wytyczne dotyczące zawartości tych dwóch dokumentów zawiera Rozporządzenie.
Polityka bezpieczeństwa musi zawierać w szczególności:
1) wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe,
2) wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych,
3) opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi,
4) sposób przepływu danych pomiędzy poszczególnymi systemami,
Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych musi zawierać w szczególności:
1) procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności,
3) procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu,
4) procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania,
6) sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu informatycznego,
7) sposób realizacji wymogów, o których mowa w § 7 ust. 1 pkt 4 Rozporządzenia,
Administrator danych osobowych może dopuścić do ich przetwarzania wyłącznie osoby posiadające upoważnienie nadane przez administratora (art. 37 Ustawy), przy czym musi on zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane (art. 38 Ustawy). W tym celu, zgodnie z art. 39 ust. 1 Ustawy, administrator ma obowiązek prowadzić ewidencję osób upoważnionych do przetwarzania danych osobowych, która musi zawierać:
Należy również pamiętać, że, z wyjątkiem przypadków określonych w art. 43 ust. 1 Ustawy, każdy administrator danych osobowych ma obowiązek zgłoszenia zbioru danych osobowych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (w skrócie GIODO), który prowadzi ogólnokrajowy, jawny rejestr zbiorów danych osobowych. Mówi o tym rozdział 6 Ustawy.
Wymaga podkreślenia, że administrator danych może rozpocząć ich przetwarzanie w zbiorze danych dopiero po zgłoszeniu tego zbioru Generalnemu Inspektorowi Ochrony Danych Osobowych, tak więc zgłoszenia zbioru danych do rejestracji trzeba dokonać przed rozpoczęciem ich przetwarzania, czyli przed pierwszą czynnością, która będzie wykonywana na danych (zatem przed pozyskaniem pierwszych danych do zbioru).
Zgłoszenia zbioru danych trzeba dokonać na odpowiednim formularzu, którego wzór określają przepisy prawa.
Zgodnie z art. 41 ust. 1 Ustawy, zgłoszenie musi zawierać następujące elementy:
Zgłoszenie można złożyć w Biurze Generalnego Inspektora Ochrony Danych Osobowych, wysłać pocztą, a także dokonać go drogą elektroniczną.
Należy również pamiętać, że Ustawa nakłada na administratora danych obowiązek zgłaszania Generalnemu Inspektorowi Ochrony Danych Osobowych każdej zmiany informacji zawartej w zgłoszeniu w terminie 30 dni od dnia dokonania zmiany w zbiorze danych.
Nasza Kancelaria służy Państwu pomocą we wszystkich problemach prawnych związanych z danymi osobowymi. Pomożemy określić obowiązki w zakresie przetwarzania danych osobowych, które Państwa firma powinna spełnić, doradzimy jakie procedury należy wprowadzić, pomożemy w przygotowaniu dokumentacji i zgłoszeniu zbioru danych Generalnemu Inspektorowi Ochrony Danych Osobowych. Zapraszamy do korzystania z naszych usług!