Od początku 2015 roku obowiązuje zmieniona ustawa o ochronie danych osobowych. Przed zmianami administrator danych osobowych, czyli dyrektor instytucji gromadzącej i przetwarzającej dane osobowe, mógł wyznaczyć administratora bezpieczeństwa informacji (ABI), którego zadaniem było czuwanie nad zapewnieniem prawidłowości przetwarzania danych osobowych, bądź też mógł wykonywać te czynności osobiście. W nowych przepisach ustawodawca poświęca dużo więcej uwagi osobie administratora bezpieczeństwa informacji i szczegółowo precyzuje jego główne zadania.

Kto może zostać ABI?

Zgodnie z Art. 36a pkt. 1 znowelizowanej ustawy o ochronie danych osobowych (Dz. U. z 2014r., poz. 1662) administrator danych może powołać administratora bezpieczeństwa informacji. Oznacza to, że administrator danych może skorzystać z tego rozwiązania, ale wcale nie musi. Ustawodawca pozostawia więc tutaj wybór administratorowi, który po przeanalizowaniu sytuacji, wybiera najwygodniejsze dla niego rozwiązanie. Jeśli jednak zdecyduje się na ABI, to powołana na to stanowisko osoba musi być zgłoszona do ogólnokrajowego, jawnego rejestru administratorów bezpieczeństwa informacji prowadzonego przez Głównego Inspektora Ochrony Danych Osobowych (GIODO) w terminie 30 dni od daty jego powołania.

Kandydat na ABI powinien mieć pełną zdolność czynności prawnych i korzystać z pełni praw publicznych, być osobą niekaraną i posiadać odpowiednią wiedzę z zakresu ochrony danych osobowych. Administrator danych jest natomiast zobowiązany zapewnić ABI odpowiednie środki i odrębność organizacyjną pozwalającą na prawidłowe wykonywanie powierzonych mu zadań i obowiązków. W praktyce oznacza to, że zatrudniona na tym stanowisku osoba podlega bezpośrednio dyrektorowi jednostki, który zgodnie z prawem jest administratorem danych.

Zadania ABI

Zadania administratora bezpieczeństwa informacji zostały również jasno określone w znowelizowanej ustawie. Podstawowe dwa z nich to: zapewnienie przestrzegania ustawy o ochronie danych osobowych w instytucji, która zatrudnia administratora, oraz prowadzenie rejestru zbiorów danych przetwarzanych przez administratora danych. Zapewnienie przestrzegania ustawy ABI może osiągnąć, dzięki wykonywaniu określonych czynności. W myśl przepisów, administrator bezpieczeństwa informacji powinien zatem weryfikować prawidłowość procesu przetwarzania danych osobowych w instytucji, ich zgodność z ustawą o ochronie danych osobowych oraz systematycznie raportować wyniki administratorowi danych. Ponadto ABI nadzoruje opracowanie procedur opisujących sposób przetwarzania danych w instytucji, wprowadza konieczne aktualizacje i pilnuje przestrzegania tych procedur. Dodatkowo, jest zobowiązany zapewnić zapoznanie się osób upoważnionych do przetwarzania danych ze stosownymi przepisami w tym zakresie.

Ustawa zezwala administratorowi danych na nałożenie dodatkowych obowiązków na administratora bezpieczeństwa informacji pod warunkiem jednak, że obowiązki te nie wpłyną negatywnie na prawidłowe wykonywanie jego zadań ustawowych. Kwestia nałożenia dodatkowych obowiązków jest szczególnie istotna, jeśli weźmie się pod uwagę koszty funkcjonowania ABI w instytucji.

Zatem stworzenie tego stanowiska pracy ma sens w dużych instytucjach, gdzie zarówno ze względu na ilość przetwarzanych danych, jak też ich rozproszenie w różnych rejestrach, konieczny jest stały nadzór i weryfikacja. Administrator bezpieczeństwa informacji staje się wówczas swego rodzaju wewnętrznym specjalistą ds. ochrony danych osobowych, który nie tylko wykonuje zadania ustawowe, ale też przeprowadza audyty w zakresie związanym z przetwarzaniem i ochroną danych oraz prowadzi niezbędne szkolenia pracowników.

Od początku prac nad ustawą stanowisko administratora bezpieczeństwa informacji budziło duże kontrowersje. Instytucje obawiały się wzrostu, i tak już znacznych, kosztów związanych z przetwarzaniem danych. Rozwiązanie, które wprowadziło prawo do powołania ABI, ale nie nałożyło takiego obowiązku, wydaje się skutecznym kompromisem.

Więcej na temat przejęcia funkcji ABI dowiesz się również stronie www.itauditor.pl