AKTUALNOŚCI

Administrator Bezpieczeństwa Informacji (ABI) po 1 stycznia 2015 r.

Created on Wednesday, 29 April 2015 08:30

Zgodnie z art. 36a ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych – zwanej dalej u.o.d.o. (tj. Dz. U. z 2014 r. poz. 1182 ze zm.)  administrator danych może, ale nie musi powoływać ABI (administratora bezpieczeństwa informacji). W związku z tym jeśli:
1.administrator danych nie decyduje się na powołanie ABI, to jego zadania wykonuje sam administrator danych (art. 36b u.o.d.o.), z wyłączeniem obowiązku sporządzania sprawozdania i  obowiązku prowadzenia wewnętrznego rejestru zbiorów danych przetwarzanych przez administratora danych; dotychczasowe obowiązki administratora danych pozostają takie same jak przed nowelizacją.
2.administrator danych powoła nowego ABI na podstawie znowelizowanych przepisów u.o.d.o., to ma 30 dni od dnia jego powołania na zgłoszenie tego faktu do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (art. 46b ust. 1 u.o.d.o.)

3.administrator danych chce aby tę funkcję sprawował "stary" ABI tj. wyznaczony przed dniem 1 stycznia 2015 r., to taki ABI musi zostać zgłoszony do rejestracji Generalnemu Inspektorowi do dnia 30 czerwca 2015 r. (por. art. 35 ustawy z dnia 7 listopada 2014 r. o ułatwieniu wykonywania działalności gospodarczej Dz. U. z 2014 r. poz. 1662), jeśli jednak we wskazanym terminie administrator danych nie zgłosi dotychczasowego ABI do rejestracji, to po 30 czerwca 2015 r. zadania ABI (określone w art. 36a ust. 2 pkt 1 u.o.d.o. z wyłączeniem obowiązku sporządzania sprawozdania) będzie wykonywał administrator danych, który ponosi pełną odpowiedzialność za przestrzeganie przepisów o ochronie danych osobowych (por. art. 35 ustawy . o ułatwieniu wykonywania działalności gospodarczej).
ABI zgłoszeni do rejestracji GIODO będą wpisywani do ogólnokrajowego, jawnego rejestru (art. 46c u.o.d.o.). Administrator danych, który zgłosi ABI do rejestracji zobowiązany jest zgłaszać Generalnemu Inspektorowi każdą zmianę informacji objętych zgłoszeniem powołania ABI w terminie 14 dni, a także jego odwołanie w terminie 30 dni, odpowiednio od dnia dokonania zmiany lub odwołania.Zgłoszenia powołania ABI do rejestracji Generalnemu Inspektorowi oraz zgłoszenia odwołania ABI należy dokonać przy użyciu wzorów zgłoszeń powołania i odwołania administratora bezpieczeństwa informacji, które stanowią załączniki do rozporządzenia Ministra Administracji i Cyfryzacji z dnia 10 grudnia 2014 r. (Dz. U. z 2014 r., poz. 1934).
Zgodnie ze znowelizowanym art. 36a ust. 5  u.o.d.o. funkcję ABI może pełnić osoba, która:
a) ma pełną zdolność do czynności prawnych oraz korzysta z pełni praw publicznych,
b) posiada odpowiednią wiedzę w zakresie ochrony danych osobowych,
c) nie była karana za umyślne przestępstwo.
Warto nadmienić, iż przesłanka posiadania przez ABI odpowiedniej wiedzy w zakresie ochrony danych osobowych jest oceniana przez samego administratora danych. Działając we własnym interesie powinien on powołać osobę, która ma rzeczywistą wiedzę z zakresu ochrony danych. Znowelizowane przepisy u.o.d.o. nie wprowadzają wymogu posiadania przez ABI jakichkolwiek certyfikatów, poświadczeń ukończenia odpowiednich szkoleń itp. Poziom odpowiedniej wiedzy powinien być dostosowany do prowadzonych u administratora danych operacji przetwarzania danych oraz wymogów ich ochrony.