Poradnik – jak zarejestrować zbiór danych osobowych do GIODO, cz. 4

W dzisiejszej odsłonie naszego poradnika, jak zarejestrować zbiór danych osobowych, poświęcimy uwagę części E wniosku rejestracyjnego. Na początku warto zaznaczyć, że wiele pytań z sekcji E, wydaje się być już niezbyt aktualna i nawet inspektorzy GIODO przyznają, że wniosek powinien zostać w najbliższej przyszłości zmodyfikowany. Póki co jednak musimy radzić sobie ze starym formularzem.

Centralne/rozproszone przetwarzanie danych, forma przetwarzania, połączenie z Internetem – część E15

Wypełnienie pola E-15a, mimo dość skomplikowanej konstrukcji, w rzeczywistości będzie bardzo proste. Na samym początku musimy poradzić sobie z terminologią. Co oznacza, że zbiór przetwarzany jest centralnie? Co oznacza architektura rozproszona zbioru? Warto przypomnieć, że zbiór danych osobowych to pojęcie prawnicze, które nie jest tożsame z informatycznym pojęciem bazy danych. Nasza „ewidencja korespondencji”, może być przetwarzana zarówno w formie elektronicznej bazy danych (za pomocą specjalnego programu), jak i w wersji papierowej. Jeśli „ewidencja korespondencji”, przetwarzana jest jedynie w wersji papierowej, np. w sekretariacie, to oznacza, że zbiór przetwarzany jest centralnie. Jeśli jednak nasza ewidencja przetwarzana jest za pomocą systemu informatycznego, do którego dostęp jest możliwy z kilku stanowisk komputerowych – wybieramy architekturę rozproszoną. Podobnego wyboru powinniśmy dokonać np. w sytuacji, kiedy dane osobowe przetwarzane są zarówno w systemie informatycznym, jak i w wersji papierowej. Warto zaznaczyć, że w przypadku zdecydowanej większości zbiorów zgłaszanych do GIODO, przetwarzane one będą w architekturze rozproszonej. Oczywiście prosta „ewidencja korespondencji”, która byłaby przetwarzana jedynie w formie papierowej Księgi korespondencji, oznacza wybór pola – „centralnie”.

Kolejne pole (E-15b) dotyczy tego, czy zbiór danych przetwarzamy z użyciem systemu informatycznego czy jedynie w formie papierowej. Tutaj warto odwołać się do celu powstania ustawy o ochronie danych osobowych. Celem było uregulowanie masowych procesów przetwarzania danych osobowych. Czyli tych wykonywanych z użyciem dedykowanych systemów informatycznych, umożliwiających prostą i szybką identyfikację osób fizycznych. Dlatego też, jeśli „ewidencję korespondencji”, prowadzimy w formie papierowej, a jedynie od czasu do czasu, pewne elementy zbioru wprowadzamy np. do edytora tekstowego, to nie ma konieczności zaznaczania pola dotyczącego przetwarzania danych osobowych za pomocą systemu informatycznego. My jednak, ze względów dydaktycznych zakładamy, że posiadana przez nas „ewidencja korespondencji”, przetwarzana jest przez specjalnie zakupiony w tym celu, system informatyczny (np. Microsoft Outlook, w przypadku poczty elektronicznej). W związku z powyższym, zaznaczamy pole „z użyciem systemu informatycznego”.

Następne pole, które wypełniamy (E-15c) może nas nieco zaskoczyć. W dzisiejszych czasach, sytuacja, kiedy urządzenie na którym przetwarzamy dane osobowe, nie jest połączone z siecią publiczną, to rzadkość. Dlatego też zaznaczamy odpowiedź, oznaczającą, że zbiór danych będzie przetwarzany „ z użyciem co najmniej jednego urządzenia systemu informatycznego połączonego z siecią publiczną”.

Podstawowe zabezpieczenia – część E16

Pole E-16 jest bardzo istotne z perspektywy sprawdzających wniosek inspektorów GIODO. Przyczyna jest dość oczywista. Co do zasady, podpunkty a-e w części E-16, muszą być przez administratora danych osobowych spełnione. Wynika to z przepisów samej ustawy o ochronie danych osobowych oraz rozporządzenia „w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych” (dalej: Rozporządzenie).

Po pierwsze więc, powinniśmy oświadczyć kontrolującym wniosek inspektorom GIODO, że wyznaczyliśmy Administratora Bezpieczeństwa Informacji (ABI). Wyznaczenie ABI to obowiązek wynikający z art. 36 ust. 3 ustawy o ochronie danych osobowych.  Kim jest ABI w praktyce? To najważniejsza osoba, jeśli chodzi o system ochrony danych osobowych. ABI to pracownik przedszkola lub zewnętrznej firmy (w przypadku tzw. outsourcingu funkcji ABI), który bierze na siebie odpowiedzialność za procesy przetwarzania danych osobowych. Przygotowuje dokumentację (o tym za chwile), klauzule zgód, obowiązków informacyjnych, może także szkolić pracowników z zakresu ochrony danych osobowych. Rozwiązuje konflikty, które mogą powstawać w związku z naruszeniem prawa do prywatności. Innymi słowy, ABI to taki manager – specjalista z zakresu ochrony danych osobowych. W trakcie kontroli, inspektorzy GIODO przywiązują dużą wagę do znajomości zasad ochrony danych osobowych, prezentowanej przez ABI. Sam proces wyboru ABI oraz dokładne opisanie zasad jego odpowiedzialności to temat na odrębny artykuł. Na razie więc pamiętajmy o tym, że ABI musi zostać wyznaczony, inaczej wniosek do GIODO nie zostanie zarejestrowany, a inspektorzy zwrócą się do nas z prośbą o wyjaśnienie sytuacji. Alternatywą jest wykonywanie czynności ABI przez administratora danych. W praktyce jednak, takie rozwiązanie stosowane jest jedynie przez osoby fizyczne prowadzące działalność gospodarczą. Tym samym, jeśli chcemy aby proces zgłoszeniowy odbył się bez zbędnych utrudnień, nie pozostaje nam nic innego, jak zaznaczenie odpowiedzi: „został wyznaczony administrator bezpieczeństwa informacji nadzorujący przestrzeganie zasad ochrony przetwarzania danych osobowych,”

Obligatoryjne jest również następne pole (E-16b), dotyczące nadawania upoważnień do przetwarzania danych osobowych. Nadawanie upoważnień do przetwarzania danych osobowych jest kolejnym obowiązkiem, wynikającym bezpośrednio z przepisów ustawy o ochronie danych osobowych (art. 37 uodo). Upoważnienie to dokument, na mocy którego, administrator danych, ceduje na swoich pracowników prawo do przetwarzania danych osobowych. Nadanie upoważnienia podkreśla fakt, że pracownik zyskuje dostęp do danych osobowych i staje się za nie współodpowiedzialny. Jednocześnie podpisane przez pracownika upoważnienie, jest dla dyrektora przedszkola zabezpieczeniem, w razie sytuacji naruszenia przepisów ustawy przez pracownika. Samą konstrukcją upoważnienia oraz formą jego nadania będziemy się jeszcze zajmowali w kolejnych artykułach cyklu.

Następne pole (E-16c), jest również obligatoryjne. Musimy oświadczyć, że w przedszkolu prowadzona jest ewidencja osób upoważnionych do przetwarzania danych osobowych. Ewidencja osób upoważnionych do przetwarzania danych osobowych jest ściśle związana z nadawaniem upoważnień. Naszym obowiązkiem jest ewidencjonowanie nadanych upoważnień w formie ich ewidencji. Podobnie jak w przypadku upoważnień – zagadnienia techniczne związane z ewidencją upoważnień, również będą przedmiotem kolejnych artykułów.

Na koniec zostały nam dwa pola (E-16d i e), dotyczące polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym. Ich wypełnienie, również jest obowiązkowe, ponieważ obowiązkiem każdego dyrektora przedszkola jest posiadanie oraz wdrożenie Polityki bezpieczeństwa i Instrukcji zarządzania systemem informatycznym.

Podobnie jak w przypadku wcześniej opisywanych pól, punktu 16 wniosku – polityka bezpieczeństwa oraz instrukcja zarządzania, będę jeszcze przedmiotem szczegółowej analizy w kolejnych artykułach.

Na potrzeby zgłoszenia naszej bazy do GIODO, warto podkreślić o konieczności zaznaczenia wszystkich pól punktu 16 (z wyłączeniem podpunktu f). Przy czym nie ma konieczności wysyłania razem z wnioskiem informacji o tym kto pełni w przedszkolu funkcję ABI czy też załączania całej polityki bezpieczeństwa. Niedługo po pojawieniu się obowiązku zgłoszeniowego do GIODO, wielu administratorów danych „na wszelki wypadek”, razem z wnioskiem, składało również politykę bezpieczeństwa i instrukcję zarządzania. W żadnym wypadku nie jest to celowe, a skutkować będzie jedynie dodatkową pracą dla dyrektora i inspektora GIODO sprawdzającego zgłoszenie.

Inne artykuły związane z rejestracją zbiorów danych osobowych do GIODO

Zapraszamy do zapoznania się ze wszystkimi częściami cyklu artykułów poświęconych rejestracji zbiorów danych osobowych do GIODO:

– Które zbiory danych osobowych zwolnione są z obowiązku rejestracji:

Część 1. – zbiór danych osobowych pracowników, byłych pracowników i potencjalnych pracowników oraz uczniów

Część 2. – dane księgowe, dane członków rodzin pracowników i uczniów oraz drobne bieżące sprawy życia codziennego

– Jakie zbiory danych osobowych powinno się zarejestrować do GIODO

– Obowiązek rejestracji zbiorów danych osobowych – w jaki sposób uzyskać potwierdzenie rejestracji, odmowa rejestracji zbioru przez GIODO

– Poradnik jak zarejestrować zbiór danych osobowych krok po kroku:

Część 1. – definiowanie administratora danych i nazwy zbioru danych, przedstawiciel Wnioskodawcy (państwo trzecie), powierzenie przetwarzania danych osobowych

Część 2. – wskazanie przesłanki legalności, celu i zakresu przetwarzania danych oraz kategorii osób, których dane są przetwarzane

Część 3. – osoby od których zbierane są dane osobowe, przekazywanie danych do państwa trzeciego

Część 4. – centralne/rozproszone przetwarzanie danych, jaką formę przetwarzania danych wybrać, które z podstawowych zabezpieczeń zaznaczyć

Część 5. – w jaki sposób opisać dodatkowe zabezpieczenia, które stosujemy, aby chronić przetwarzane dane osobowe

Łukasz Zegarek

Podstawa prawna:

• Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2002 r. Nr 101 poz. 926 ze zm.).

Bibliografia:

• J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Wolters Kluwer Polska, Warszawa 2011.
• A. Drozd, Ustawa o ochronie danych osobowych. Komentarz. Wzory pism i przepisy (stan prawny na 2 lipca 2007 r.), Lexis Nexis, Warszawa 2007.
• www.giodo.gov.pl
• https://egiodo.giodo.gov.pl

Niniejszy artykuł stanowi fragment artykułu, który ukazał się nakładem Miesięcznika Dyrektora Przedszkola.