Co nowego w przepisach o ochronie danych osobowych? W jakich obszarach dokonano zmian?

Od 1 stycznia 2015 r. obowiązuje znowelizowana ustawa o ochronie danych osobowych. Zmiany dotyczą przede wszystkim administratora danych osobowych. Zmieniony został art. 36 ust. 3 ustawy o ochronie danych osobowych, zgodnie z którym dotychczas administrator danych wyznaczał administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony, chyba że sam wykonywał te czynności, dodane natomiast zostały art. 36a - 36c, zgodnie z którymi administrator danych może powołać ABI. Jednocześnie ustawa określa wymogi, jakie musi spełniać osoba pełniąca taką funkcję:
- ma pełną zdolność do czynności prawnych oraz korzysta z pełni praw publicznych,
- posiada odpowiednią wiedzę w zakresie ochrony danych osobowych,
- nie była karana za umyślne przestępstwo.
Dodatkowo, administrator danych może powołać zastępców ABI. Muszą oni spełniać takie same wymogi, jak sam ABI.
W przypadku niepowołania ABI, jego zadania wykonywać musi administrator danych.
Do zadań ABI należy:
1) zapewnianie przestrzegania przepisów o ochronie danych osobowych, w szczególności przez:
- sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych,
- nadzorowanie opracowania i aktualizowania dokumentacji opisującej sposób przetwarzania danych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych, oraz przestrzegania zasad w niej określonych,
- zapewnienie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych.
2) prowadzenie rejestru zbiorów danych przetwarzanych przez administratora danych, z wyjątkiem zbiorów, zwolnionych od obowiązku rejestracji na podstawie art. 43 ust. 1, zawierającego nazwę zbioru oraz informacje, o których mowa w art. 41 ust. 1 pkt 2 - 4a i 7. Oznacza to, że zamiast wysyłać zbiory danych do rejestru GIODO, każdy administrator danych będzie miał swój rejestr zbiorów danych przetwarzanych u siebie, który prowadzić będzie ABI (jeżeli zostanie powołany). Nie dotyczy to jednak zbiorów, w których przetwarzane są dane wrażliwe.
Dodatkowo, ABI jest zobowiązany do sporządzenia sprawozdania dla GIODO. Według nowych zapisów ustawy GIODO może zwrócić się do zarejestrowanego ABI o dokonanie sprawdzenia zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych u administratora danych, który go powołał. Wówczas ABI, po dokonaniu takiego sprawdzenia, przedstawia sprawozdanie GIODO za pośrednictwem administratora danych.
Według nowych przepisów ABI podlega jedynie kierownikowi jednostki organizacyjnej albo osobie fizycznej będącej administratorem danych, który musi mu zapewnić środki i organizacyjną odrębność, gwarantujące niezależne wykonywanie zadań. ABI nie powinien być zatem pracownikiem administratora danych, a zwłaszcza pracownikiem, który przetwarza dane osobowe.
Administrator danych musi zgłosić do rejestracji GIODO powołanie i odwołanie ABI w terminie 30 dni od dnia jego powołania lub odwołania.