Jakie uprawnienia kontrolne ma GIODO

Kontrola zgodności przetwarzania danych osobowych z przepisami o ochronie danych jest jednym z najważniejszych zadań postawionych przed Generalnym Inspektorem Ochrony Danych Osobowych. Kompetencje kontrolne formalnie przysługują zarówno GIODO, jego zastępcy, jak i upoważnionym pracownikom Biura GIODO, czyli inspektorom.

W praktyce czynności kontrolne wykonywane są właśnie przez inspektorów, posiadających imienne upoważnienie zgodne z wzorem z załącznika do rozporządzenia ministra spraw wewnętrznych i administracji z 11 maja 2011 r.

Uprawnienia kontrolne wskazane w art. 14 uodo obejmują prawo:

• wstępu do pomieszczenia, w którym zlokalizowany jest zbiór danych, oraz pomieszczenia, w którym przetwarzane są dane poza zbiorem,

• przeprowadzenia niezbędnych badań lub innych czynności kontrolnych w celu oceny zgodności przetwarzania danych z ustawą,

• żądania złożenia pisemnych lub ustnych wyjaśnień oraz

• wzywania i przesłuchiwania osób w zakresie niezbędnym do ustalenia stanu faktycznego,

• wglądu do wszelkich dokumentów i wszelkich danych mających bezpośredni związek z przedmiotem kontroli oraz sporządzania ich kopii,

• przeprowadzania oględzin urządzeń, nośników oraz systemów informatycznych służących do przetwarzania danych, a także

• zlecania sporządzania ekspertyz i opinii.

Jeśli podmiotem kontrolowanym jest przedsiębiorca, co do zasady, zgodnie z art. 79 ust. 1 ustawy z 2 lipca o swobodzie działalności gospodarczej (uosdg), powinien on zostać powiadomiony o zamiarze wszczęcia kontroli. Nie może być ona przeprowadzona wcześniej niż po upływie siedmiu dni i nie później niż przed upływem 30 dni od dnia doręczenia zawiadomienia o zamiarze wszczęcia kontroli.

Jeżeli w tym terminie kontrola nie zostanie rozpoczęta, przed podjęciem czynności kontrolnych niezbędne jest ponowne zawiadomienie.

Przygotowując się do kontroli w zakresie przestrzegania zasad ochrony danych, każdy ADO i każdy ABI, jeśli został ustanowiony, powinien w szczególności odpowiedzieć na następujące pytania:

1. Jakie zbiory danych osobowych posiadam? Gdzie się one znajdują? Czy wiem, gdzie znajduje się obszar, w którym dane są przetwarzane poza zbiorami?

2. W oparciu o jakie przesłanki przetwarzam dane osobowe? Czy jestem w stanie je wskazać w odniesieniu do każdego ze zbiorów danych osobowych?

3. Czy zakres pozyskiwanych przeze mnie danych odpowiada celowi przetwarzania? Czy nie pozyskuję więcej informacji o osobach, których dane dotyczą, niż mi wolno?

4. Czy osoby, które dopuszczam do przetwarzania danych (np. pracownicy, stażyści, zleceniobiorcy), posiadają aktualne upoważnienia? Czy zakres tych upoważnień odpowiada faktycznie wykonywanym przez te osoby czynnościom?

5. Czy moi pracownicy mają dostęp do polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym? Czy wiedzą, kto w naszej organizacji pełni funkcję ABI? Czy wiedzą, jakie są jego zadania?

6. Czy prowadzona przeze mnie dokumentacja z zakresu ochrony danych osobowych jest aktualna? Czy stan opisany w tej dokumentacji odpowiada stanowi faktycznemu?

7. Czy mam zawartą umowę powierzenia przetwarzania danych? Czy powinienem ją zawrzeć?

8. Czy prowadzony jest rejestr zbiorów danych osobowych?

9. Czy w sposób należyty realizuję obowiązek informacyjny wobec osób, których dane dotyczą?

10. Czy we właściwy sposób, tj. odpowiedni do zagrożeń i kategorii danych, zabezpieczam dane osobowe?