Sprawozdanie ze sprawdzenie przetwarzania danych – co w nim zamieścić

Obowiązek prowadzenia sprawdzeń nałożyła na administratorów bezpieczeństwa informacji, nowelizacja ustawy o ochronie danych osobowych (uodo) z 1 stycznia 2015 r. Szczegółowe wytyczne odnośnie do realizowania tego obowiązku wprowadziło rozporządzenie ministra administracji i cyfryzacji z 11 maja 2015 r. w sprawie trybu i sposobu realizacji zadań w celu zapewnienia przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji.

Przepisy wskazują na trzy rodzaje sprawdzeń:

• planowe – realizowane w trybie określonym w planie sprawdzeń,
• doraźne – realizowane w przypadku naruszenia ochrony danych osobowych lub uzasadnionego podejrzenia wystąpienia takiego naruszenia,
• realizowane na wezwanie GIODO – w trybie art. 19b ust. 1 ustawy o ochronie danych osobowych.

Integralnym elementem każdego sprawdzenia jest sprawozdanie, które ABI musi przygotować dla administratora danych. Sprawozdanie ze sprawdzenia, które było realizowane w trybie art. 19b ust. 1 uodo, przygotowuje się dla GIODO. W pierwszej kolejności zapoznaje się z nim ADO i następnie przekazuje je do GIODO.

Sprawdzenie prowadzi się, żeby ustalić i udokumentować stan faktyczny. Natomiast w samym sprawozdaniu niejako ocenia się fakty w odniesieniu do przepisów ustawy o ochronie danych osobowych oraz konstruuje zalecania dotyczące planowych lub podjętych już działań, które mają na celu dostosowanie praktyki do stanu zgodnego z prawem.

ABI musi przedstawić sprawozdania ADO w ściśle określonym terminie, tj.:

• nie później niż 30 dni od dnia dokonania zakończenia sprawozdania – dla sprawdzenia planowanego,
• niezwłocznie, po zakończeniu sprawdzenia – dla sprawdzenia doraźnego,
• w terminie wyznaczonym przez organ ds. ochrony danych osobowych – dla sprawdzenia na wniosek GIODO.

Zgodnie z art. 36c ustawy o ochronie danych osobowych sprawozdanie zawiera:

1. oznaczenie administratora danych, adres jego siedziby lub miejsce zamieszkania,
2. imię i nazwisko administratora bezpieczeństwa informacji,
3. wykaz podjętych czynności przez administratora bezpieczeństwa informacji w toku sprawdzenia oraz imiona, nazwiska i stanowiska osób, które wzięły udział w tych czynnościach,
4. datę rozpoczęcia i zakończenia sprawdzenia,
5. określenie przedmiotu i zakresu sprawdzenia,
6. opis stanu faktycznego stwierdzonego w toku sprawdzenia oraz inne informacje, które mają istotne znaczenie dla oceny zgodności przetwarzania danych z przepisami o ochronie danych osobowych,
7. stwierdzone przypadki naruszenia przepisów o ochronie danych osobowych w zakresie objętym sprawdzeniem wraz z planowanymi lub podjętymi działaniami przywracającymi stan zgodny z prawem,
8. wyszczególnienie załączników, które wchodzą w skład sprawozdania,
9. podpis administratora bezpieczeństwa informacji, a w przypadku sprawozdania w postaci papierowej – dodatkowo parafy administratora bezpieczeństwa informacji na każdej stronie sprawozdania,
10. datę i miejsce podpisania sprawozdania przez administratora bezpieczeństwa informacji.