Zasady prowadzenia rejestru zbiorów danych osobowych przez ABI

Ustawa o ochronie danych osobowych, która w nowej wersji zacznie obowiązywać od 1 stycznia 2015 r., wprowadza możliwość zwolnienia administratora danych z obowiązku zgłaszania zbiorów przetwarzanych przez niego danych do GIODO. Warunkiem jest, aby powołał on Administratora Bezpieczeństwa Informacji, który zajmie się ochroną danych w swojej jednostce. Do jego obowiązków będzie należało m.in. prowadzenie jawnego rejestru zbiorów danych osobowych, czym dotychczas zajmował się Generalny Inspektor.

Ministerstwo Administracji i Cyfryzacji przygotowało projekt rozporządzenia, który określa na jakich zasadach taki rejestr powinien być prowadzony. Z rozporządzenia wynika, że ABI będzie mógł zdecydować czy prowadzi go w formie papierowej czy elektronicznej.

Będzie jednak musiał pamiętać, aby w rejestrze oznaczyć nazwę zbioru danych, podać nazwę administratora danych, adres jego siedziby, lub miejsca zamieszkania oraz numer REGON, jeśli został nadany. Jeśli administrator danych mieszkający lub mający siedzibę w państwie trzecim, wyznaczył na terytorium Polski swojego przedstawiciela, to w prowadzonym przez ABI rejestrze trzeba będzie go wskazać i podać adres jego siedziby lub miejsce zamieszkania. Podobnie w przypadku podmiotu, któremu administrator zamierza powierzyć przetwarzanie danych.

W rejestrze prowadzonym przez ABI trzeba będzie podać też podstawę prawną przetwarzania danych i cel ich przetwarzania.

Administrator Bezpieczeństwa Informacji będzie musiał uwzględnić też takie informacje, jak:

• opis kategorii osób, których dane są przetwarzane w zbiorze,
• zakres przetwarzanych danych,
• sposób zbierania i udostępniania danych,
• oznaczenie odbiorcy danych lub kategorii odbiorców, którym dane mogą być przekazywane,
• informacje o ewentualnym przekazaniu danych do państw trzecich (spoza Europejskiego Obszaru Gospodarczego).

W przypadku rozpoczęcia przetwarzania danych w nowym zbiorze ABI będzie musiał wpisać go do rejestru. Po zakończeniu przetwarzania zbiór będzie z niego wykreślany. Każdą zmianę informacji na temat zbioru ABI także będzie musiał odnotować. Rejestr będzie jawny. Musi być też prowadzony w powszechnie zrozumiałej formie.

Jeśli rejestr będzie prowadzony w formie elektronicznej ABI będzie musiał umożliwić jego przeglądanie np. na stronie internetowej administratora danych. Rejestr w postaci papierowej będzie musiał być udostępniony każdemu zainteresowanemu w siedzibie lub miejscu zamieszkania administratora danych.