Regulacje dotyczące ochrony danych osobowych znajdziemy w normach prawa międzynarodowego jak i prawa krajowego. Analizę przepisów warto zacząć od Konstytucji Rzeczpospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz. U. z 1997 r. Nr 78, poz. 483). W Art. 51 czytamy:
1 Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jej osoby.
2. Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym.
3. Każdy ma prawo dostępu do dotyczących go urzędowych dokumentów i zbiorów danych. Ograniczenie tego prawa może określić ustawa.
4. Każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą.
Z punktu drugiego wynika, iż cały sektor publiczny (urzędy, instytucje państwowe), nie mogą dowolnie przetwarzać danych osobowych a jedynie w zakresie i celu określonym przez przepisy prawa.
Kolejnym aktem prawnym jest Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity: Dz. U. 2014 r. poz. 1182). Z początkiem tego roku weszła nowelizacja, która wprowadziła kilka zasadniczych zmian w zakresie budowy systemu bezpieczeństwa danych osobowych. Istotna zmiana jest regulacja dotycząca statusu Administratora Bezpieczeństwa Informacji. Podmioty przetwarzające dana osobowe zostały zobligowane do powołania lub nie Administratorów Bezpieczeństwa Informacji do nieprzekraczalnego terminu 30 czerwca 2015. Jeśli Administrator Danych nie powołał ABI-ego sam decyduje nie tylko o celach i środkach ochrony danych osobowych, ale także zapewnia i organizuje ich ochronę. Powołanie ABI-ego jest równoznaczne ze zgłoszeniem na podstawie:
- Rozporządzenia Ministra Administracji i Cyfryzacji z dnia 10 grudnia 2014 r. w sprawie wzorów zgłoszeń powołania i odwołania administratora bezpieczeństwa informacji (Dz. U. 2014, poz. 1934)
ABI-ego do Centralnego Rejestru Administratorów Bezpieczeństwa Informacji w GIODO.
Kolejne dwa rozporządzenia dotyczą organizacji pracy Administratorów Bezpieczeństwa Informacji w sytuacji gdy zostaną powołani:
- Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. w sprawie trybu i sposobu realizacji zadań w celu zapewnienia przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji (Dz. U. z 2015, poz. 745)
- Rozporządzenie Ministra Administracji i Cyfryzacji z 11 maja 2015 r. w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych (Dz. U. z 2015, poz. 719)
Na koniec stare, jednak nadal aktualne rozporządzenie mówiące o dokumentacji jaką należy sporządzić, jeśli przetwarzamy dane osobowe. Akt wykonawczy dotyczy podmiotów niezależnie czy ABI został powołany czyt Nie.
- Rozporządzenia MSWiA z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024)
Dodaj komentarz