Pytanie użytkownika LEX Prawo Oświatowe:
Kto w szkole może pełnić funkcję ABI? Co to znaczy, że ma mieć zapewnioną odrębność organizacyjną? Jeżeli dyrektor nie ma możliwości zatrudnienia osoby z zewnątrz, to czy może tę funkcję pełnić wicedyrektor, sekretarz szkoły lub sekretarka?
Odpowiedź
Funkcję ABI w szkole powinna pełnić osoba posiadająca odpowiednią wiedzę w zakresie ochrony danych osobowych.
Na podstawie art. 36a ust. 5 ustawy z 29.08.1997 r. o ochronie danych osobowych – dalej u.o.d.o., funkcję administratora bezpieczeństwa informacji (ABI) może pełnić osoba, która:
– ma pełną zdolność do czynności prawnych oraz korzysta z pełni praw publicznych;
– posiada odpowiednią wiedzę w zakresie ochrony danych osobowych (nie musi to być wiedza nabyta na szkoleniach, ale ABI musi ją posiadać);
– nie była karana za umyślne przestępstwo.
Osoba pełniąca funkcję ABI musi podlegać bezpośrednio administratorowi danych (art. 36a ust. 7 u.o.d.o.), czyli w szkole – dyrektorowi, a pod jego nieobecność – wicedyrektorowi. Ponadto ABI musi mieć zapewnione środki i organizacyjną odrębność, niezbędne do niezależnego wykonywania przez niego zadań (art. 36a ust. 8 u.o.d.o.). GIODO podkreśla, że wymogi niezależności i organizacyjnej podległości wykluczają sprawowanie funkcji ABI przez osoby kierujące podmiotem będącym administratorem danych (abi.giodo.gov.pl/powolanie-abi/kto-moze-byc-powolany-na-abi – dostęp z 31.01.2018 r.), czyli przez dyrektora, ale także należałoby uznać, że również przez wicedyrektora, który w publicznych szkołach zastępuje dyrektora pod jego nieobecność we wszystkich sprawach, w tym związanych z kierowaniem szkołą, art. 68 ust. 9 ustawy z 14.12.2016 r. – Prawo oświatowe. W przeciwnym razie wicedyrektor jako ABI nadzorowałby i kontrolował samego siebie.
Bardziej adekwatne byłoby więc powierzenie funkcji ABI innemu pracownikowi niż wicedyrektor szkoły, w tym. np. sekretarzowi szkoły lub sekretarce, jeśli osoby te spełniają powołane na wstępie wymogi, a przede wszystkim posiadają wiedzę z zakresu ochrony danych osobowych, adekwatną z punktu widzenia szkoły.
Zapewnienie środków i organizacyjnej odrębności ABI oznacza, że szkoła musi zapewnić środki techniczne, organizacyjne i finansowe umożliwiające należyte wykonywanie zadań ABI.
Odrębność organizacyjna oznacza w praktyce konieczność wydzielenia samodzielnego stanowiska ABI (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, LEX 2015 – nt. 12). W szczególności jeśli dany pracownik dotychczas był zatrudniony na stanowisku sekretarza, należałoby powierzyć jemu drugie stanowisko – ABI.
Pracownik ten nie może w tym samym czasie wykonywać zadań na obu stanowiskach, a łączny czas pracy nie może przekraczać umówionego wymiaru zatrudnienia; można określić wymiary etatu realizowane na poszczególnych stanowiskach. Konieczna jest więc pisemna zmiana umowy o pracę w zakresie warunków zatrudnienia, art. 29 § 4 ustawy z 26.06.1974 r. – Kodeks pracy. Dodatkowo, dyrektor powinien rozważyć, czy dotychczasowe wyznaczone miejsce pracy, np. na stanowisku sekretarza, umożliwia pracownikowi niezależne i rzetelne wykonywanie zadań ABI, które wymienia art. 36a ust. 2 u.o.d.o., czy konieczne jest udostępnienie jemu innego pomieszczenia, wyposażenia itp.
Kto w szkole może pełnić funkcję ABI?
Funkcję ABI w szkole powinna pełnić osoba posiadająca odpowiednią wiedzę w zakresie ochrony danych osobowych.
