Czy szkoła podstawowa ma obowiązek zarejestrowania się do końca roku do GIODO?
Na mocy ustawy z dnia 7 listopada 2014 r. o ułatwieniu wykonywania działalności gospodarczej – dalej u.u.w.d.g. znowelizowana została m.in. ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych – dalej u.o.d.o. Wprowadzone zmiany zaczną obowiązywać od 1 stycznia 2015 r. Nowe regulacje u.o.d.o. odnoszą się przede wszystkim administratora bezpieczeństwa informacji (ABI) oraz dotyczą kwestii związanych z obowiązkami rejestracyjnymi.
Wprowadzane nowe regulacje art. 36a–36c u.o.d.o. określają, jakie wymogi powinien spełniać ABI, oraz precyzują zakres jego zadań. W kontekście pytania zwrócić należy uwagę zwłaszcza obowiązek prowadzenia przez ABI rejestru zbiorów danych przetwarzanych u administratora (nowy art. 36a ust. 2 pkt 2 u.o.d.o.). Sposób prowadzenia wskazanego rejestru określi minister właściwy do spraw administracji publicznej – projekt rozporządzenia w tej sprawie dostępny jest na stronach internetowych Rządowego Centrum Legislacji (www.rcl.gov.pl).
Jeśli u administratora danych osobowych zostanie powołany ABI (nie jest to obowiązkowe) i zostanie on zgłoszony do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (GIODO), to wówczas ABI będzie prowadził rejestr zbiorów danych i nie będzie konieczności zgłaszania tych zbiorów do GIODO (art. 43 ust. 1a u.o.d.o.). Wyjątek tu stanowią zbiory danych osobowych określonych w art. 27 u.o.d.o. (tzw. dane osobowe wrażliwe) – zbiory te podlegają obowiązkowi zgłoszenia do rejestracji GIODO, niezależnie od tego, czy u administratora danych został powołany ABI.
Zgodnie z nowymi regulacjami, wprowadzanymi do u.o.d.o. od 1 stycznia 2015 r., ze zwolnienia z obowiązku rejestracji u GIODO korzystały będą:
a) tak jak dotychczas – zbiory danych osobowych wymienione w art. 43 ust. 1 u.o.d.o. (zwrócić warto uwagę na dodany do art. 43 ust. 1 pkt 12, na podstawie którego zwolnione z rejestracji u GIODO będą również dane przetwarzane w zbiorach, które nie są prowadzone z wykorzystaniem systemów informatycznych – z wyjątkiem danych wrażliwych, których zbiory podlegają obowiązkowi rejestracji u GIODO także wówczas, gdy nie są prowadzone z wykorzystaniem systemów informatycznych);
b) zbiory danych u tych administratorów, u których został powołany ABI; przy czym administrator danych powinien zgłosić do GIODO fakt powołania ABI. Wzór takiego zgłoszenia określi w drodze rozporządzenia minister właściwy do spraw administracji publicznej (projekt rozporządzenia w tej sprawie dostępny jest na stronach internetowych Rządowego Centrum Legislacji www.rcl.gov.pl).
Z przedstawionych powyżej regulacji u.o.d.o. wynika, że od 1 stycznia 2015 r. obowiązki związane ze zgłaszaniem zbiorów danych do rejestracji GIODO, w znacznym zakresie zostaną zniesione – w przypadku, gdy administrator powołał ABI i powołanie ABI zgłosił GIODO.
Nowe regulacje nakładają natomiast na administratorów danych osobowych obowiązki rejestracyjne w zakresie powołania i odwołania ABI (nowy art. 46b u.o.d.o.).
Od nowego roku zmiany w administrowaniu danymi osobowymi w szkole>>
Reasumując: nowe przepisy u.o.d.o. nie wprowadzają obowiązku rejestrowania administratorów danych osobowych (tu: szkoły). Nakładają natomiast obowiązek dokonania zgłoszenia do rejestracji GIODO faktu powołania lub odwołania ABI, w terminie 30 dni od dnia jego powołania lub odwołania.
Zgodnie z przepisem art. 35 u.u.w.d.g. ABI powołany przed 1 stycznia 2015 r. może pełnić tę funkcję zgodnie z nowymi przepisami u.o.d.o. do czasu wpisania go do rejestru GIODO, nie dłużej jednak niż do 30 czerwca 2015 r. Oznacza to, że dotychczasowy ABI powinien zostać zgłoszony do rejestracji GIODO najpóźniej do końca czerwca 2015 r.
Jak zasygnalizowano wcześniej – administrator danych osobowych nie ma obowiązku powoływania ABI. Jeśli ABI nie zostanie powołany, to wówczas niektóre zadania określone dla ABI wykonuje administrator danych (zob. nowy art. 36b u.o.d.o.). Niepowołanie ABI wiązać też się będzie z obowiązkiem zgłaszania zbiorów danych do rejestracji GIODO (z wyłączeniem zbiorów danych wymienionych w art. 43 ust. 1 u.o.d.o.).
Więcej w serwisie Prawo Oświatowe/ABC>>
Od 2015 r. zmiany w ochronie danych osobowych - rejestracja bazy nie zawsze konieczna>>