Zbiór danych osobowych to nie takie proste

Wiadomo, że zbiór danych osobowych to w świetle ustawy posiadający strukturę zestaw danych o charakterze osobowym dostępny według określonych kryteriów niezależnie od tego czy zestaw ten jest rozproszony czy podzielony funkcjonalnie.

Tyle definicja. W praktyce jest to jedno z trudniejszych zagadnień a w szczególności tam, gdzie zbiorów jest bardzo wiele jak np. w administracji publicznej. Do rozstrzygnięcia pozostaje  kwestia czy mamy do czynienia z jednym dużym zbiorem i w jego obrębie mniejszymi podzbiorami czy wieloma odrębnymi zbiorami.

Jeden czy wiele zbiorów ma to o tyle znaczenie, iż zbiór danych osobowych podlega rejestracji w rejestrze GIODO lub też wykazywać go musi powołany i zarejestrowany administrator bezpieczeństwa informacji. Wykaz zbiorów musi również zawierać dokumentacja związana z przetwarzaniem danych osobowych. Ustawa o ochronie danych osobowych czasami też różnicuje obowiązki związane z przetwarzaniem danych osobowych przetwarzanych w zbiorze lub poza nim.

W zakresie zasygnalizowanej wyżej problematyki związanej z identyfikacją zbiorów danych osobowych nie ma jednolitej praktyki. Znajdujemy również nie zawsze spójne stanowiska urzędu oraz orzecznictwo sądowe.

I tak na przykład w jednym z wyroków sąd stwierdził, iż dane osobowe gromadzone w umowach kupna- sprzedaży i dane osobowe zawarte w systemie informatycznym o nazwie “Symfonia 2006 r.”, trzeba traktować jako zbiór danych wówczas, gdy zawierają te same, wspólne dane klientów (choć gromadzone w innym celu, na potrzeby podatkowe i realizacji umów cywilnoprawnych). W świetle tego orzeczenia dane osobowe przetwarzane w rejestrze umów oraz w systemie informatycznym to ten sam zbiór klientów.

Z kolei na stronie internetowej GIODO czytamy, iż dla realizacji różnych celów konieczne będzie przetwarzanie danych osobowych w różnych zakresach, a to oznacza, że zgłoszenie zbioru do rejestracji dotyczy de facto nie jednego, lecz kilku zbiorów prowadzonych w różnych celach.

Jak widać zgodności nie ma. Sprawę komplikuje dodatkowo fakt przetwarzania danych w rozbudowanych systemach informatycznych z wieloma modułami obsługującymi, w którym każdy moduł przetwarza dane w innym celu np. cele księgowo-podatkowe, ewidencyjne, rozliczeniowe, windykacyjne itd. Nawet tradycyjne zbiory w postaci wszelakich rejestrów, ksiąg, ewidencji zawsze będą przetwarzały dane w innym celu oraz w innym zakresie np. rejestr członków spółdzielni i rejestr aktów notarialnych itd. Nie oznacza to przecież automatycznie, że wielomodułowy system informatyczny przetwarza wiele zbiorów.

W związku z powyższym jak to w życiu bywa odpowiedzi nie ma ani jednej ani prostej i każdy przypadek trzeba badać indywidualnie. Wiem, że to nie łatwe dla praktyków np. ABI, którzy muszą  zbiory identyfikować, rejestrować i jeszcze w świetle prawa ponosić za to odpowiedzialność.

Na koniec powiem tylko, że każdą swoją decyzję np. w zakresie ustalenia wykazu zbiorów trzeba umieć uzasadnić logicznie i z poparciem odpowiednią podstawą prawną, stanowiskiem doktryny prawniczej czy orzecznictwa. To daje pewność, że ABI ma odpowiednią wiedzę, której się od niego wymaga, nie działa intuicyjnie, ale w oparciu o prawo, poglądy doktryny czy orzecznictwo.

 

Szkolenie ABI pod znakiem Neptuna

Mimo środka wakacji i okresu ogórkowego udało się zebrać grupę osób zdeterminowanych by dwa dni z rzędu zgębiać tajniki wiedzy o ochronie danych osobowych. Szkolenie w Centrum Konferencyjnym Kopernika w Warszawie oraz w sali Neptun już na wstępie zagrzewa do naukowego boju.

A bój jak wiadomo się toczy na arenie ochrony danych osobowych. Po niedawnej nowelizacji ustawy o ochronie danych osobowych i podniesieniu rangi ABI, musi on okiełznać spienione fale przepisów prawnych i mężnie stawić im czoła.

Jestem pewna, że po dwudniowej batalii ze mną w sali Neptun nie będzie dla ABI problemów nie do pokonania w obszarze ochrony danych osobowych, za który jest odpowiedzialny.

Szkolenie ABI 3-4 sierpnia Warszawa

Ilość odwiedzin mojego bloga bije rekordy. Najwięcej odsłon mają strony z poradnikiem oraz dotyczące szkoleń. Wiele osób zamawia bezpłatny poradnik ABI. To wszystko oznacza, że 30 czerwca zbliża się wielkimi krokami i data ta traktowana jest bardzo poważnie w szczególności przez ABI.

Mimo, iż nowe przepisy dotyczą wszystkich administratorów danych, przełomowe regulacje odnoszą się przede wszystkim do administratorów bezpieczeństwa informacji czyli ABI. W związku z tym ABI dotychczasowi ale i nowo powołani szukają informacji dotyczących nowych przepisów i ich interpretacji. Szukają też szczegółowych informacji odnośnie ochrony i przetwarzania danych osobowych, gdyż za chwilę będzie od nie wymagana wiedza ekspercka.

Poziom wiedzy ABI jest bardzo różny od najwyższej po zupełnie przeciętną czy początkujacą. Jednakże prawo wymaga, aby poziom ten był w miarę wyrównany, gdyż stawia wszystkim ABI te same wymagania i nakłada takie same obowiązki i wszyscy tak samo będą rozliczani z ich wykonywania.

W odpowiedzi na palącą potrzebę podnoszenia wiedzy w zakresie ochorny danych osobowych zapraszam wszystkich zainteresowanych na szkolenie ABI w Warszawie, 3-4 sierpnia 2015 r. z możliwością wyboru opcji szkolenia dla początkujących oraz zaawansowanych.

Szkolenie jest niezbędne przede wszystkim dla początkujących, którzy bez rzetelnych podstaw nie mają szans, aby sprostać obowiązkom wynikającym z nowych regulacji prawnych. Szkolenie, które na konkretnych przykładach przybliża nie zawsze łatwą materię prawną będzie również pożyteczne dla ABI zaawansowanych.

W przypadku, jeśli administrator danych nie zdecydował się na powołanie ABI w świetle prawa sam będzie zobowiązany do ich wykonywania. W praktyce administrator danych z reguły deleguje  takie zadania na innych pracowników, którzy nie mając statusu ABI będą jednak odpowiedzialni za obszar ochrony danych osobowych w jednostce. Do tych osób również kierowane jest moje szkolenie, gdyż są to tak naprawdę z małymi wyjątkami indentyczne obowiązki.

Zapraszam na szkolenie. Zapisy przyjmuję drogą elektroniczną na adres kancelaria@przetwarzaniedanych.pl., również szczegółowy program osobom zainteresowanym szkoleniem przesyłam drogą mailową.

Szkolenie ABI

Na jednym ze szkoleń podczas prezentowania nowych uprawnień i obowiązków dla ABI, jedna z uczestniczących ABI zadała proste ale kluczowe pytanie “kto będzie nas wspierał czy może w GIODO zostanie stworzona jakaś komórka doradzająca ABIm”.

Są bowiem osoby pełniące funkcję ABI, które takiego wsparcia potrzebują, które słuchając o tych rozlicznych nowych obowiązkach trochę czują się przerażone.

Ustawa podnosząc rangę ABI wyposaża go w niezależność, precyzuje katalog zadań. Oczywistym jest, iż tylko osoba, która posiada solidną wiedzę w zakresie ochrony danych osobowych będzie w stanie sprostać wymaganiom Ustawy.

Z drugiej strony ustawa nie precyzuje jakichkolwiek wymagań formalnych co do kompetencji ABI pozostawiając ocenę w tym zakresie w gestii administratora danych. Jednakże nawet administrator danych może mieć nie lada zagwozdkę w weryfikacji eksperckiej wiedzy kandydatów na ABI.

Inne też kryteria oceny należy stosować wobec firmy, która zawodowo zajmuje się świadczeniem usług ABI a inne wobec osoby, która ma wykonywać zadania jako ABI wewnętrzny.

Ze strony ustawodawcy mamy jeden zapis, który mówi, iż to administrator danych zapewnia środki i organizacyjną odrębność administratora bezpieczeństwa informacji niezbędne do niezależnego wykonywania zadań. Jednakże przepis ten w mojej ocenie oznacza tylko tyle lub aż tyle, że na ADO spoczywa obowiązek zapewnienia ABI niezależnego pełnienia tej funkcji i zapewnienie środków oraz organizacyjnej odrębności ma temu służyć. Na temat jednak kompetencji ABI i kryteriów ich oceny ustawa milczy.

Oznacza to, że administrator danych samodzielnie musi dokonać oceny wiedzy i fachowości kandydata na ABI. Łatwiejsze to będzie w stosunku do osób, firm, które zawodowo  świadczą tego rodzaju usługi i mają udokumentowane doświadczenie.

W przypadku wewnętrznych ABI kryteria oceny mogą być podobne jednakże jak sądzę w przypadku tej grupy pomoc ze strony ADO powinna być większa w zakresie zapewnienia odpowiednich szkoleń czy wsparcia eksperckiego. Bowiem na biuro GIODO w tym zakresie raczej bym nie liczyła biorąc pod uwagę fakt, iż to GIODO liczy na pomoc ABI w sprawdzaniu przedsiębiorców.

Wszystkich zainteresowanych pogłębieniem lub usystematyzowaniem wiedzy w zakresie ochrony danych osobowych oraz przygotowaniem do pełnienia funkcji ABI i wypełnianiem obowiązków zgodnie z najnowszymi przepisami zapraszam na szkolenie 3-4 sierpnia do Warszawy. Więcej na:

Szkolenie ABI 3-4 sierpnia Warszawa