Porównanie funkcji IOD oraz ABI
11.02.2019
Ustawa o ochronie danych osobowych z 29 sierpnia 1997 roku, wprowadziła do prawa polskiego funkcję Administratora Bezpieczeństwa Informacji (ABI), który działał z powołania Administratora Danych, oraz określała między innymi w jakim terminie należy zgłosić fakt powołania lub odwołania ABI do Generalnego Inspektora Ochrony Danych Osobowych.
Wejście w życie Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO), doprowadziło do przekształcenia funkcji ABI w Inspektora Ochrony Danych (IOD) oraz wprowadziło pewne zmiany zarówno dla osób pełniących tę funkcję jak i dla administratorów danych. Tryb zgłaszania IOD został z kolei wskazany w krajowej Ustawie o ochronie danych osobowych z dnia 10 maja 2018 roku.
Jedną z najważniejszych różnic pomiędzy stanem prawnym przed 25 maja 2018 r. i po tej dacie, jest zmiana podejścia dot. obowiązku powołania ABI/IOD. O ile ustawa z 1997 roku, wskazywała wyłącznie iż „Administrator danych może powołać „Administratora Bezpieczeństwa Informacji”, dając Administratorowi Danych jedynie przywilej powołania ABI, to już w RODO określono jakie podmioty są obowiązane powołać IOD, co zostało następnie doprecyzowane w ustawie z 2018 roku. Artykuł 37 Rozporządzenia, który dość dokładnie wskazuje kiedy Administrator Danych oraz Podmiot Przetwarzający mają obowiązek powołania IOD, został dodatkowo uszczegółowiony w artykule 9 Ustawy z 2018 roku, gdzie wskazano, które organy i podmioty publiczne są obowiązane do wyznaczenie IOD – są to jednostki sektora finansów publicznych, instytuty badawcze oraz Narodowy Bank Polski.
Wraz z wejściem w życie RODO, zmianie uległy również kwalifikacje wymagane do pełnienia funkcji ABI na mocy Ustawy z 1997 roku. Zgodnie z poprzednim stanem prawnym, osoba która miała zostać Administratorem Bezpieczeństwa Informacji musiała spełnić 3 warunki: mieć pełną zdolność do czynności prawnych; posiadać odpowiednią wiedzę w zakresie ochronnych danych osobowych oraz nie być wcześniej karaną za przestępstwo umyślne. W samym tekście Rozporządzenia znaleźć można wyłącznie lakoniczny opis wymagań dla Inspektora Ochrony Danych, który to powinien zostać „wyznaczony na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełniania zadań, o których mowa w art. 39.”
Ponadto, w wyniku wprowadzenia nowych przepisów Inspektorzy Ochrony Danych dostali nieco inny zestaw obowiązków w porównaniu do tego, czym zajmowali się ABI. Na mocy ustawy z 1997 roku, Administratorzy Bezpieczeństwa Informacji odpowiadali za zapewnienie przestrzegania przepisów o ochronie danych osobowych oraz za prowadzenie rejestru zbiorów danych przetwarzanych przez Administratora Danych. Katalog zadań IOD został w stosunku do zadań ABI zasadniczo poszerzony a sam Inspektor otrzymał również lepszą ochronę prawną. IOD został przede wszystkim zobowiązany do informowania osób przetwarzających dane osobowe o obowiązkach prawnych, które wynikają z RODO i prawa państwa członkowskiego. Jednym z najważniejszych zadań Inspektora jest również współpraca z krajowym organem nadzorczym oraz pełnienie punktu kontaktowego dla organu w organizacji, w której został powołany, w kwestiach związanych z przetwarzaniem danych. IOD, który został powołany w danej organizacji nie może otrzymywać odgórnych instrukcji dotyczących wykonywania przez niego zadań, nie może za poprawne wykonywanie swoich obowiązków zostać karany albo odwołany.
Zmiany wprowadzone na podstawie RODO, wprowadziły nowy etap dla osób odpowiedzialnych w organizacjach za prawidłowe i zgodne z prawem przetwarzanie danych osobowych. Ustanowienie nowych obowiązków dla Inspektora zostało rozsądnie połączone z lepszym zabezpieczeniem jego praw i realne ustawienie go wyżej w hierarchii swojej organizacji.
Z tej samej kategorii
Kategorie
