Zgłoszenie danych do GIODO

Obowiązek zgłaszania zbiorów danych do GIODO wynika wprost z art. 40 ustawy o ochronie danych osobowych. Przepis ten jasno wskazuje, że administrator danych ma obowiązek zgłosić zbiór danych do rejestracji Generalnemu Inspektorowi Ochrony Danych. Niestety nadal wielu administratorów utożsamia ochronę danych osobowych tylko z tym obowiązkiem. Tymczasem trzeba pamiętać, że zgłoszenie zbioru jest jednym z elementów systemu ochrony danych osobowych, nie jego istotą. W zgłoszeniu wskazujemy, jakie dane i na jakiej podstawie prawnej przetwarzamy w danym zbiorze i w jaki sposób zabezpieczyliśmy ten zbiór. Nacisk powinien być więc położony na zabezpieczenie danych, a nie na zgłoszenie niewdrożonych i nieprzestrzeganych procedur jak to nadal często ma miejsce. Wypełnienie zgłoszenia do GIODO, jeżeli nie wdrożymy odpowiednich procedur i technicznych rozwiązań zapewniających bezpieczeństwo danych, nie stworzy bezpiecznych warunków przetwarzania danych.

Które zbiory zgłaszać?
Jeżeli jednak prawidłowo wdrażamy system ochrony danych osobowych, nie możemy zapominać także o zgłoszeniu zbiorów do rejestracji. Kwalifikacja zbiorów do zgłoszenia dokonywana jest przez pryzmat art. 43 ustawy o ochronie danych osobowych, który wskazuje, którzy administratorzy danych zwolnieni są z obowiązku rejestracji zbiorów danych. Pamiętać należy, że zwolnienia dotyczą najczęściej tylko niektórych zbiorów danych przetwarzanych przez określonego administratora. I tak np. przewidziano zwolnienie dla administratorów danych dotyczących osób korzystających z ich usług doradcy podatkowego. Zwolnienie to będzie dotyczyć zbioru danych klientów takiego doradcy, ale już nie zbioru danych potencjalnych klientów czy subskrybentów wysyłanego w celach marketingowych newslettera. Ocena, czy dany zbiór zgłaszać do GIODO czy nie, musi się więc odbywać w odniesieniu do tego danego zestawu informacji, nie zaś ogólnie do administratora danych.

Pamiętać należy także o tym, że od 1 stycznia 2015 roku administratorzy danych, którzy powołali ABI korzystają z przywileju niezgłaszania zbiorów danych do GIODO, o ile zbiory nie zawierają danych wrażliwych. Zwolnienie to jest wynikiem obciążenia obowiązkiem prowadzenia rejestru samego administratora bezpieczeństwa informacji.

Jak wygląda zgłoszenie?
Jeżeli po analizie przepisów administrator danych dochodzi do wniosku, że zbiory przez niego przetwarzane podlegają zgłoszeniu, wypełnić musi odpowiedni formularz rejestracyjny. Najprostszym rozwiązaniem jest wypełnienie wniosku elektronicznie. Można to zrobić na stronie e-GIODO (link https://egiodo.giodo.gov.pl/personal_data_register.dhtml). Z tego samego formularza korzystamy zgłaszając zbiory danych zwykłych, danych wrażliwych i zmiany w już zarejestrowanych zbiorach. Dla administratora danych, który opracował i wdrożył politykę bezpieczeństwa danych osobowych i instrukcję zarządzania systemem informatycznym, wypełnienie zgłoszenia nie powinno być trudne. Na czym polega wypełnienie wniosku?

W pierwszej kolejności, administrator musi wskazać nazwę zgłaszanego zbioru i swoje dane. W ramach informowania organu nadzorczego o tym, jak przetwarzane są dane osobowe w strukturze administratora, musi on także poinformować dokonywanym lub planowanym powierzeniu przetwarzania danych. Jeżeli administrator korzysta z usług procesorów, musi pamiętać o podaniu ich nazw i adresów. Nie wystarczy więc ogólna informacja, że powierzenie ma miejsce. Warto zwrócić uwagę na fakt, że w zgłoszeniu ADO deklaruje powierzenie zgodnie z ustawą tj. na podstawie umowy zawartej na piśmie. W praktyce wielu administratorów nie dysponuje takimi umowami, mimo wskazania w zgłoszeniu, że powierzenie realizowane jest prawidłowo.

W zgłoszeniu konieczne jest także podanie podstaw prawnych upoważniających do prowadzenia zbioru danych. Jeżeli zgłoszenie dotyczy danych zwykłych, administrator wskazuje podstawę przetwarzania z art. 23 ust. 1-5 ustawy, a jeżeli danych wrażliwych art. 27 ust. 2 pkt 1-10 ustawy. Zgłoszeniu opisany musi być również cel przetwarzania danych w zbiorze i kategorie osób, których dane są przetwarzane. W kolejnych krokach, administrator danych musi wskazać, jaki jest zakres przetwarzanych danych osobowych przetwarzanych w danych zbiorze (np. imię, nazwisko, datę urodzenia, PESEL, NIP, miejsce pracy, zawód, numer telefonu lub inne dane osobowe). Obowiązek ten dotyczy także danych wrażliwych – katalog tych danych jest katalogiem zamkniętym, więc wybór ograniczony jest to informacji określonych w art. 27 ust. 1 ustawy o ochronie danych osobowych tj. danych ujawniających pochodzenie rasowe, etniczne, poglądy polityczne, przekonania religijne, przekonania filozoficzne, przynależność partyjną, przynależność związkową, przynależność wyznaniową, stan zdrowia, kod genetyczny, nałogi, życie seksualne, a także danych dotyczących skazań, mandatów karnych, orzeczeń o ukaraniu lub innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym.

W kolejnej części wniosku o zgłoszenie zbioru danych do GIODO administrator określić musi źródło danych (czy dane zbierane są od osób, których dotyczą czy też niebezpośrednio – z innych źródeł niż podmiot danych) oraz poinformować, czy dane ze zbioru będą udostępniane innym podmiotom, niż te upoważnione na podstawie przepisów prawa i wskazać odbiorców lub kategorie odbiorców, którym dane mogą być przekazywane. Jeżeli w toku przetwarzania danych dochodzi do ich przekazywania do państwa trzeciego (czyli państwa spoza Europejskiego Obszaru Gospodarczego), należy podać nazwę tego państwa lub państw.

Ostatnia część zgłoszenia obejmuje opis środków technicznych i organizacyjnych zastosowanych w celu zabezpieczenia danych. W tej części zgłoszenia, administrator musi wyjaśnić, czy przetwarza dane wyłącznie w postaci papierowej czy też wykorzystuje do tego celu system informatyczny, czy zbiór prowadzony jest centralnie czy też w architekturze rozproszonej, a także czy przetwarzanie prowadzone jest w użyciem systemu połączonego z siecią publiczną (np. Internetem). Kolejnym krokiem jest wskazanie, czy został wyznaczony administrator bezpieczeństwa informacji czy też administrator danych działa samodzielnie, a także czy osoby dopuszczone do przetwarzania danych posiadają nadane upoważnienia do przetwarzania danych i czy prowadzona jest ewidencja tych upoważnień. Administrator musi poinformować w zgłoszeniu, czy wdrożył politykę bezpieczeństwa i instrukcję zarządzania systemem informatycznym. A ponadto, administrator musi wykazać zastosowanie:
•    środków ochrony fizycznej danych (np. przechowywanie zbioru danych w pomieszczeniu zabezpieczonym drzwiami zwykłymi, stosowanie systemu kontroli dostępu, przechowywanie kopii zapasowych w sejfie),
•    środków sprzętowych infrastruktury informatycznej i telekomunikacyjnej (np. stosowanie mechanizmu wymuszającego okresową zmianę haseł, stosowanie UPS, generatorów prądu lub innych środków ochrony przed skutkami awarii zasilania),
•    środków ochrony w ramach narzędzi programowych i baz danych (np. środki umożliwiające rejestrowanie zmian wykonywanych na poszczególnych elementach zbioru danych, umożliwienie dostępu do zbioru wyłącznie po uwierzytelnieniu z wykorzystaniem identyfikatora użytkownika oraz hasła, stosowanie wygaszaczy ekranów)
•     i środków organizacyjnych (np. szkolenia, oświadczenia o poufności).

Poza poinformowaniem, jakie środki zastosowano w celu zabezpieczenia danych, administrator musi również zadeklarować, czy stosuje zabezpieczenia na poziomie podstawowym, podwyższonym czy wysokim.

Ostatnim krokiem przy wypełnianiu formularza elektronicznego jest podanie adresu poczty elektronicznej administratora danych. Możliwe jest dołączenie do formularza składanego elektronicznie także innych dokumentów. Jeżeli administrator danych dysponuje kwalifikowanym certyfikatem lub profilem zaufanym ePUAP wniosek może złożyć elektronicznie. Pozostali administratorzy danych, muszą przesłać wydrukowany i prawidłowo podpisany formularz na adres biura GIODO.

Wypełniając wniosek pamiętać należy, że samo zgłoszenie zbioru nie przesądza o tym, że dane przetwarzane są zgodnie z ustawą. Aby mieć pewność, że stworzony przez nas system ochrony danych osobowych jest skuteczny, należy przede wszystkim zweryfikować, czy zastosowane zostały środki techniczne i organizacyjne adekwatne do zagrożeń, nie zapominając oczywiście o obowiązkach formalnych.