21 lutego 2017 r. odbyło się spotkanie Stowarzyszenia Administratorów Bezpieczeństwa Informacji (SABI) z przedstawicielami Ministerstwa Cyfryzacji w sprawie przedstawionego przez GIODO projektu nowej ustawy, która uzupełni unijne rozporządzenie ogólne o ochronie danych osobowych.
SABI odniosło się do dwóch przepisów projektu GIODO, które dotyczą administratorów bezpieczeństwa informacji. Pierwszy z nich dotyczy tego, że przyszły organ nadzorczy (obecnie GIODO) będzie mógł zwracać się do „nowych ABI” (inspektorów ochrony danych) o udzielenie informacji odnośnie do przetwarzania danych. Informacje te będą natomiast dowodem w postępowaniu. Drugi przepis przewiduje, że administratorzy bezpieczeństwa informacji z mocy prawa staną się inspektorami ochrony danych po 25 maja 2018 r.
Stowarzyszenie Administratorów Bezpieczeństwa Informacji negatywnie odniosło się do propozycji GIODO, zgodnie z którą inspektor będzie gromadził dla organu nadzorczego materiał dowodowy w postępowaniach, w których administrator jest stroną. Zdaniem SABI zapis ten jest niezgodny z ogólnym rozporządzeniem i może mieć negatywne konsekwencje dla prawidłowego wykonywania zadań przez inspektora. Stowarzyszenie ostrzega, że przyjęcie tego przepisu spowoduje konflikt interesów w działalności inspektora oraz naruszy zasadę lojalności względem ADO. W konsekwencji uniemożliwi prawidłowe realizowanie zadań inspektora – twierdzi SABI.
Zdaniem Stowarzyszenia propozycja GIODO jest sprzeczna z rolą inspektora przedstawioną w wytycznych Grupy Roboczej Art. 29, który ma wspomagać administratora w zachowaniu zgodności z rozporządzeniem i być pośrednikiem między administratorem a np. organem nadzorczym.
Zdaniem SABI ze względu na możliwy konflikt interesów administrator może ograniczać zakres informacji przekazywanych inspektorowi. Innym skutkiem stosowania proponowanego przepisu, będzie ograniczenie czasowe realizacji przez inspektora innych zadań, ponieważ czas przeznaczony na ich wykonanie będzie zajmować mu zbieranie informacji dla organu – twierdzi Stowarzyszenie.
Zdaniem Stowarzyszenia Administratorów Bezpieczeństwa Informacji propozycja GIODO, aby ABI po 25 maja 2018 r. (wtedy zacznie obowiązywać ogólne rozporządzenie) automatycznie stali się inspektorami ochrony danych, może być niezgodna z ogólnym rozporządzeniem. Rozporządzenie nie dopuszcza, aby przepis krajowy określał podstawę wykonywania funkcji przez inspektora. Natomiast według projektu GIODO określona osoba staje się inspektorem z mocy samego prawa.
Stowarzyszenie podkreśla też, że inne są wymagania wobec aktualnych ABI, a inne będą musieli spełnić inspektorzy. Zakres zadań ABI i inspektora również w pełni się nie pokrywa. Zdaniem SABI propozycja GIODO doprowadzi do tego, że funkcję inspektora będzie sprawowała bardzo duża niezweryfikowanych pod kątem nowych wymagań kwalifikacyjnych.
Stowarzyszenie podkreśla, że przyjęcie projektowanego przepisu może także prowadzić do praktycznych problemów.Propozycja nie określa bowiem sytuacji administratora, który powołał ABI aktualnie zarejestrowanego w rejestrze, ale:
SABI zauważa też, że propozycja GIODO nie bierze pod uwagę, że jedna osoba może pełnić funkcję inspektora dla grupy przedsiębiorców lub dla więcej niż jednego organu publicznego.
SABI podkreśla jednak, że należy przygotować przepis przejściowy, który zapewni ciągłość wykonywania funkcji ABI i zagwarantuje przestrzeganie przepisów o ochronie danych, ale jednocześnie będzie zgodny z ogólnym rozporządzeniem.
Stowarzyszenie proponuje, aby przez określony czas ABI sprawował funkcję inspektora do momentu potwierdzenia tego przez administratora. Potwierdzenie to obywałoby się poprzez przekazanie danych kontaktowych inspektora do organu nadzorczego. Zgodnie z propozycją SABI administratorzy mieliby na to czas do 1 września 2018 r.
Propozycja SABI brzmienia przepisu dotycząca okresu przejściowego, w którym ABI pełniłby funkcję inspektora ochrony danych
Stowarzyszenie apeluje, aby przepisy dotyczące zgłaszania organowi nadzorczemu danych kontaktowych inspektora były sprawne, proste i praktyczne. Zdaniem SABI w regulacji krajowej należy uwzględnić:
Przechowywanie danych w chmurze polega na zapisywaniu i zarządzaniu danymi na zdalnych serwerach, które są dostępne przez internet. Zamiast przechowywać pliki na lokalnych dyskach twardych lub serwerach, użytkownicy mogą korzystać z infrastruktury dostarczanej przez dostawców usług chmurowych. Jest to wygodne i efektywne rozwiązanie, które zapewnia dostęp do danych z dowolnego miejsca, elastyczność, skalowalność oraz wysoki poziom bezpieczeństwa i niezawodności.
© Portal Poradyodo.pl
