Sprawdzenia zgodności przetwarzania danych osobowych z przepisami – jak często je przeprowadzać

Zgodnie z art. 36a ust. 2 pkt 1 lit. a ustawy o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922) do zadań administratora bezpieczeństwa informacji należy zapewnienie przestrzegania przepisów o ochronie danych osobowych, w szczególności przez sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych. Tryb i sposób realizacji tego zadania określił minister administracji i cyfryzacji w rozporządzeniu z 11 maja 2015 r. w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji r. (Dz.U. z 2015 r. poz. 745).

Zgodnie z § 3 ust. 5 rozporządzenia plan sprawdzeń jest przygotowywany przez administratora bezpieczeństwa informacji na okres nie krótszy niż kwartał i nie dłuższy niż rok. Plan sprawdzeń jest przedstawiany administratorowi danych nie później niż na dwa tygodnie przed dniem rozpoczęcia okresu objętego planem. Plan sprawdzeń obejmuje co najmniej jedno sprawdzenie.

Zgodnie z § 3 ust. 6 rozporządzenia zbiory danych oraz systemy informatyczne służące do przetwarzania lub zabezpieczania danych osobowych powinny być objęte sprawdzeniem co najmniej raz na pięć lat, chodzi o to, że każdy zbiór i każdy system ma być sprawdzony co najmniej raz na pięć lat. W wielu instytucjach i firmach jest tak wiele różnych zbiorów i systemów informatycznych służących do ich przetwarzania, że nie jest możliwe sprawdzenie wszystkiego w ciągu jednego roku. W jednym więc roku ABI sprawdza część, w kolejnym następne zbiory i systemy, a generalnie w ciągu pięciu lat ma sprawdzić wszystko. W ciągu roku musi być dokonane jakieś sprawdzenie.

Za uchybienia i niedociągnięcia w nadzorowaniu zasad przetwarzania danych osobowych odpowiedzialność może ponieść administrator danych, który przecież urzędowo zapewnił, że jego administrator bezpieczeństwa informacji ma odpowiednią wiedzę i umiejętności w zakresie wykonywania obowiązków dotyczących ochrony danych osobowych. Jeśli się okaże, że ABI nie wywiązuje się ze swoich obowiązków, to Generalny Inspektor Ochrony Danych Osobowych może go wykreślić z rejestru, a administrator danych może ze swojej strony obarczyć go stosowną odpowiedzialnością, na przykład dyscyplinarną lub finansową.