Obowiązki administratora danych osobowych

Administrator danych osobowych ma szczególne obowiązki

Obowiązkowy dyżur nocny

Czy istnieją przepisy zmuszające aptekę do pełnienia całodobowego dyżuru kilka razy w roku? Wymóg taki może wynikać z uchwały rady powiatu wydanej...

Naświetlanie w Skandynawii

Czy wiesz, że w krajach skandynawskich w okresie zimowym jest zalecane korzystanie z solariów? Ma to zapobiegać objawom depresji wynikających z braku światła dziennego.

Jak zawrzeć dobrą i korzystną umowę

Umowy ułatwiają prowadzenie działalności gospodarczej, dają gwarancję, że wymiana jest harmonijna i bezpieczna dla stron. Prowadzenie apteki jest...

Zgodnie z ustawą o ochronie danych osobowych pod pojęciem przetwarzania danych rozumieć należy jakiekolwiek operacje wykonywane na danych osobowych, w tym między innymi ich zbieranie, utrwalanie, przechowywanie, a nawet usuwanie. Dopuszczalność przetwarzania danych osobowych jest ściśle reglamentowana przez prawo.

Zgoda osoby, której dane dotyczą

Ustawodawca enumeratywnie wskazuje przesłanki, jakie warunkują możliwość przetwarzania danych osobowych. Jedną z nich jest zgoda osoby, której dane dotyczą. Należy pamiętać, że zgoda na przetwarzanie danych nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści (wynika to wprost z art. 7 ust. 5 ustawy). Zgoda nie może mieć także tzw. charakteru blankietowego (samo powiadomienie o zamiarze przetwarzania danych osobowych z jednoczesnym brakiem sprzeciwu ze strony osoby, której dane przetwarzamy).

Ponadto administrator danych zobowiązany jest wywiązać się z ciążących na nim obowiązków informacyjnych. Osoba przekazująca swoje dane osobowe powinna być powiadomiona o dokładnej nazwie i adresie siedziby administratora danych, celu, w jakim zbierane są dane, dobrowolności ich przekazania, a także o przysługującym prawie dostępu do treści swoich danych i możliwości ich korygowania.

Obowiązek rejestracji zbiorów

Co do zasady rozpoczęcie przetwarzania danych osobowych nastąpić może po zgłoszeniu zbioru do rejestru. Wyjątkiem są zbiory, które mocą ustawy zwolnione zostały z obowiązku rejestracji, np. zbiory danych przetwarzanych w celu wystawienia rachunku lub faktury, zbiory powszechnie dostępne, zbiory objęte tajemnicą państwową.
Poza tymi przypadkami, zgodnie z art. 40 ustawy, administrator danych zobowiązany jest zgłosić zbiór danych osobowych do rejestracji Generalnemu Inspektorowi Danych Osobowych. Co istotne, niedopełnienie tego obowiązku rejestracji zbioru zagrożone jest sankcją karną: grzywny, kary ograniczenia wolności albo kary pozbawienia wolności.

Zgłoszenia dokonuje się za pomocą urzędowego formularza, w którym należy wskazać między innymi:

• podmiot prowadzący zbiór danych osobowych wraz z adresem siedziby;
• cel przetwarzania danych;
• wskazanie kategorii osób, których dane są gromadzone wraz z zakresem przetwarzanych danych;
• sposób zbierania oraz udostępniania danych;
• opis środków technicznych oraz organizacyj-nych zastosowanych w celu prawidłowego ich przetwarzania.

Na administratorze danych spoczywa także obowiązek ciągłego aktualizowania danych zawartych w rejestrze. Każda zmiana powinna zostać zgłoszona w ustawowym terminie 30 dni od dnia jej zaistnienia.

W przypadku zaprzestania przetwarzania danych osobowych administrator danych zobligowany jest przedłożyć wniosek o wykreślenie zbioru z rejestru wraz z protokolarnym potwierdzeniem usunięcia użytkowanego zbioru.

Prawidłowo zgłoszony zbiór figuruje w ogólnokrajowym rejestrze zbiorów prowadzonym przez Głównego Inspektora Danych Osobowych. Wspomniany rejestr ma charakter jawny – każdy zainteresowany ma prawo zapoznawać się z zawartymi tam informacjami. Zbiór dostępny jest również on-line na platformie e-giodo (http://egiodo.giodo.gov.pl).

Zabezpieczanie danych osobowych

Kolejnym zasadniczym obowiązkiem, jaki nałożony został na podmioty przetwarzające dane osobowe, jest obowiązek ich prawidłowego zabezpieczenia. W tym celu administrator danych musi podejmować wszelkie środki zarówno techniczne, jak i organizacyjne zapewniające ochronę. W szczególności powinien podjąć starania przeciwdziałające możliwości:

• udostępnienia danych osobom nieupoważnionym;
• zebrania ich przez osobę nieuprawnioną;
• przetwarzania z naruszeniem ustawy;
• utraty, uszkodzenia lub zniszczenia.

Szczegółowe warunki zabezpieczenia danych osobowych określone są w rozporządzeniu MSWiA z 29.04.2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.

Katarzyna Adamkiewicz
Młodszy Specjalista ds. Prawnych w US Pharmacia

"Farmacja i Ja", styczeń 2011