Category Archives: Akty prawne

12 lut

Jak często ABI powinien się szkolić?

Pytanie o to, jak często i jak bardzo powinien doskonalić się zawodowa administrator bezpieczeństwa informacji pojawia się często w kontekście tego, czy pracodawca który powołał ABI ma obowiązek zapewnić mu odpowiednie szkolenia. W mojej ocenie ABI powinien przynajmniej raz do roku doskonalić swoje umiejętności oraz poszerzać wiedzę, a nawet ośmielę się twierdzić, że dla ABI w dużych podmiotach, który musi szacować ryzyko i zapewnić ciągłość działania, raz do roku to zdecydowanie za mało. Obowiązek doskonalenia zawodowego nie wynika wprost z przepisów, jednakże pośrednio możemy go z nich wywodzić. Przede wszystkim z ustawy o ochronie danych osobowych:

Art. 36a ust. 5. Administratorem bezpieczeństwa informacji może być osoba, która:
1) ma pełną zdolność do czynności prawnych oraz korzysta z pełni praw publicznych;
2) posiada odpowiednią wiedzę w zakresie ochrony danych osobowych;
3) nie była karana za umyślne przestępstwo.

Zgodnie z rozporządzeniem MAiC z dnia 10 grudnia 2014 r. w sprawie wzorów zgłoszeń powołania i odwołania administratora bezpieczeństwa informacji, w momencie zgłaszania ABI do rejestru GIODO administrator danych składa oświadczenie: Read More →

18 paź

[aktualizacja] Czy muszę mieć analizę ryzyka i zagrożeń?

Coraz częściej pytacie o to, czy istnieje obowiązek opracowania analizy zagrożeń i ryzyka. A tak w ogóle, to o co chodzi z tą analizą? Zgodnie z nazwą, analiza służy szacowaniu ryzyka i zagrożeń na poufności, integralności oraz rozliczalności informacji chronionych (myślę, że należy ten temat omawiać szerzej, nie tylko w zakresie danych osobowych). Krajowe przepisy o ochronie danych osobowych nie wskazują wprost na obowiązek opracowania analizy, jednakże już w ogólnym rozporządzeniu o ochronie danych osobowych, które będzie bezwzględnie obowiązywać od połowy 2018 roku, pojawia się konieczność szacowania ryzyka, aby móc zapewnić odpowiednie środki ochrony danych. Podobnie obowiązek szacować ryzyko mają wszystkie podmioty, które dotyczy Rozporządzenie Prezesa Rady Ministrów z dnia 20 lipca 2011 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego, czyli, te w których przetwarzane są informacje niejawne. Natomiast podmioty, które prowadzą rejestry publiczne są zobligowane do szacowania ryzyka na podstawie Rozporządzenia Rady Ministrów z 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych.  Analiza ryzyka i zagrożeń to dokument będący wynikiem procesu szacowania ryzyka. Oznacza to, że nie można kupić gotowej analizy ryzyka i zagrożeń – powinna być ona tworzona indywidualnie dla każdego podmiotu. Read More →

10 maj

Unijna dyrektywa w sprawie ochrony danych przetwarzanych przez organy ścigania

Przepisy zawarte w dyrektywie mają na celu ochronę osób w związku z przetwarzaniem danych osobowych na potrzeby zapobiegania, dochodzenia, wykrywania lub ścigania przestępstw lub wykonywania sankcji karnych. Polska ma dwa lata na dostosowanie obowiązujących przepisów do dyrektywy.

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW.

10 maj

Unijne ogólne rozporządzenie o ochronie danych osobowych

Rozporządzenie zastąpi krajowe przepisy o ochronie danych osobowych i będzie obowiązywać w uchwalonym brzmieniu od 27 kwietnia 2018 roku, czyli administratorzy danych mają 2 lata na dostosowanie się do nowych przepisów. Proszę zwrócić uwagę, że przed właściwą treścią rozporządzenia zostały szczegółowo opisane wytyczne do stosowania.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.

08 cze

Rozporządzenie w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych przez ABI

Z dniem 11 maja 2015 roku ukazało się rozporządzenie określające obowiązki zarejestrowanego w GIODO ABI, które wynikają z nowelizacji ustawy o ochronie danych osobowych (obowiązującej od 1 stycznia 2015 roku).

Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji.

 

08 cze

Rozporządzenie w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych

Jeżeli administrator danych powoła i zarejestruje w GIODO adminstratora bezpieczeństwa informacji, to na tego ABIego spadnie obowiązek prowadzenia rejestru danych osobowych, który pierwotnie prowadziło GIODO.

Zasady realizacji tego obowiązku określa Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych

05 sty

Rozporządzenie MAiC w sprawie wzorów zgłoszeń powołania i odwołania ABI

Rozporządzenie zawiera wzór zgłoszenie Administratora Bezpieczeństwa Informacji do GIODO oraz wzór jego zmiany lub odwołania. Na zgłoszenie zmiany administrator danych ma 14 dni.

Warto podkreślić, że biblioteka powinna podać służbowe dane ABI-ego, gdyż będą to dane podane do ogólnej wiadomości w jawnym rejestrze prowadzonym przez GIODO i są to dane podawane do realizacji zadań pełniony w ramach obowiązków służbowych.

Rozporządzenie MAiC w sprawie wzorów zgłoszeń powołania i odwołania ABI

11 gru

Ustawa o ułatwieniu wykonywania działalności gospodarczej

Ustawa wchodzi w życie z dniem 1. stycznia 2015 r. Artykuł 9 ustawy wprowadza bardzo istotne zmiany w obowiązującej ustawie o ochronie danych osobowych, w szczególności zasady powoływania ABI, jego obowiązki oraz wymagania formalne wobec osoby pełniącej tę funkcję. Zmieniają się też wytyczne odnośnie sposobu prowadzenia rejestru zbiorów danych osobowych i tworzy jawny rejestr Administratorów Bezpieczeństwa Informacji.

Treść ustawy jest tutaj.

 

01 paź

Rozporządzenie MSWiA w sprawie dokumentacji przetwarzania danych osobowych (…)

Ustawa o ochronie danych osobowych opisuje w sposób bardzo ogólny zasady zabezpieczenia zbiorów danych osobowych. Szczegółowe zasady zostały określone w Rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.

W Rozporządzeniu określono co powinny zawierać polityka bezpieczeństwa oraz instrukcja zarządzania systemami informatycznymi. Jest to punkt wyjścia do stworzenia wymaganej przez ustawę dokumentacji.

24 wrz

Ustawa o ochronie danych osobowych

Aktualny, jednolity tekst ustawy jest tutaj.

Ustawę stosuje się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w zakresie określonym w art. 2 i art. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych lub RODO).

Ustawa określa:
1) podmioty publiczne obowiązane do wyznaczenia inspektora ochrony danych oraz tryb zawiadamiania o jego wyznaczeniu;
2) warunki i tryb akredytacji podmiotu uprawnionego do certyfikacji w zakresie ochrony danych osobowych, akredytowanego
przez Polskie Centrum Akredytacji, zwanego dalej „podmiotem certyfikującym”, podmiotu monitorującego
kodeks postępowania oraz certyfikacji;
3) tryb zatwierdzenia kodeksu postępowania;
4) organ właściwy w sprawie ochrony danych osobowych;
5) postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych;
6) tryb europejskiej współpracy administracyjnej;
7) kontrolę przestrzegania przepisów o ochronie danych osobowych;
8) odpowiedzialność cywilną za naruszenie przepisów o ochronie danych osobowych i postępowanie przed sądem;
9) odpowiedzialność karną i administracyjne kary pieniężne za naruszenie przepisów o ochronie danych osobowych.