Rejestracja zbiorów danych osobowych: przewodnik

W dzisiejszym świecie, gdzie dane osobowe stanowią niezwykle cenny zasób, ochrona prywatności i informacji staje się priorytetem. W Polsce, do 25 maja 2018 roku, kluczową rolę w tej dziedzinie odgrywał Generalny Inspektor Ochrony Danych Osobowych (GIODO), a jednym z podstawowych obowiązków administratorów danych było zgłaszanie zbiorów danych osobowych do rejestracji. Choć ten obowiązek formalnie przestał istnieć wraz z wejściem w życie Ogólnego Rozporządzenia o Ochronie Danych (RODO), zrozumienie zasad rejestracji zbiorów danych osobowych wciąż pozostaje istotne, zwłaszcza w kontekście historycznym i zrozumienia ewolucji przepisów o ochronie danych.

Kto był zobowiązany do rejestracji zbiorów danych?

Obowiązek rejestracji zbiorów danych osobowych spoczywał na każdym administratorze danych. Kim jest administrator danych? Zgodnie z definicją, jest to podmiot, który decyduje o celach i środkach przetwarzania danych osobowych. Może to być spółka, przedsiębiorca jednoosobowy, fundacja, stowarzyszenie, organ państwowy, samorządowy – praktycznie każdy podmiot, który przetwarza dane osobowe. Warto podkreślić, że pojęcie „przetwarzania danych” jest bardzo szerokie i obejmuje wszelkie operacje na danych, w tym ich gromadzenie, przechowywanie, modyfikowanie, usuwanie, a nawet samo przeglądanie.

Istotne jest, że obowiązek rejestracji nie znikał w przypadku, gdy administrator danych zlecał przetwarzanie danych innej firmie (tzw. powierzenie przetwarzania danych). Odpowiedzialność za rejestrację zbioru danych spoczywała na administratorze, niezależnie od tego, kto fizycznie przetwarzał dane.

Kto był zwolniony z obowiązku rejestracji?

Ustawa o ochronie danych osobowych przewidywała katalog wyjątków od obowiązku rejestracji. Nie musieli rejestrować zbiorów danych osobowych administratorzy danych, którzy przetwarzali dane:

• Pracowników, kandydatów do pracy, zleceniobiorców i osób współpracujących na podstawie umów o dzieło.
• Osób korzystających z usług medycznych, prawnych lub biegłego rewidenta.
• Wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej.
• W zbiorach papierowych (chyba że dotyczyły danych wrażliwych).
• Administratorzy, którzy powołali i zgłosili do GIODO Administratora Bezpieczeństwa Informacji (ABI). Jest to szczególnie istotne zwolnienie, które zachęcało do powoływania ABI.
• Powszechnie dostępnych (np. dane z ksiąg udziałów i akcyjnych spółek).
• Przetwarzanych w zakresie drobnych bieżących spraw życia codziennego (np. dane kontaktowe w sprawach firmy, rejestr przepustek).

Należy jednak pamiętać, że jeśli dane były przetwarzane również w innych celach niż wymienione w wyjątkach (np. dane klientów do rozliczeń i marketingu), to obowiązek rejestracji zbioru danych osobowych istniał.

Ważne: Zwolnienie z obowiązku rejestracji nie zwalniało z przestrzegania pozostałych zasad przetwarzania danych osobowych, takich jak zasada legalności, celowości, minimalizacji danych, prawidłowości, ograniczenia przechowywania i integralności oraz poufności.

Co podlegało zgłoszeniu? Zbiór danych osobowych

Zgłoszeniu podlegał zbiór danych osobowych, czyli uporządkowany zestaw danych, który umożliwiał odnalezienie konkretnych danych według określonego kryterium. Kryterium mogło być np. imię i nazwisko, data urodzenia, numer identyfikacyjny, data wprowadzenia danych do systemu, numer referencyjny. Kluczowe jest uporządkowanie danych.

Nie zgłaszało się „luźnych” danych, nieuporządkowanych w żaden sposób. Jednak próby uniknięcia rejestracji poprzez „rozproszenie” danych na różne nośniki czy systemy były nieskuteczne. Należało zgłosić każdy zbiór, nawet jeśli był rozproszony.

Ustawa nie określała minimalnej ilości danych, która decydowała o istnieniu zbioru. Teoretycznie, zbiorem mógł być nawet zestaw zawierający jeden rekord danych osobowych.

Przykłady zbiorów danych osobowych to:

• Dane osobowe klientów w systemie CRM.
• Baza danych pracowników w systemie kadrowo-płacowym.
• Dane subskrybentów newslettera.
• Rejestr umów handlowych zawierający dane osobowe kontrahentów.

Zgłoszeniu podlegał zbiór jako całość – fakt jego prowadzenia i ogólne zasady funkcjonowania. Nie przesyłało się GIODO samej zawartości zbioru, a jedynie informacje o jego charakterystyce.

Zasadniczo zgłaszało się zbiory prowadzone w systemach informatycznych. Zbiory papierowe zgłaszało się tylko wtedy, gdy zawierały dane wrażliwe.

Kiedy należało zgłosić zbiór danych?

Zgłoszenia należało dokonać przed rozpoczęciem przetwarzania danych, czyli jeszcze przed pozyskaniem pierwszych danych do zbioru. W zgłoszeniu wskazywało się zakres danych osobowych przetwarzanych w zbiorze, podając kategorie osób, których dane dotyczyły.

Gdzie i jak dokonywało się zgłoszenia?

Zgłoszenie do GIODO można było złożyć na kilka sposobów:

• Poprzez platformę e-GIODO: Najprostszy sposób, polegał na wypełnieniu formularza online dostępnego na stronie e-giodo.
• Pocztą tradycyjną: Wysyłając papierową wersję zgłoszenia na adres GIODO.
• Osobiście: Składając zgłoszenie w Biurze GIODO w Warszawie.

Dla osób posiadających kwalifikowany podpis elektroniczny lub profil zaufany ePUAP, istniała możliwość dokonania zgłoszenia w pełni elektronicznie, bez konieczności wysyłania wersji papierowej.

Jak wypełnić zgłoszenie do GIODO?

Formularz zgłoszenia do GIODO składał się z kilku części:

• Część A (Nazwa zbioru): Należało wpisać nazwę zbioru, np. „Klienci firmy X”, „Subskrybenci newslettera”. Jeden formularz dotyczył jednego zbioru.
• Część B (Dane zgłaszającego): Dane administratora danych, adres siedziby, numer REGON (jeśli nadany), dane przedstawiciela w Polsce (jeśli administrator nie miał siedziby w EOG), informacja o powierzeniu przetwarzania danych.
• Część C (Charakterystyka zbioru): Cel przetwarzania danych, kategorie osób, których dane dotyczą, zakres danych (rodzaj przetwarzanych danych osobowych), informacje o przetwarzaniu danych wrażliwych i podstawa prawna ich przetwarzania.
• Część D (Udostępnianie danych): Źródło pochodzenia danych, informacja o udostępnianiu danych innym podmiotom, kategorie odbiorców danych, informacje o przekazywaniu danych do państw trzecich.
• Część E (Zabezpieczenia danych): Opis technicznych i organizacyjnych środków zabezpieczenia danych. Ta część wymagała szczegółowej wiedzy o zabezpieczeniach stosowanych przez administratora. Należało wskazać, czy zbiór jest prowadzony centralnie czy rozproszony, czy jest w formie papierowej czy elektronicznej, czy system informatyczny jest połączony z siecią publiczną. Należało również zaznaczyć fakt wyznaczenia ABI (lub samodzielne pełnienie tej funkcji przez administratora), posiadanie polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym. W tej części należało również opisać dodatkowe środki bezpieczeństwa, takie jak ochrona fizyczna, zabezpieczenia sprzętu i systemów IT, środki organizacyjne (np. szkolenia pracowników).
• Część F (Poziom bezpieczeństwa): Dotyczyła zbiorów w systemach informatycznych i określała poziom zastosowanych środków bezpieczeństwa (podstawowy, podwyższony, wysoki), w zależności od rodzaju danych i połączenia z siecią publiczną.

Po wypełnieniu formularza należało go podpisać zgodnie z zasadami reprezentacji administratora danych. W przypadku podpisywania przez pełnomocnika, należało dołączyć pełnomocnictwo.

Koszty rejestracji

Sam wniosek o rejestrację zbioru danych osobowych był bezpłatny. Opłata w wysokości 17 zł była pobierana za wydanie zaświadczenia o zarejestrowaniu zbioru. Opłata skarbowa od pełnomocnictwa (jeśli było wymagane) również wynosiła 17 zł.

Co dalej po zgłoszeniu?

Już od momentu zgłoszenia zbioru danych osobowych można było rozpocząć ich przetwarzanie. Zgłoszenie nie gwarantowało jednak prawidłowości przetwarzania danych, a jedynie spełnienie formalnego obowiązku. Administrator danych nadal musiał przestrzegać wszystkich zasad ochrony danych osobowych.

Na wniosek administratora, GIODO wydawał zaświadczenie o zarejestrowaniu zbioru. Było to formalne potwierdzenie faktu rejestracji.

Wyjątkiem były dane wrażliwe – w ich przypadku rozpoczęcie przetwarzania było możliwe dopiero po rejestracji i otrzymaniu zaświadczenia od GIODO, które było wydawane z urzędu.

Obowiązek aktualizacji zgłoszenia

Administrator danych miał obowiązek zgłaszania każdej zmiany informacji zawartych w pierwotnym zgłoszeniu. Termin na zgłoszenie zmian wynosił 30 dni od dnia dokonania zmiany. Dotyczyło to zmian danych administratora, charakterystyki zbioru (np. dodanie nowych rodzajów danych, zmiana celu przetwarzania, środków zabezpieczających), a nawet zaprzestania przetwarzania danych w zbiorze.

Sankcje za brak rejestracji

Niedopełnienie obowiązku zgłoszenia zbioru danych osobowych do rejestracji było traktowane bardzo poważnie. Ustawa przewidywała za to odpowiedzialność karną – grzywnę, karę ograniczenia wolności lub pozbawienia wolności do roku.

Rejestracja zbiorów danych osobowych po RODO

Obowiązek rejestracji zbiorów danych osobowych w przedstawionym kształcie obowiązywał do 25 maja 2018 roku. Wraz z wejściem w życie Ogólnego Rozporządzenia o Ochronie Danych (RODO), obowiązek zgłaszania zbiorów danych do organu nadzorczego został zniesiony. W Polsce organem nadzorczym, który zastąpił GIODO, jest Prezes Urzędu Ochrony Danych Osobowych (PUODO).

Obecnie, zamiast rejestracji zbiorów danych, RODO wprowadza m.in. obowiązek prowadzenia rejestru czynności przetwarzania. Rejestr ten jest dokumentem wewnętrznym administratora, który ma na celu udokumentowanie operacji przetwarzania danych osobowych. Nie jest on zgłaszany do PUODO, ale może być przedmiotem kontroli.

Chociaż formalny obowiązek rejestracji zbiorów danych osobowych w GIODO przestał istnieć, zasady ochrony danych osobowych pozostają w mocy, a RODO wprowadza nowe, bardziej rozbudowane wymogi dotyczące ochrony danych. Zrozumienie historycznego kontekstu rejestracji zbiorów danych może pomóc w lepszym zrozumieniu obecnych regulacji i obowiązków wynikających z RODO.

Najczęściej zadawane pytania (FAQ)

Pamiętaj, że ochrona danych osobowych to nie tylko formalny obowiązek, ale przede wszystkim wyraz szacunku dla prywatności osób, których dane przetwarzasz. Dbałość o bezpieczeństwo danych buduje zaufanie i pozytywny wizerunek Twojej firmy.

eśli chcesz poznać inne artykuły podobne do Rejestracja zbiorów danych osobowych: przewodnik, możesz odwiedzić kategorię Bezpieczeństwo Rowerowe.