Sprawdź, kiedy trzeba zarejestrować bazę danych w GIODO

Zgodnie z ustawą o ochronie danych osobowych, każdy podmiot, który faktycznie dysponuje zbiorem danych osobowych, decyduje o celach i środkach ich przetwarzania, jest administratorem danych, na którym spoczywają określone obowiązki. 

Jednym z nich jest rejestracja zbioru danych w Głównym Inspektoracie Ochrony Danych Osobowych (GIODO). Obowiązkowi zarejestrowania zbioru danych osobowych podlega każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, przy czym w przypadku przetwarzania danych osobowych w systemach informatycznych rejestracji podlegają zbiory nawet nie posiadające uporządkowanej struktury.

Należy przy tym wskazać, że dane osobowe w rozumieniu ustawy o ochronie danych osobowych to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania (na podstawie tychże informacji) osoby fizycznej.

Wymogom ustawy, a zatem wymogowi zgłoszenia zbioru do rejestracji, nie będą podlegać zatem zbiory zawierające wyłącznie informacje dotyczące osób prawnych. Co do zasady rejestracji nie podlegają także zbiory dot. osób prawnych zawierające dane kontaktowe osób fizycznych, o ile tylko do celów kontaktowych dane te są wykorzystywane.

Ponadto ustawa zawiera szereg wyłączeń i wyjątków od obowiązku zgłoszenia zbioru do rejestracji. W szczególności nie trzeba będzie zgłaszać zbiorów danych osobowych:

• osób fizycznych, które przetwarzają dane wyłącznie w celach osobistych lub domowych (do takich zbiorów ustawa w ogóle nie znajduje zastosowania),
• sporządzanych doraźnie, wyłącznie ze względów technicznych, szkoleniowych lub w związku z dydaktyką w szkołach wyższych, o ile po wykorzystaniu dane te zostaną niezwłocznie usunięte lub zanonimizowane (w stosunku do takich danych administrator ma jedynie obowiązek zapewnić bezpieczeństwo przetwarzania),
• zawierających dane pracowników i osób zatrudnionych na podstawie umowy cywilnoprawnej, przetwarzanych w związku z zatrudnieniem lub świadczeniem mu usług,
• w których przetwarzanie odbywa się wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej,
• zawierających wyłącznie dane ogólnodostępne,
• zawierających dane przetwarzane w drobnych bieżących sprawach życia codziennego (za takie uważa się np. zbiory kontaktowe ("wizytówkowe"), czy księgi wejść i wyjść z budynków).

Zgłoszenia dokonuje się na urzędowym formularzu, który określa jakie informacje na temat zbioru należy podać. Informacje te to w szczególności: oznaczenie podmiotu prowadzącego zbiór i adres jego siedziby lub miejsca zamieszkania, numer REGON, podstawa prawną upoważniająca do prowadzenia zbioru, cel przetwarzania danych, opis kategorii osób, których dane dotyczą, zakres przetwarzanych danych, informację o odbiorcach lub kategoriach odbiorców, którym dane mogą być przekazywane, opis środków technicznych i organizacyjnych, informację dot. ewentualnego przekazywania danych do państwa trzeciego.

Zmiana zakresu danych gromadzonych w zbiorze, ich aktualizacja i weryfikacja nie wymagają ponownego zgłoszenia zbioru. Wystarczy zgłoszenie zmian do GIODO.

Co do zasady przetwarzanie danych osobowych w zbiorze można rozpocząć po złożeniu wniosku do GIODO. Dane sklasyfikowane jako wrażliwe (pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniowa, partyjna lub związkowa, dane o stanie zdrowia, kodzie genetyczny, nałogi lub życie seksualne, dane dotyczące skazań, orzeczeń o ukaraniu i mandaty karne a także informacje o orzeczeniach sądowych lub administracyjnych) można przetwarzać dopiero po zarejestrowaniu zbioru przez GIODO.

Rafał Surowiec, Mikołaj Jasiak, kancelaria Domański Zakrzewski Palinka.

Źródło: www.skarbiec.biz, 31 stycznia 2011