Obowiązki podmiotów obsługujących program 500+ wynikające z ustawy o ochronie danych osobowych

Ustawa co prawda określa te instytucje jako „zbiorowego administratora danych”, jednak należy zauważyć, że Generalny Inspektor Danych Osobowych w swoim stanowisku na temat zapisów ustawy zaznaczył, że nie ma takiego tworu jak „zbiorowy administrator danych” i wprowadzenie go będzie nie tylko niezgodne, z obowiązującymi przepisami prawa unijnego, ale także rozmyłoby odpowiedzialność podmiotu za przetwarzanie danych zgodnie z przepisami prawa (http://giodo.gov.pl/259/id_art/9052/j/pl).

Polecamy: Rodzina 500+ (PDF)

Do dnia dzisiejszego w ustawie o ochronie danych osobowych nie zostały wprowadzone zmiany wynikające z ustawy o pomocy państwa w wychowania dzieci, a czasu na uruchomienie programu jest coraz mniej.  Wobec tego co zalecałabym jednostce, która jest odpowiedzialna za realizowanie tego podmiotu?

Przede wszystkim zarejestrowanie zbioru danych wrażliwych w jawnym rejestrze GIODO, poprzez wypełnienie wniosku dostępnego na stronie https://egiodo.giodo.gov.pl. Jednocześnie należy zaktualizować dokumentację przetwarzania danych osobowych. W polityce bezpieczeństwa rozszerzyć wykaz zbiorów danych osobowych o dane beneficjentów programu pomocy państwa w wychowaniu dzieci. Wskazać jakie i czyje dane będą w ramach tego zbioru przetwarzane. Należy dodać także informacje o programach, w których te dane będą przetwarzane oraz ewentualnych przepływach danych, które są możliwe pomiędzy nimi. Administrator danych musi także wydać pisemne upoważnienia osobom, które będą przetwarzać dane w ramach tego zbioru. Jeżeli dane będą przetwarzane w ramach nowych systemów informatycznych, należy pamiętać, aby w Instrukcji Zarządzania Systemem Informatycznym określić sposób i częstotliwość tworzenia kopii zapasowych z tego systemu.

Formalnie przetwarzanie danych osobowych wrażliwych administrator danych może rozpocząć dopiero po otrzymaniu decyzji GIODO o zarejestrowaniu zbioru w jawnym rejestrze, dlatego zgłoszenia należy dokonać jak najszybciej.

Jeżeli w międzyczasie zmienią się zapisy ustawy w sposób, który umożliwi zwolnienie administratora danych ze zgłoszenia zbioru do rejestru GIODO, to administrator otrzyma decyzję o odmowie zarejestrowania zbioru. Oznacza to, że warto zgłosić zbiór nie czekając na zmianę zapisów w ustawie o ochronie danych osobowych, bo ostateczna decyzja o zarejestrowaniu zbioru należy do GIODO.

Na koniec warto przypomnieć, że administratorzy danych, którzy powołali ABI nie są zwolnieni z obowiązku zgłaszania zbiorów danych wrażliwych do GIODO, ponieważ ABI w swoim rejestrze zarządza tylko zbiorami danych zwykłych.

Polecamy serwis: Opieka społeczna