Warunki realizacji rządowego programu dla rodzin wielodzietnych regulują przepisy ustawy z dnia 5 grudnia 2014 r. o Karcie Dużej Rodziny. Mimo że obowiązują już od ponad dwóch i pół roku, do Biura Generalnego Inspektora Ochrony Danych Osobowych (GIODO) wciąż wpływają liczne zgłoszenia zbiorów danych prowadzonych w związku z przyznawaniem Karty. Niestety, wiele z nich pochodzi od niewłaściwych podmiotów, które nie są administratorami danych (głównie od ośrodków pomocy społecznej).
Ponadto w ostatnim okresie do Biura GIODO dociera wiele pytań dotyczących aktualizacji zbiorów danych prowadzonych w celu obsługi wniosków o wydanie Karty Dużej Rodziny. To efekt zmiany niektórych przepisów ustawy o Karcie Dużej Rodziny, które obowiązują od 1 lipca 2017 r., a zostały wprowadzone ustawą z dnia 23 marca 2017 r. o zmianie niektórych ustaw w związku z zadaniami organów administracji publicznej w zakresie niektórych rejestrów publicznych.
Zobacz: Zdrowie
Generalny Inspektor Ochrony Danych Osobowych przypomina, że art. 21 ust. 2 ustawy o Karcie Dużej Rodziny wyraźnie stanowi, iż administratorami danych osobowych przetwarzanych w zakresie niezbędnym do realizacji zadań wynikających z tej ustawy są wójt oraz minister właściwy do spraw rodziny. W praktyce oznacza to, że zbiór danych prowadzony w celu przyznawania Karty Dużej Rodziny (jego ewentualną aktualizację) powinna zgłosić wyłącznie gmina. Podjęcie uchwały zlecającej realizację tego zadania ośrodkowi pomocy społecznej lub innej jednostce organizacyjnej gminy nie oznacza przeniesienia statusu administratora danych na ten ośrodek bądź inną jednostkę organizacyjną gminy.
Warto też pamiętać, że nowelizacja przepisów nie zawsze jest równoznaczna z koniecznością zgłoszenia zmian w zbiorze. Administrator danych powinien każdorazowo dokonać oceny, czy zakres przetwarzanych danych osobowych, cel przetwarzania, kategoria osób, których dane dotyczą, ewentualnie inne informacje, które administrator podaje w zgłoszeniu, uległy zmianie. Jedynie bowiem wówczas, gdy zmiany dotyczą informacji zawartych w zgłoszeniu zbioru do rejestracji, powstaje obowiązek przesłania zgłoszenia aktualizacyjnego.
Należy ponadto podkreślić, że w sytuacji, gdy administrator danych powołał administratora bezpieczeństwa informacji (ABI) i zgłosił go GIODO do rejestracji, a w zbiorze przetwarzane są wyłącznie dane zwykłe, wówczas – nawet jeśli w zbiorze zostały dokonane zmiany – administrator danych nie ma obowiązku ich zgłaszania do GIODO.