Jednym z głównych zadań organizacyjnych Administratora danych (ADO) jest powołanie administratora bezpieczeństwa informacji (ABI) jest – wyjątek stanowi sytuacja, kiedy role ABI pełni ADO.
Zadaniem ABI jest nadzór nad przestrzeganiem zasad ochrony danych osobowych wdrożonych w danej instytucji, których celem jest zabezpieczenie danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Środki techniczne i organizacyjne powinny być odpowiednie do zagrożeń i kategorii danych objętych ochroną.
Nie jest wymagane, aby ABI był pracownikiem administratora danych.
ABI posiada odpowiednią wiedzę w dziedzinie informatyki i bezpieczeństwa systemów informatycznych, które pozwolą mu na zaznajomienie się z funkcjonowaniem systemu informatycznego służącego do przetwarzania danych osobowych przez administratora danych.
ABI powinien wykonywać obowiązki samodzielnie, a w strukturze organizacyjnej podlegać bezpośrednio kierownikowi jednostki.
ABI ma prawo wydawania zaleceń wszystkim osobom upoważnionym do przetwarzania danych osobowych oraz innym osobom, które mają wpływ na przetwarzanie tych danych.
Obowiązki Administratora Bezpieczeństwa Informacji
Do obowiązków ABI należy w szczególności:
- przygotowywanie wniosków/zgłoszeń rejestracyjnych i aktualizacja zbiorów danych oraz prowadzenie korespondencji z Generalnym Inspektorem Ochrony Danych Osobowych;
- aktualizacja oraz bieżący nadzór nad dokumentacją wymaganą przez ustawę oraz przepisy wykonawcze do niej, między innymi nad:
- dokumentacją opisującą sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych,
- dokumentacją pracowniczą związaną z przetwarzaniem danych osobowych (upoważnienie do przetwarzania danych osobowych oraz ewidencja osób upoważnionych do przetwarzania danych osobowych),
- oświadczeniami pracowników o zapoznaniu się z obowiązującymi procedurami;
- nadzorowanie udostępniania danych osobowych odbiorcom danych i innym podmiotom;
- sprawowanie nadzoru nad wdrożeniem stosownych środków organizacyjnych, technicznych i fizycznych w celu zapewnienia bezpieczeństwa danych osobowych oraz sprawowanie nadzoru nad funkcjonowaniem systemu zabezpieczeń wdrożonym w celu ochrony danych osobowych;
- kontrola dostępu osób niepowołanych do systemu, w którym przetwarzane są dane osobowe;
- nadzorowanie oraz podejmowanie odpowiednich działań w przypadku wykrycia naruszeń w systemie zabezpieczeń lub podejrzenia naruszenia;
- monitorowanie dostępu użytkowników do systemów przetwarza-jących dane osobowe;
- prowadzenie szkoleń z zakresu ochrony danych osobowych;
- udzielanie odpowiedzi na bieżące pytania i wątpliwości z zakresu ochrony danych osobowych kierowane na dedykowany adres poczty elektronicznej przez pracowników administratora danych.