Sposób wykonywania funkcji przez ABI może podlegać kontroli administratora danych osobowych lub kierownika jednostki.

Jak przypomina Generalny Inspektor Ochrony Danych Osobowych, niezależnie od powołania w danej organizacji administratora bezpieczeństwa informacji (ABI), to administrator danych osobowych ponosi pełną odpowiedzialność za zgodne ustawą przetwarzanie danych osobowych. ABI podlega bezpośrednio kierownikowi jednostki organizacyjnej lub osobie fizycznej będącej administratorem danych i w związku z tym sposób wykonywania funkcji przez ABI może podlegać kontroli tych osób, w tym kontroli zleconej przez te osoby podmiotom wewnętrznym lub zewnętrznym.

GIODO podkreśla, że niezależność administratora bezpieczeństwa informacji jest jedną z najważniejszych gwarancji skutecznego i prawidłowego wykonywania jego zadań, a tym samym realnego zapewnienia zgodności przetwarzania danych osobowych z przepisami prawa. Na niezależność administratora bezpieczeństwa informacji wskazuje dyrektywa Parlamentu Europejskiego i Rady, podkreślając, że „urzędnik do spraw ochrony danych osobowych” musi mieć możliwość wykonywania swojej funkcji w sposób całkowicie niezależny.

W przypadku powołania ABI wdrożone w danej organizacji systemy wewnętrznej kontroli (systemy oceny zgodności) muszą uwzględniać niezależne funkcjonowanie ABI. Systemy te nie mogą ograniczać możliwości wykonywania przez ABI jego ustawowych zadań, w tym dokonywania kompleksowej, bieżącej oceny zgodności przetwarzania danych osobowych z przepisami prawa.

GIODO podkreśla, że niezależnie od powołania w danej organizacji ABI, to administrator danych osobowych ponosi pełną odpowiedzialność za zgodne ustawą przetwarzanie danych osobowych. ABI podlega bezpośrednio kierownikowi jednostki organizacyjnej lub osobie fizycznej będącej administratorem danych i w związku z tym sposób wykonywania funkcji przez ABI może podlegać kontroli tych osób, w tym kontroli zleconej przez te osoby podmiotom wewnętrznym lub zewnętrznym.

W każdym przypadku ABI musi zostać poinformowany o rozpoczęciu kontroli, jej zakresie oraz celach. Wtedy, gdy kontrola dotyczy pracy ABI, respektowanie niezależnego wykonywania jego zadań oznacza zakaz wydawania ABI przez osoby kontrolujące jakichkolwiek bezpośrednich poleceń/zaleceń odnośnie tych zadań. Wnioski z przeprowadzonej kontroli powinny zostać przekazane administratorowi danych, który po ich analizie może skierować pod adresem ABI uwagi dotyczące prawidłowości wykonywania ciążących na nim obowiązków.

Jak zaznacza GIODO, jeżeli ABI nie zgadza się z oceną lub zaleceniami administratora danych, musi mieć możliwość przedstawienia swojego stanowiska. Racje obu stron powinny zostać uzasadnione i udokumentowane.
 
Materiał ten może być przydatny w celach dowodowych w przypadkach oceny prawidłowości wykonywania funkcji ABI w kontekście jego odpowiedzialności na gruncie przepisów prawa pracy lub Kodeksu cywilnego (odpowiedzialności kontraktowej) albo odpowiedzialności karnoprawnej. Będzie to miało również znaczenie w przypadku kontroli GIODO dotyczącej wykonywania funkcji ABI m.in. w postępowaniach o wykreślenie ABI z ogólnopolskiego rejestru administratorów bezpieczeństwa informacji.

Kkż/