Łączenie funkcji administratora bezpieczeństwa informacji i administratora systemu informatycznego może powodować zagrożenia dla ochrony przetwarzania danych osobowych.

Połączenie funkcji administratora bezpieczeństwa informacji (ABI) i administratora systemu informatycznego (ASI) w konkretnych przypadkach może być uznane za niezgodne z ustawą o ochronie danych osobowych – informuje Generalny Inspektor Ochrony Danych Osobowych.

Pełnienie funkcji ASI jest najczęściej powierzane informatykowi lub kierownikowi działu IT, a do jego głównych zadań należy m.in. administrowanie serwerami służącymi przetwarzaniu danych i wdrożenie zabezpieczeń systemów.

Zdaniem GIODO konsolidacja funkcji ASI iABI może powodować zagrożenia dla bezpieczeństwa przetwarzania danych osobowych. Wynika to z tego, że osoba odpowiadająca za bieżące prowadzenie przetwarzania danych osobowych i bezpieczeństwo danych w systemach informatycznych sprawowałaby jednocześnie nadzór nad zgodnością z prawem wykonywanych przez siebie działań.

Sytuacja taka powodowałaby faktyczny brak nadzoru nad zgodnością przetwarzania danych z przepisami prawa, w tym przepisami określającymi wymogi co do bezpieczeństwa danych osobowych.

Jak podkreśla GIODO, prawidłowe i skuteczne wykonywanie funkcji ABI ma być zagwarantowane przez niezależność i bezpośrednią podległość.

Administrator nie może podlegać innym osobom niż kierownik jednostki organizacyjnej lub osoba fizyczna będąca administratorem danych. Kierownikiem jednostki organizacyjnej jest osoba, która kieruje jej pracami, czy prowadzi jej sprawy, działając jako administrator danych.

W przypadku jednoczesnego pełnienia funkcji ABI i ASI osoba taka nie może podlegać np. dyrektorowi ds. informatycznych, kierownikowi działu IT lub innej osobie, która nie jest kierownikiem jednostki organizacyjnej.

ABI musi też mieć zapewnioną możliwość niezależnego pełnienia funkcji. GIODO podkreśla, że rozporządzenie ogólne o ochronie danych osobowych dopuszcza możliwość nakładania na inspektora ochrony danych innych zadań i obowiązków, ale tylko w sytuacji, gdy administrator i podmiot przetwarzający zapewnią, by nie powodowało to konfliktu interesów. Wymóg niepowodowania konfliktu interesów jest ściśle związany z wymogiem wykonywania zadań w sposób niezależny.

Co do zasady, za powodujące konflikt interesów uważane będą stanowiska kierownicze, ale również niższe stanowiska, jeśli osoby je piastujące biorą udział w określaniu celów i sposobów przetwarzania danych.

Kkż/