Bezpieczeństwo-Informacji.pl

Komu w firmie winno nadawać się upoważnienie do przetwarzania danych osobowych? Odpowiedź jest prosta – wszystkim tym osobom, które dane osobowe przetwarzają – bez znaczenia czy w systemie informatycznym czy w kartotekach papierowych (art. 38 u.o.d.o.).

A co z pozostałym personelem? Czy pracownicy techniczni, konserwatorzy i wreszcie osoby sprzątające w firmie powinny mieć nadane imienne upoważnienia?

Ja osobiście twierdzę, że nie. Spotkałem się jednak ostatnio z opinią, że sprzątaczki powinny być upoważnione do przetwarzania danych osobowych w zakresie zgodnym z wykonywaniem swoich obowiązków służbowych.
Jak można, a raczej jaki jest sens upoważniać pracownika w odniesieniu do jego zakresu obowiązków służbowych, które to z kolei nie mówią nic o czynnościach związanych z ewentualnie nadanym upoważnieniem? Masło maślane…

Znajomi, których prosiłem (czy to osobiście, czy na jednym z forów dyskusyjnych) o wypowiedź w temacie, poparli moje stanowisko.

Aby mieć stuprocentową pewność co do interpretacji przepisów prawa, z podobnym pytaniem zwróciłem się do Generalnego Inspektora Danych Osobowych.
Ustawa nie określa wymagań kwalifikacyjnych, jakie muszą spełniać osoby upoważnione do przetwarzania danych osobowych. Nie oznacza to jednak , że administrator danych może nadawać upoważnienia do przetwarzania dowolnym osobom. Zgodnie z art. 26 ust. 1 administrator danych jest obowiązany dołożyć szczególnej staranności w doborze osób upoważnionych do przetwarzania danych osobowych (…) – czytam w odpowiedzi z Departamentu Orzecznictwa Legislacji i Skarg GIODO.

Warto tutaj wspomnieć o tym, iż zasadą jest, że administrator danych ponosi odpowiedzialność za udostępnienie danych osobie nieuprawnionej.

W moim przekonaniu, mimo iż sprzątaczki (skoro nie przetwarzają danych osobowych) nie posiadają upoważnień, absolutnie nie zwalnia czy to administratora danych czy administratora bezpieczeństwa informacji (jeśli jest powołany) z obowiązku przeszkolenia tego personelu z zakresu zapisów Polityki Bezpieczeństwa czyli także ochrony danych osobowych.

Pracownicy odbycie szkolenia powinni potwierdzić na piśmie. Stosowanym rozwiązaniem jest również podpisanie przez personel tzw. oświadczenia o zachowaniu poufności, które w swoich zapisach jest jednocześnie poświadczeniem o znajomości Polityki Bezpieczeństwa i podstawowych zagadnień z zakresu ochrony danych osobowych.

Sławomir Głaz