Ilu inspektorów ma zatrudniać biuro?

Możemy dowolnie dzielić nasz budżet. Od nas więc zależy, ile stworzymy etatów. Inspektorami będą prawnicy po aplikacjach. Ich wiedzę wykorzystamy do sprawnej weryfikacji dokumentów. Jeśli będzie konieczne, w inspekcji będzie uczestniczył informatyk.

Być może uda się nam przeszkolić naszych inspektorów w Najwyższej Izbie Kontroli, by nabyli umiejętność poruszania się w kontrolowanych instytucjach. Wysłanie inspektora na kontrolę jest ostatecznym krokiem. Obecnie, najpierw kierujemy do administratora danych osobowych pismo z prośbą o wyjaśnienia.

Czy przetwarzanie danych osobowych, które instytucja posiadała już znacznie wcześniej, będzie obwarowane mniejszymi rygorami?

Ustawa nie zakłada żadnej abolicji. Wszystkie osoby, o których dane są zgromadzone w różnych bazach istniejących jeszcze przed wejściem w życie ustawy, powinny w zasadzie zostać powiadomione o tym fakcie.

W zasadzie?

To może być rozciągnięte w czasie. W Polsce oferowane są bazy zawierające informacje nawet o kilku milionach osób. Chyba brakuje w naszym prawodawstwie zapisu pozwalającego na stworzenie listy osób, które nie życzą sobie, by ich nazwiska znajdowały się na listach adresowych firm sprzedaży wysyłkowej. To tzw. lista Robinsona. Być może nawet moje biuro mogłoby prowadzić taką listę.

Ile do tej pory otrzymaliście Państwo skarg obywatelskich, związanych z wykorzystaniem danych osobowych?

Kilkadziesiąt. Ale może dlatego jest ich stosunkowo niewiele, gdyż urząd dopiero organizuje swoją działalność, do tej pory nie rozpowszechnialiśmy chociażby informacji o tym, jaki jest nasz adres. Natomiast odbieramy wiele telefonów, głównie z różnego rodzaju wątpliwościami i prośbami o wyjaśnienia.

Od początku lipca tego roku dostępny jest już wzór wniosku o rejestrację bazy zawierającej dane osobowe. Ile takich wniosków do tej pory przysłano?

Zaledwie siedemnaście. Jest ich tak mało prawdopodobnie dlatego, że administratorzy podmiotów zobowiązanych do rejestracji mają wiele wątpliwości, dotyczących kwestii proceduralnych, związanych z wypełnianiem wniosku. Większość otrzymanych wniosków zawiera błędy formalne. Będziemy starali się porozumieć z administratorami tych zbiorów, unikając ostateczności, jaką jest odrzucenie wniosku. Oznaczałoby to bowiem, że natychmiast należy wstrzymać przetwarzanie danych osobowych z tego zbioru.

Niektóre wnioski napisane są nawet jak luźne podanie. Tymczasem zgłoszenie musi być dokonane wyłącznie na formularzu stanowiącym część rozporządzenia Ministra Spraw Wewnętrznych i Administracji. Ta ściśle określona forma to wymóg prawny. Nie dopuszczamy tu żadnych modyfikacji.

Docelowa metabaza, czyli informatyczny zbiór informacji o rejestrowanych bazach, jest dopiero na etapie prac koncepcyjnych. Obecnie opracowujemy tymczasowy rejestr elektroniczny, ale już dzisiaj funkcjonuje rejestr manualny. Nie musimy więc czekać z przyjmowaniem wniosków na rozwiązania informatyczne.

Formularz i inne informacje dotyczące ochrony danych osobowych oraz pracy biura dostępne będą w naszym internetowym serwisie, który powinien zostać uruchomiony na początku przyszłego roku.

Jak szczegółowe informacje powinny znaleźć się we wniosku? Rejestr zbiorów danych osobowych ma być przecież dostępny publicznie.

Chcemy, żeby administratorzy zgłaszający zbiór mieli poczucie bezpieczeństwa. Nie trzeba podawać szczegółów. Ustawa zresztą nie nakłada na nas obowiązku upublicznienia wszystkich informacji rejestracyjnych. Na pewno nie będziemy udostępniać tych danych, które mogłyby osłabiać bezpieczeństwo zbioru danych. Dotyczy to w szczególności opisu środków technicznych.

Natomiast wszystkie obowiązki dotyczące administratora wypływające z rozporządzenia powinny znaleźć odniesienie w części opisowej.