Osoba pełniąca tę funkcję powinna korzystać z pełni praw obywatelskich, nie być karaną za przestępstwa z winy umyślnej i posiadać odpowiednią wiedzę z zakresu ochrony danych osobowych. Jej pozycja w strukturze organizacji, w której została powołana, powinna ulec wzmocnieniu, dzięki jej bezpośredniemu podporządkowaniu kierownikowi.
Decyzję o powołaniu Administratora bezpieczeństwa informacji podejmuje Administrator danych (organ, jednostka organizacyjna, podmiot lub osoba fizyczna decydująca o celach i środkach przetwarzania danych osobowych). W sytuacji, gdy uzna on, że jest w stanie samodzielnie zorganizować i nadzorować proces przetwarzania danych osobowych w organizacji, którą kieruje, nie musi tego robić. Są jednak okoliczności, w których nie tylko warto, ale wręcz powinno się powołać ABI[1]
Pomimo że ustawa o ochronie danych osobowych obowiązuje już 17 lat, świadomość obowiązków, jakie nakładają jej przepisy na administratorów danych jest dalece niewystarczająca. Zważywszy choćby, na przebiegający w tempie geometrycznym postęp technologiczny w branży IT warto korzystać z pomocy osób mających wiedzę na ten temat, czyli administratorów bezpieczeństwa informacji. Administratorzy bezpieczeństwa informacji, bowiem, odpowiadać będą za całokształt prawidłowego przetwarzania danych a w tym za: ich ochronę, szkolenia pracowników, doradztwo, kontakt z GIODO oraz wszelkie kwestie techniczne związane z funkcjonowaniem systemu informatycznego.
Choć zmiany w polskim modelu ochrony danych osobowych są od pewnego okresu stosunkowo daleko idące, wciąż jest to kontynuacja działań zmierzających do dostosowania polskiego systemu prawnego do planowanych zmian w tym zakresie w Unii Europejskiej. Planuje się, że nowe rozporządzenie UE regulujące kompleksowo ochronę danych osobowych obywateli wejdzie w życie w 2017 r. Mamy jeszcze trochę czasu, by przed wejściem w życie nowych regulacji spróbować naprawić spore zaniedbania w tej dziedzinie. Na ponad 2 miliony funkcjonujących w naszym kraju Administratorów danych do GIODO zgłoszono jedynie ok. 200000 zbiorów danych, Zrobił to jedynie, co 10 administrator. Pozostałych 90 procent administratorów danych osobowych lekceważy swoje obowiązki w tym zakresie, nie zdając sobie sprawy z odpowiedzialności, jaka na nich ciąży na mocy art. 53 ustawy o ochronie danych osobowych.
Nowelizacja ustawy o ochronie danych osobowych zwalnia podmioty z obowiązkowego, na rzecz dobrowolnego, powoływania ABI. Zachętą to takiego działania jest zwolnienie administratorów danych z obowiązku rejestrowania tzw. zbiorów zwykłych danych osobowe w rejestrze prowadzonym przez GIODO. Zgodnie z nowymi przepisami, dobrowolnie powołany przez podmiot, Administrator bezpieczeństwa informacji prowadzić będzie jawny rejestr danych osobowych, które podlegały do tej pory zgłoszeniu do GIODO. Oprócz tego do jego obowiązków należeć będzie zapewnienie przestrzegania przepisów: prowadzenie audytów wewnętrznych, wdrażanie, nadzorowanie i aktualizację dokumentacji ochrony danych osobowych, prowadzenie szkoleń dla osób przetwarzających dane osobowe, a także przeprowadzać kontrole na żądanie GIODO.
Pod rządami znowelizowanych przepisów ustawy o ochronie danych osobowych GIODO prowadzić będzie rejestr zgłoszonych przez podmioty Administratorów bezpieczeństwa informacji.
Prawdopodobnie w niedalekiej przyszłości funkcja Administratora bezpieczeństwa informacji zastąpiona zostanie przez jednolitą na terenie UE funkcję Personal Date Protection Officer.
[1] Mówi o tym, w rozmowie z Michałem Kołtuniakiem – dziennikarzem „Rzeczpospolitej”, z-ca Generalnego Inspektora Ochrony Danych Osobowych Andrzej Lewiński. Wywiad pt.: „Administrator bezpieczeństwa informacji powinien być jak inspektor” ukazał się w dzienniku ‘Rzeczpospolita” 30 grudnia 2014 r.
