Niezbędne jest zatem precyzyjne wskazanie w specyfikacji istotnych warunków zamówienia (SIWZ), że tworzony przez wykonawcę system informatyczny musi posiadać wszystkie funkcje związane z przetwarzaniem danych osobowych.
Administracja publiczna również pod kontrolą GIODO
Określone w ustawie o ochronie danych osobowych wymogi co do zapewnienia bezpieczeństwa i określonych funkcjonalności systemów przetwarzających dane dotyczą także administratorów danych z sektora administracji publicznej. Odpowiedzialność za wypełnienie tych wymogów spoczywa więc najczęściej na zamawiającym (jako administratorze danych), a nie na wykonawcy. Kwestia ta nie powinna być lekceważona przez zamawiającego, bo ze statystyk kontroli przeprowadzanych przez GIODO w 2009 r. wynika, że jednym z najczęściej występujących uchybień w procesie przetwarzania danych osobowych w administracji publicznej było niewłaściwe przygotowanie systemów informatycznych do przetwarzania danych.
W czym tkwi problem? W praktyce SIWZ najczęściej nie wspominają o konieczności spełnienia przez system przetwarzający dane osobowe wymogów związanych z ochroną danych osobowych. Kwestia ta jest pomijana także przez wykonawcę, między innymi ze względu na to, że to nie na nim spoczywa ewentualna odpowiedzialność za niezgodne z prawem przetwarzanie danych osobowych przez zamawiającego. Obowiązek ten spoczywa na podmiocie, który decyduje o celach i środkach przetwarzania danych, a więc najczęściej na zamawiającym.
Nie mniej istotny problem wiąże się z dokumentacją stworzonego systemu. Wykonawca powinien dostarczyć dokumentację opisującą stworzony system pod kątem przetwarzania danych osobowych. Dokument ten powinien być wystarczająco precyzyjny, aby spełniać rolę instrukcji zarządzania systemem informatycznym przetwarzającym dane, którego stworzenie i aktualizowanie jest obowiązkiem administratora danych.
Wymogi wynikające z ustawy i rozporządzenia
Wymogi stawiane systemom IT przetwarzającym dane osobowe opisano w głównej mierze w rozporządzeniu MSWiA z 2004 r. Systemy takie muszą więc m.in. umożliwiać odnotowanie daty pierwszego wprowadzenia danych do systemu, identyfikator użytkownika wprowadzającego dane osobowe do systemu, chyba że dostęp do systemu informatycznego i przetwarzanych w nim danych posiada wyłącznie jedna osoba, źródła danych, w przypadku zbierania danych, nie od osoby, której one dotyczą, jak również informacje o odbiorcach danych, którym dane osobowe zostały udostępnione, dacie i zakresie tego udostępnienia. Część tego typu informacji musi być odnotowywana przez system automatycznie. Co więcej, rozporządzenie wprowadza różne poziomy bezpieczeństwa, które w zależności od rodzaju przetwarzanych danych i ewentualnego połączenia systemu z siecią publiczną, muszą gwarantować np. odpowiednią jakość stosowanego przez użytkownika hasła. Warto więc pamiętać o tym, że GIODO w trakcie kontroli bada, oprócz właściwości systemu wskazanych w rozporządzeniu, także to, czy w sytuacji transmisji danych w sieci publicznej stosowany jest protokół szyfrujący.
Wnioski
Jeśli kontrola GIODO wykaże, że system przetwarzający dane osobowe nie spełnia wymogów wskazanych w rozporządzeniu z 2004 r., określającym wymogi techniczne i organizacyjne, organ ochrony danych nakaże administratorowi danych dostosowanie systemu do warunków wskazanych w rozporządzeniu i wyznaczy do tego odpowiedni, najczęściej stosunkowo krótki termin. Prawdopodobna jest więc sytuacja, że to wykonawca, który stworzył system pierwotnie niezgodny z wymogami rozporządzenia, będzie implementował zalecenia GIODO, ale już za dodatkową opłatą. Ponadto, na co wykazują sprawozdania wydawane przez GIODO, administratorzy danych z sektora publicznego często nie prowadzą dokumentacji opisującej przetwarzanie danych, w tym wspomnianej już instrukcji. Stworzenie tego typu dokumentacji przez zamawiającego bez udziału wykonawcy będzie bardzo czasochłonne lub nawet niemożliwe. Stąd warto zabezpieczyć także ten aspekt w SIWZ.
Marcin Lewoszewski, prawnik w kancelarii CMS Cameron McKenna