Pytanie:

Czy nauczyciel może w ramach swoich obowiązków pełnić funkcję administratora bezpieczeństwa informacji (ABI)?

Odpowiedź:

Zajęcia i czynności, jakie nauczyciel jest zobligowany realizować w ramach obowiązującego go czasu pracy, określa art. 42 ust. 2 i art. 2a Ustawy z dnia 26 stycznia 1982 r. – Karta Nauczyciela (DzU z 2014 r., poz. 191 z późn. zm.).

Z pewnością nie mieszczą się w tym zakresie zadania administratora bezpieczeństwa informacji (ABI) wymienione w art. 36a ust. 2 Ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (DzU z 2014 r., poz. 1182 z późn. zm.), tj. zapewnianie przestrzegania przepisów o ochronie danych osobowych oraz prowadzenie rejestru zbiorów danych przetwarzanych przez administratora danych.

Administrator danych – w tym wypadku jednostka organizacyjna, jaką jest szkoła – może, ale nie musi powołać ABI. Jeśli przetwarzanie danych osobowych odbywa się na niewielką skalę i administrator danych potrafi samodzielnie zapanować nad tym procesem, nie ma potrzeby powoływania ABI.

W razie powołania ABI administrator danych jest obowiązany zgłosić ten fakt do rejestracji GIODO (Generalnego Inspektora Ochrony Danych Osobowych). Ustawa o ochronie danych osobowych określa wymogi, jakie musi spełniać kandydat na ABI. Zgodnie z art. 36a ust. 5 ABI może być osoba, która:

1. ma pełną zdolność do czynności prawnych oraz korzysta z pełni praw publicznych,
2. posiada odpowiednią wiedzę z zakresu ochrony danych osobowych,
3. nie była karana za umyślne przestępstwo.

W celu wzmocnienia statusu oraz zagwarantowania niezależności ABI ustawa wprowadza następujące wymogi:

– ABI podlega bezpośrednio kierownikowi jednostki organizacyjnej (art. 36a ust. 7),

– administrator danych zapewnia organizacyjną odrębność ABI oraz środki, niezbędne do niezależnego wykonywania przez niego zadań (art. 36a ust. 8),

– administrator danych może powierzyć ABI wykonywanie innych obowiązków, jeżeli nie naruszy to prawidłowego realizowania zadań ABI (art. 36a ust.4).

W przypadku gdy ta sama osoba w ramach jednego stosunku pracy wykonuje obowiązki ABI oraz obowiązki nauczyciela, jej organizacyjna odrębność stoi pod znakiem zapytania. Ponadto nie można wykluczyć, że osoba ta jako ABI będzie nadzorowała samą siebie, gdy jako nauczyciel będzie przetwarzać dane osobowe, co może naruszyć prawidłowe wykonywanie zadań ABI.

Sądzę, że lepszym rozwiązaniem jest zatrudnienie na część etatu osoby, która ma wykonywać zadania ABI w szkole. Jeśli osobą tą jest nauczyciel zatrudniony w danej szkole, administrator danych powinien ocenić, czy okoliczność ta może wpłynąć na prawidłowe wypełnianie zadań ABI.