Czy wystarczy oświadczenie o zachowaniu tajemnicy

Czytelnik jest właścicielem firmy przewozowej i zamierza zatrudnić księgową.

- Czy zgodnie z ustawą o ochronie danych osobowych wystarczające jest, aby każda osoba dopuszczona do przetwarzania danych osobowych składała oświadczenie o zachowaniu w tajemnicy danych osobowych - pyta pan Emil z Krakowa.

Nie. W jednej z ostatnio wydanych decyzji Generalny Inspektor Ochrony Danych Osobowych podkreślił, że ustawa o ochronie danych osobowych wymaga, aby każda osoba dopuszczona do przetwarzania danych osobowych posiadała upoważnienie nadane jej przez administratora danych (sygn. DIS/DEC-826/30202/09). Jak wskazał GIODO, ustawa nakazuje zastosowanie środków technicznych i organizacyjnych, które zapewnią właściwą ochronę gromadzonym danym osobowym. Wybór odpowiednich środków bezpieczeństwa zależy od administratora danych osobowych (np. gminy, pracodawcy). Jednym z nich powinno jednak być nadanie upoważnienia dla każdej osoby dopuszczonej do przetwarzania danych osobowych. Powinno ono być wydawane nie tylko osobom, które bezpośrednio zatrudnione zostały w celu przetwarzania danych, ale również innym osobom mogącym w takim przetwarzaniu uczestniczyć. Upoważnienie takie powinno być odrębnym dokumentem, nie może być bowiem wywodzone tylko z treści umowy o pracę, czy z zakresu obowiązków pracowniczych.

Ze względów dowodowych wskazane jest, aby posiadało ono formę pisemną. Powinno mieć także charakter imienny oraz określać dozwolony zakres przetwarzania danych. Ustawodawca nie stworzył jednak wzoru upoważnienia do przetwarzania danych osobowych. W związku z tym, skoro ustawa wprost mówi o wydaniu upoważnienia do przetwarzania danych osobowych, to odbieranie od każdej osoby dopuszczonej do przetwarzania danych osobowych jedynie oświadczenie o zobowiązaniu do zachowania w tajemnicy danych osobowych, nie spełnia wymogów tego upoważnienia.

Adam Makosz

Ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. nr 101, poz. 926 z późn. zm.).