Upoważniać czy lepiej nie?

Do danych dostęp powinny mieć osoby upoważnione. Trzeba potrafić to potwierdzić.

Jednym z elementów składających się na bezpieczeństwo danych osobowych w organizacji jest zapewnienie kontroli nad tym, kto ma do tych danych dostęp, co może z nimi zrobić i co tak właściwie zrobił. W epoce przed RODO tak właśnie rozumiano rozliczalność: jako właściwość systemu pozwalającą przypisać określone działanie w systemie do osoby fizycznej lub procesu oraz umiejscowić je w czasie i wiązano ją najczęściej z obowiązkiem nadawania upoważnień do przetwarzania danych osobowych. Ale czasy się zmieniły, zmieniło się znaczenie pojęcia rozliczalności, a problem upoważnień pozostał. Nadawać więc, czy nie nadawać upoważnienia do przetwarzania danych? A jeżeli tak, to jak to robić?

Wypada zacząć od tego, że ustawa o ochronie danych osobowych z 1997 r. przewidywała obowiązek dopuszczenia do przetwarzania danych wyłącznie osób posiadających upoważnienie nadane przez administratora danych oraz obowiązek prowadzenia przez administratora danych ewidencji osób upoważnionych. Takiego obowiązku w RODO nie ma – zamiast tego mamy art. 29 RODO o treści następującej: „[p]odmiot przetwarzający oraz każda osoba działająca z...