Czy trzeba zgłosić ADO do GIODO?

[ded]

W fundacji którą obsługuję mamy politykę bezpieczęństwa, upoważnienia dla przetwarzających DO pracowników itp ale ostatnio ktoś coś wyczytał, że powinniśmy zgłosić ADO (czyli mnie) do GIODO- ponoć jakaś zmiana od stycznia br. Z tego co wiem, bazy zgłaszać nie musimy i nie zrobiliśmy tego. Jako ABI i ADO nie boję się szczególnie tej kwestii ale czy to na pewno wymóg czy tylko zalecenie? Wie ktoś coś więcej? Jutro mam zerknąć na jakieś dokumenty w tej sprawie ale może mnie po prostu coś ominęło. Z góry dzięki za info.

[C.M. Legionów w Lęborku]

z tego co mi mówiła firma wdrażające ODO u nas to nalezy podac kto jest ADO a kto ABI i jeszcze od informatyzacji

[PiotrSz]

http://www.giodo.gov.pl/560/id_art/8555/j/pl

http://www.giodo.gov.pl/1520223/id_art/8347/j/pl/

Pozdrawiam

[ded]

Czyli muszą mnie zgłosić. Są tego jakieś "konsekwencje" czy po prostu figuruję w spisie i to tyle? Dziś byłem porozmawiać w tej sprawie w fundacji i ja mam stanowisko ABI a ADO są obydwie panie prezesowe, tak powinno być? Dodam, że na temat komputerów to w firmie tylko ja mam jakieś pojęcie. Czy nie powinienem pełnić obydwu funkcji? W praktyce nie wiele to u nas zmienia ale jako już przygotowujemy papiery to fajnie, żeby były jak trzeba.

Dostaliśmy także taką komercyjną ofertę szkolenia, gdzie jest wspomniane coś o procedurze alarmowej i sprawozdaniu rocznym. Wcześniej tego nie robiłem, czy teraz będzie taki obowiązek?

Edyta: udało mi się złapać kontakt do chłopaka, który jest inspektorem w GIODO i powiedział mi, że on osobiście w moim przypadku odradza zgłaszanie ABI bo to się wiąże z dodatkowymi obowiązkami sprawozdań rocznych i na ich żądanie. Z ciekawszych rzeczy dowiedziałem się jeszcze, że np mogę zamknąć serwer w szafce serwerowej i jeśli np będzie widać ślady włamania przy próbie kradzieży serwera to jest ok.
Myślałem też, że w razie jakby ktoś gwizdnął serwer i się dobrał do danych to też moja wina- jeśli zastosowałem bezpieczne hasło do bazy to jestem kryty.
Mówił, że oni w razie kontroli skupiają się instrukcji bezpieczeństwa, upoważnieniach i jak coś nie gra to starają się naprowadzić ABI aby od ręki poprawił co jest źle. Mam dostać na @ jakieś ciekawe materiały + komentarz to jak wyczytam coś interesującego dam znać.

[Michał]

ded czekam na dalszy ciąg

[PiotrSz]

ja również :-D

[miwony]

Według mojej wiedzy (ale to prywatna opinia) nic nie należy zgłaszać do GIODO (po nowelizacji ustawy od 1 stycznia 2015) - zgodnie z opinią pracownika GIODO  . 
Szczęśliwie baz z danymi medycznymi nie trzeba rejestrować w GIODO(kadrowych również). Rejestracja ABI jest po to aby ułatwić życie urzędnikom a utrudnić osobą wyznaczonym na to stanowisko. Więcej o wymogach rozporządzenia MAiC można poczytać  na stronie http://blog.e-odo.pl/category/abi/ lub na stronie sejmu.

Oczywiście dane należy chronić przed dostępem osób nieupoważnionych.

[ded]

Ja akurat nie jestem na etacie (wtedy by mi zależało, żeby nie rejestrować ABI) tylko wystawiam faktury za godzinę pracy więc te coroczne raporty to dla mnie dodatkowa kasa. Do tego moja firma będzie w spisie ABI- pewnie z tego tytułu pojawi się więcej spamów na skrzynce ale może ktoś kiedyś w ten sposób będzie szukał ABI do współpracy Także ja tu widzę same profity

Osobiście także uważam, że ta rejestracja nie jest potrzebna- przedstawiłem sytuację klarownie i "życiowo". Pani prezes chce rejestrować ABI- nie ma problemu. W sumie jej się nie dziwię- każdy chce się zakryć papierami, żeby w razie czego nie było na niego. W pon jadę wypełnić papiery i wysyłamy do GIODO.

[Michał]

Czyli na upartego jeżeli właściciel zajmuje się wszystkim (a kto udowodni, że nie ) nie trzeba nic zgłaszać do GIODO, a te wszystkie szkolenia są po to aby nabić kasę firmą szkoleniowym. Przynajmniej takie jest moje zdanie po przeczytaniu krótkiego artykułu: http://www.zdrowie.abc.com.pl/czytaj/-/artykul/powolanie-administratora-bezpieczenstwa-informacji-to-nie-obowiazek

[ded]

Zgadza się ale to zależy jak podchodzisz do tematu. Większość ludzi (w szczególności gospodarujących nie swoimi pieniędzmi) chce w miarę możliwości zwolnić się z odpowiedzialności. Druga sprawa, że ty ogarniasz sprawy IT a wiele osób na kierowniczych stanowiskach to cudem pocztę obsługuje. Pójdzie taki prezes na darmowe szkolenie, tam powiedzą, że trzeba zgłosić to bazujesz na ich opinii. Jak bym tam był na etacie i ciągle powtarzał, że nie trzeba to byś mi uwierzył?

Normalna sprawa, że nie chciałbym przejmować odpowiedzialności. Na miejscu prezesa nie znającego się na IT to bym rozważył nawet jakiś audyt, żeby się nie okazało, że informatyk nic nie zabezpieczył tylko ma dobrą gadkę...

W sąsiednim temacie pytałem o zabezpieczenie VNC, bo miałem wątpliwości czy jest tak jak trzeba. Wiesz jak w większości mniejszych firm to wygląda? PPS na laptopie, do niego podłącza się drugi komp po WiFi jak jest więcej usług do wprowadzenia. Wszystkie hasła domyślne, bezprzewodówka nawet często bez szyfrowania. Zero papierów na politykę bezpieczeństwa czy cokolwiek innego. Backup to tyle co się sam zrobi przy okazji aktualizacji. Tak mniej więcej wygląda robota szefa-ado-abi Nie jest on skłonny do poniesienia ewentualnych konsekwencji tego czego nawet nie rozumie.

[C.M. Legionów w Lęborku]

udało mi się znaleźć kilka przydatnych (wg mnie) informacji, gdyby komuś się przydały to załączam w plikach