Kim jest administrator bezpieczeństwa informacji?

Oczywiście ustawa dość szczegółowo opisuje zakres jego obowiązków oraz warunki wstępne niezbędne go jego powołania, jednak można odnieść wrażenie, że ustawodawca traktuje tutaj odbiorców prawa nieco zbyt swobodnie. Wyjaśnienie pojęcia Administratora Bezpieczeństwa Informacji jest najbardziej czytelne, kiedy porównamy je z Administratorem Danych.

Zgodnie z ustawą o ochronie danych osobowych pod pojęciem administratora danych rozumie się organ, jednostkę organizacyjną, podmiot lub osobę, decydujące o celach i środkach przetwarzania danych osobowych. Tym samym, co wyraźnie widać administratorem jest instytucja bądź też osoba mająca w swoich kompetencjach władze nad konkretnymi danymi osobistymi.

Co za tym idzie, w sensie hierarchii administrator danych będzie nadrzędny wobec administratora bezpieczeństwa informacji. Jak wynika bowiem z ustawy o ochronie danych osobowych to właśnie administrator może, ale nie musi powołać ABI. Dla przykładu można wskazać, że administratorem danych będzie :

• spółka z o. o, a konkretnie jej zarząd,
• urząd gminy, a konkretnie wójt,
• jednoosobowa działalność gospodarcza, czyli przedsiębiorca osobiście.

Tym samym można wskazać kolejną cechę odróżniającą administratora danych od administratora bezpieczeństwa informacji. Jest nią stałość tego pierwszego i uznaniowość powołania drugiego, który jest zależny od swojego, w gruncie rzeczy, pracodawcy. Co więcej administrator danych nie może zrzec się swojej odpowiedzialności na inne osoby. Powołując jednak administratora bezpieczeństwa informacji może zlecić mu konkretne zadania, które zresztą wynikają wprost z ustawy o ochronie danych osobowych. Tym samym ABI nie zastępuję ADO, a jest jedynie wykonawcą części zadań dotyczących przetwarzania danych.

W praktyce zatem można określić ABI, jako pracownika konkretnego ADO, którego obowiązki ograniczają się do tego, by zabezpieczać dane osobowe przed ich niewłaściwym wykorzystaniem przez osoby postronne lub uszkodzeniem czy utratą. Tym samym nie posiada on żadnych z uprawnień dotyczących ADO, a jedynie obowiązki i podwójną odpowiedzialność przed ADO i GIODO.