Art. 27. Zabezpieczenia informacji rejestrowanych

Informacje rejestrowane przetwarzane w celach określonych w ustawie podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu, polegającym co najmniej na:

1) dopuszczeniu przez administratora danych do przetwarzania informacji rejestrowanych wyłącznie osób do tego uprawnionych;

2) pisemnym zobowiązaniu podmiotu uprawnionego, o którym mowa w art. 19 ust. 2, do zapewnienia bezpieczeństwa przetwarzanych informacji;

3) regularnym testowaniu i doskonaleniu stosowanych środków technicznych i organizacyjnych;

4) zapewnieniu bezpiecznej komunikacji w systemie teleinformatycznym;

5) zapewnieniu ochrony przed nieuprawnionym dostępem do systemu teleinformatycznego;

6) określeniu zasad bezpieczeństwa przetwarzanych informacji rejestrowanych.

Komentarz do Art. 27.

Przepis określa minimalne wymagania dotyczące zabezpieczenia informacji rejestrowanych, które są przetwarzane w celach wskazanych w ustawie. Zabezpieczenia mają zapobiegać nadużyciom, a także dostępowi do informacji lub ich przekazywaniu w sposób niezgodny z prawem. Odpowiedzialność za ustanowienie tych mechanizmów wiąże się przede wszystkim z działaniami administratora danych oraz podmiotów uprawnionych.

Wymienione środki obejmują w szczególności:

dopuszczenie do przetwarzania informacji wyłącznie osób uprawnionych przez administratora danych,
pisemne zobowiązanie podmiotu uprawnionego, o którym mowa w art. 19 ust. 2, do zapewnienia bezpieczeństwa przetwarzanych informacji,
regularne testowanie i doskonalenie środków technicznych i organizacyjnych,
zapewnienie bezpiecznej komunikacji w systemie teleinformatycznym,
ochronę systemu teleinformatycznego przed nieuprawnionym dostępem,
określenie zasad bezpieczeństwa przetwarzanych informacji rejestrowanych.

Zwrot „co najmniej” oznacza, że wskazany katalog wyznacza podstawowy poziom zabezpieczeń. Przepis nie ogranicza więc ochrony do jednego rozwiązania, lecz wymaga połączenia kontroli uprawnień, obowiązków organizacyjnych, zabezpieczeń technicznych oraz ustalonych zasad postępowania. Znaczenie praktyczne regulacji polega na tym, że bezpieczeństwo informacji rejestrowanych powinno być zapewniane zarówno przez odpowiedni dobór osób mających dostęp do danych, jak i przez stałe sprawdzanie oraz ulepszanie stosowanych zabezpieczeń. Ochrona obejmuje również samą komunikację i system teleinformatyczny, w którym informacje są przetwarzane.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt wydany przez SEJM, Dziennik Ustaw z 2023 r. poz. 180.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 26.Art. 28.