Naczelny Sąd Administracyjny w wyroku wydanym w dniu 21 lutego 2014 r. w sprawie sygn. akt I OSK 2445/12 orzekł, iż należy w sposób imienny wyznaczać pracownika odpowiedzialnego za nadzór nad bezpieczeństwem informacji, natomiast wykonywanie tych obowiązków przez pracownika anonimowego jest niedopuszczalne.
Powyższe orzeczenie dotyczy głośnego sporu między Generalnym Inspektorem Ochrony Danych Osobowych a spółką „Google Inc.” z siedzibą w Mountain View (Stany Zjednoczone), który 01 grudnia 2012 r. – działając na podstawie art. 36 ust. 3 Ustawy z dnia 29 sierpnia 2997 r. o ochronie danych osobowych (Dz.U. 1997 nr 133 poz. 883) – nakazał spółce „Google” imienne wyznaczenie administratora bezpieczeństwa informacji w terminie 3 dni od dnia, w którym decyzja stanie się ostateczna.
GIODO stał na stanowisku, iż wykonywanie określonych czynności z zakresu kompetencji administratora bezpieczeństwa informacji przez administratora danych możliwe jest jedynie wówczas, gdy administrator danych jest imiennie wskazaną osobą fizyczną, co w przedmiotowej sprawie nie miało miejsca.
Spółka „Google” nie podzieliła powyższej opinii i skierowała sprawę do Wojewódzkiego Sądu Administracyjnego. Ten jednak skargę oddalił. „Google” złożyło zatem kasację do NSA, który podzielił stanowisko WSA, jednocześnie wskazując, iż jednostka organizacyjna działa zawsze przez swego pracownika lub sama. Oznacza to, że w przypadku spółki „Google” administratorem bezpieczeństwa może być nawet prezes spółki, jednakże powinien on być wyraźnie wskazany jako pełniący w strukturze taką rolę.
Źródło:
Wyrok Naczelnego Sądu Administracyjnego z dnia 21 lutego 2014 r., sygn. akt I OSK 2445/12
-Paweł Ulchurski