Kto może pełnić funkcję ABI?

Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych[1] nie stanowi o tym wyraźnie, jednak przyjmuje się, że Administrator Bezpieczeństwa Informacji (ABI) powinien być osobą fizyczną. Ponadto nie jest wymagane, aby ABI był pracownikiem administratora danych. Dlatego osoba pełniąca tę funkcję może zostać dobrana spoza grona pracowników administratora danych. Nie ma bowiem przeszkód, aby ABI wykonywał swoje czynności jako przedsiębiorca w ramach samo zatrudnienia lub też jako pracownik zatrudniony u pracodawcy innego niż podmiot występujący w roli administratora danych.

Uodo nie określa również, jakie dokładnie wymagania kwalifikacyjne powinna spełniać osoba realizująca funkcję ABI. Przyjąć jednakże należy, iż ABI zasadniczo winien posiadać odpowiednią wiedzę w dziedzinie informatyki i bezpieczeństwa systemów informatycznych, która pozwoli mu na zaznajomienie się z funkcjonowaniem systemu informatycznego służącego do przetwarzania danych osobowych u administratora danych, choć nie musi mieć wykształcenia kierunkowego (np. informatycznego czy prawniczego). W związku z tym, jako ABI należy dobrać osobę, która poza konieczną wiedzą, posiada następujące umiejętności:

1. zdolność rozwiązywania problemów,
2. zdolność myślenia analitycznego,
3. zdolność kojarzenia faktów,
4. umiejętność pracy w zespole,
5. rozumienie działalności administratora danych, w tym przede wszystkim infrastruktury służącej do przetwarzania danych osobowych,
6. zdolność szybkiego uczenia się.