Source: http://rodom.pl/u3.html
Timestamp: 2018-02-20 03:38:00+00:00

Document:
Art. 2. 1. Ustawa określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych.
Art. 3. 1. Ustawę stosuje się do organów państwowych oraz samorządu terytorialnego, a także do innych państwowych i komunalnych jednostek organizacyjnych oraz podmiotów niepaństwowych realizujących zadania publiczne.
2. Ustawę stosuje się również do osób fizycznych i prawnych oraz jednostek organizacyjnych mniemających osobowości prawnej, które przetwarzają dane w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych.
Art. 4. Przepisów ustawy nie stosuje się, jeżeli umowa międzynarodowa, której stroną jest Rzeczpospolita Polska, stanowi inaczej.
Art. 5. Jeżeli przepisy odrębnych ustaw, które odnoszą się do przetwarzania danych, przewidują dalej idącą ich ochronę, niż wynika to z niniejszej ustawy, stosuje się przepisy tych ustaw.
2a) 2) systemie informatycznym – rozumie się przez to zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych,
2b) 2) zabezpieczeniu danych w systemie informatycznym – rozumie się przez to wdrożenie i eksploatację stosownych środków technicznych i organizacyjnych zapewniających ochronę danych przed ich nieuprawnionym przetwarzaniem,
3) usuwaniu danych – rozumie się przez to zniszczenie danych osobowych lub taką ich modyfikację, która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą,
4) administratorze danych – rozumie się przez to organ, instytucję, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3 ust. 1 i 2, decydujące o celach i środkach przetwarzania danych osobowych,
5) zgodzie osoby, której dane dotyczą – rozumie się przez to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści.
Art. 8. 1. Organem do spraw ochrony danych osobowych jest Generalny Inspektor Ochrony Danych Osobowych, zwany dalej „Generalnym Inspektorem”.
Art. 9. Przed przystąpieniem do wykonywania obowiązków Generalny Inspektor składa przed Sejmem następujące ślubowanie:
Art. 10. 1. Generalny Inspektor nie może zajmować innego stanowiska, z wyjątkiem stanowiska profesora szkoły wyższej, ani wykonywać innych zajęć zawodowych.
Art. 11. Generalny Inspektor nie może być bez uprzedniej zgody Sejmu pociągnięty do odpowiedzialności karnej ani pozbawiony wolności. Generalny Inspektor nie może być zatrzymany lub aresztowany, z wyjątkiem ujęcia go na gorącym uczynku przestępstwa i jeżeli jego zatrzymanie jest niezbędne do zapewnienia prawidłowego toku postępowania. O zatrzymaniu niezwłocznie powiadamia się Marszałka Sejmu, który może nakazać natychmiastowe zwolnienie zatrzymanego.
Art. 12. Do zadań Generalnego Inspektora w szczególności należy:
Art. 13. 1. Generalny Inspektor wykonuje swoje zadania przy pomocy Biura Generalnego Inspektora Ochrony Danych Osobowych, zwanego dalej Biurem.
Art. 14. W celu wykonania zadań, o których mowa w art. 12 pkt 1 i 2, Generalny Inspektor lub upoważnieni przez niego inspektorzy mają w szczególności prawo:
1) 3) wstępu, w godzinach od 6 do 22, za okazaniem imiennego upoważnienia i legitymacji służbowej, do pomieszczenia, w którym zlokalizowany jest zbiór danych, i przeprowadzenia niezbędnych badań lub innych czynności kontrolnych w celu oceny zgodności przetwarzania danych z ustawą,
Art. 15. 1.4) Kierownik kontrolowanej jednostki organizacyjnej oraz kontrolowana osoba fizyczna będąca administratorem danych osobowych są obowiązani umożliwić inspektorowi przeprowadzenie kontroli, a w szczególności umożliwić dokonanie czynności, o których mowa w art. 14 pkt 1–4.
2.5) W toku kontroli zbiorów, o których mowa w art. 43 ust. 1 pkt 1a, inspektor przeprowadzający kontrolę ma prawo wglądu do zbioru zawierającego dane osobowe jedynie za pośrednictwem upoważnionego przedstawiciela kontrolowanej jednostki organizacyjnej.
Art. 16. 1. Z czynności kontrolnych inspektor sporządza protokół, którego jeden egzemplarz doręcza kontrolowanemu administratorowi danych.
Art. 17. 1. Jeżeli na podstawie wyników kontroli inspektor stwierdzi naruszenie przepisów o ochronie danych osobowych, występuje do Generalnego Inspektora o zastosowanie środków, o których mowa w art. 18.
Art. 18. 1. W razie stwierdzenia naruszenia przepisów o ochronie danych osobowych. Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej nakazuje administratorowi danych, w drodze decyzji administracyjnej, przywrócenie stanu zgodnego z prawem, a w szczególności:
2a.6) Decyzje Generalnego Inspektora, o których mowa w ust. 1, w odniesieniu do zbiorów określonych w art. 43 ust. 1 pkt 1a, nie mogą nakazywać usunięcia danych osobowych zebranych w toku czynności operacyjno-rozpoznawczych prowadzonych na podstawie przepisów prawa.
Art. 19. W razie stwierdzenia, że działanie lub zaniechanie kierownika jednostki organizacyjnej, jej pracownika lub innej osoby fizycznej będącej administratorem danych wyczerpuje znamiona przestępstwa określonego w ustawie. Generalny Inspektor kieruje do organu powołanego do ścigania przestępstw zawiadomienie o popełnieniu przestępstwa, dołączając dowody dokumentujące podejrzenie.
Art. 20. Generalny Inspektor składa Sejmowi, raz w roku, sprawozdanie ze swojej działalności wraz z wnioskami wynikającymi ze stanu przestrzegania przepisów o ochronie danych osobowych.
Art. 21. 1. Strona może zwrócić się do Generalnego Inspektora z wnioskiem o ponowne rozpatrzenie sprawy.
Art. 22. Postępowanie w sprawach uregulowanych w niniejszej ustawie prowadzi się według przepisów Kodeksu postępowania administracyjnego, o ile przepisy ustawy nie stanowią inaczej.
3) 7) jest konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia koniecznych działań przed zawarciem umowy,
5) 8) jest niezbędne do wypełnienia prawnie usprawiedliwionych celów administratorów danych, o których mowa w art. 3 ust. 2, lub osób trzecich, którym są przekazywane te dane – a przetwarzanie danych nie narusza praw i wolności osoby, której dane dotyczą.
4.9) Za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności:
2.10) Przepisu ust. 1 nie stosuje się, jeżeli:
Art. 25. 1. W przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o:
5) 11) dane są przetwarzane przez administratora, o którym mowa w art. 3 ust. 1, na podstawie przepisów prawa,
6) 11) osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 1.
Art. 26. 1. Administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były:
Art. 26a.12) 1. Niedopuszczalne jest ostateczne rozstrzygnięcie indywidualnej sprawy osoby, której dane dotyczą, jeżeli jego treść jest wyłącznie wynikiem operacji na danych osobowych, prowadzonych w systemie informatycznym.
Art. 27. 1.13) Zabrania się przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym.
9) 14) jest to niezbędne do prowadzenia badań naukowych, w tym do przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego; publikowanie wyników badań naukowych nie może następować w sposób umożliwiający identyfikację osób, których dane zostały przetworzone,
10) 14) przetwarzanie danych jest prowadzone przez stronę w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym.
Art. 28. 1. (skreślony). 15)
Art. 29. 1. W przypadku udostępniania danych osobowych w celach innych niż włączenie do zbioru, administrator danych, o którym mowa w art. 3 ust. 1, udostępnia posiadane w zbiorze dane osobom lub podmiotom uprawnionym do ich otrzymania na mocy przepisów prawa.
Art. 31. 1. Administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych.
3. Podmiot, o którym mowa w ust. 1, jest obowiązany przed rozpoczęciem przetwarzania danych do podjęcia środków zabezpieczających zbiór danych, o których mowa w art. 36–39.
9) 16) wniesienia do administratora danych żądania ponownego, indywidualnego rozpatrzenia sprawy rozstrzygniętej z naruszeniem art. 26a ust. 1.
3a. 19) w razie wniesienia żądania, o którym mowa w art. 32 ust. 1 pkt 9, administrator danych bez zbędnej zwłoki rozpatruje sprawę albo przekazuje ją wraz z uzasadnieniem swojego stanowiska Generalnemu Inspektorowi, który wydaje stosowną decyzję.
Art. 33. 1. Na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach, a zwłaszcza wskazać w formie zrozumiałej odnośnie danych osobowych jej dotyczących:
Art. 34. W sprawach informowania i udostępniania danych osobie, której dane dotyczą, stosuje się przepisy art. 30.
3.20) Administrator danych jest obowiązany poinformować bez zbędnej zwłoki innych administratorów, którym udostępnił zbiór danych, o dokonanym uaktualnieniu lub sprostowaniu danych.
Art. 36.21) Administrator danych jest obowiązany do zastosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy, zmianą, utratą, uszkodzeniem lub zniszczeniem.
Art. 37. Do obsługi systemu informatycznego oraz urządzeń wchodzących w jego skład, służących do przetwarzania danych, mogą być dopuszczone wyłącznie osoby posiadające upoważnienie wydane przez administratora danych.
Art. 38. Administrator danych przetwarzanych w systemie informatycznym jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane, zwłaszcza gdy przekazuje się je za pomocą urządzeń teletransmisji danych.
Art. 39. 1. Administrator danych prowadzi ewidencję osób zatrudnionych przy ich przetwarzaniu.
Art. 40. Administrator danych jest obowiązany zgłosić zbiór danych do rejestracji Generalnemu Inspektorowi, z wyjątkiem przypadków, o których mowa w art. 43 ust. 1.
Art. 41. 1. Zgłoszenie zbioru danych do rejestracji powinno zawierać:
4a) 22) informację o odbiorcach lub kategoriach odbiorców, którym dane mogą być przekazywane,
5) opis środków technicznych i organizacyjnych zastosowanych w celach określonych w art. 36–39,
7) 23) informację dotyczącą ewentualnego przekazywania danych za granicę.
2. Administrator danych jest obowiązany zgłaszać Generalnemu Inspektorowi każdą zmianę informacji, o której mowa w ust 1, w terminie 30 dni od dnia dokonania zmiany w zbiorze danych,
Art. 42. 1. Generalny Inspektor prowadzi ogólnokrajowy, jawny rejestr zbiorów danych osobowych zgłoszonych do rejestracji. Rejestr powinien zawierać informacje, o których mowa w art. 41 ust. 1.
1a) 24) które zostały uzyskane w wyniku czynności operacyjno-rozpoznawczych przez funkcjonariuszy organów uprawnionych do tych czynności,
2) 25) przetwarzanych przez właściwe organy dla potrzeb postępowania sądowego oraz na podstawie przepisów o Krajowym Rejestrze Karnym,
2a) 26) przetwarzanych przez Generalnego Inspektora Informacji Finansowej,
5) 27) dotyczących osób korzystających z ich usług medycznych, obsługi notarialnej, adwokackiej, radcy prawnego, rzecznika patentowego, doradcy podatkowego lub biegłego rewidenta,
6) 28) tworzonych na podstawie ordynacji wyborczych do Sejmu, Senatu, rad gmin, rad powiatów i sejmików województw, ustawy o wyborze Prezydenta Rzeczypospolitej Polskiej oraz ustaw o referendum i ustawy o referendum gminnym,
2.29) w odniesieniu do zbiorów, o których mowa w ust. 1 pkt 1 i 3, oraz zbiorów, o których mowa w ust. 1 pkt 1a, przetwarzanych przez Agencję Bezpieczeństwa Wewnętrznego, Agencję Wywiadu oraz Wojskowe Służby Informacyjne, Generalnemu Inspektorowi nie przysługują uprawnienia określone w art. 12 pkt 2, art. 14 pkt 1, 3–5 oraz w art. 15–18.
2) przetwarzanie danych naruszałoby zasady określone w art. 23–30,
Art. 45. Minister właściwy do spraw administracji określi, w drodze rozporządzenia:
Art. 47. 1. Przekazanie danych osobowych za granicę może nastąpić jedynie wtedy, gdy kraj docelowy daje gwarancje ochrony danym osobowym na swoim terytorium przynajmniej takie, jak obowiązujące na terytorium Rzeczypospolitej Polskiej.
Art. 55–60. (pominięte).30)
Art. 61. 1. Podmioty określone w art. 3, prowadzące w dniu wejścia w życie ustawy zbiory danych osobowych w systemach informatycznych, mają obowiązek złożenia wniosków o zarejestrowanie tych zbiorów w trybie określonym w art. 41, w terminie 18 miesięcy od dnia jej wejścia w życie, chyba że ustawa zwalnia ich z tego obowiązku.
Art. 62. Ustawa wchodzi w życie po upływie 6 miesięcy od dnia ogłoszenia,31) z tym że:
1) art. 8–11, art. 13 i 45 wchodzą w życie po upływie 2 miesięcy od dnia ogłoszenia,
1) W brzmieniu ustalonym przez art. 1 pkt 1 ustawy z dnia 25 sierpnia 2001 r. o zmianie ustawy o ochronie danych osobowych (Dz. U. Nr 100, poz. 1087), która weszła w życie z dniem 3 października 2001 r.
2) Dodany przez art. 1 pkt 2 ustawy, o której mowa w przypisie 1.
3) Ze zmianą wprowadzoną przez art. 1 pkt 3 ustawy, o której mowa w przypisie 1.
4) Oznaczenie ust. 1 nadane przez art. 1 pkt 4 ustawy, o której mowa w przypisie 1.
5) Dodany przez art. 1 pkt 4 ustawy, o której mowa w przypisie 1.
6) Dodany przez art. 1 pkt 5 ustawy, o której mowa w przypisie 1.
7) W brzmieniu ustalonym przez art. 1 pkt 6 lit. a) tiret pierwsze ustawy, o której mowa w przypisie 1.
8) W brzmieniu ustalonym przez art. 1 pkt 6 lit. a) tiret drugie ustawy, o której mowa w przypisie 1.
9) Dodany przez art. 1 pkt 6 lit. b) ustawy, o której mowa w przypisie 1.
10) W brzmieniu ustalonym przez art. 1 pkt 7 ustawy, o której mowa w przypisie 1.
11) Dodany przez art. 1 pkt 8 ustawy, o której mowa w przypisie 1.
12) Dodany przez art. 1 pkt 9 ustawy, o której mowa w przypisie 1.
13) Ze zmianą wprowadzoną przez art. 1 pkt 10 lit. a) ustawy, o której mowa w przypisie 1.
14) Dodany przez art. 1 pkt 10 lit. b) ustawy, o której mowa w przypisie 1.
15) Przez art. 1 pkt 11 ustawy, o której mowa w przypisie 1.
16) Dodany przez art. 1 pkt 12 lit. a) ustawy, o której mowa w przypisie 1.
17) Ze zmianą wprowadzoną przez art. 1 pkt 12 lit. b) ustawy, o której mowa w przypisie 1.
18) Zdanie drugie dodane przez art. 1 pkt 12 lit. c) ustawy, o której mowa w przypisie 1.
19) Dodany przez art. 1 pkt 12 lit. d) ustawy, o której mowa w przypisie 1.
20) Dodany przez art. 1 pkt 13 ustawy, o której mowa w przypisie 1.
21) Ze zmianą wprowadzoną przez art. 1 pkt 14 ustawy, o której mowa w przypisie 1.
22) Dodany przez art. 1 pkt 15 lit. a) ustawy, o której mowa w przypisie 1.
23) Dodany przez art. 1 pkt 15 lit. b) ustawy, o której mowa w przypisie 1.
24) Dodany przez art. 1pkt 16 lit. a) ustawy, o której mowa w przypisie 1.
25) W brzmieniu ustalonym przez art. 29 ustawy z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym (Dz. U. Nr 50, poz. 580), która weszła w życie z dniem 22 czerwca 2001 r.
26) Dodany przez art. 47 ustawy z dnia 16 listopada 2000 r. o przeciwdziałaniu wprowadzaniu do obrotu finansowego wartości majątkowych pochodzących z nielegalnych lub nieujawnionych źródeł (Dz. U. Nr 116, poz. 1216), która weszła w życie z dniem 23 czerwca 2001 r.
27) W brzmieniu ustalonym przez art. 11 ustawy z dnia 11 kwietnia 2001 r. o zmianie ustawy o doradztwie podatkowym oraz niektórych innych ustaw (Dz. U. Nr 42, poz. 474), która weszła w życie z dniem 11 czerwca 2001 r., i ze zmianą wprowadzoną przez art. 71 ustawy z dnia 11 kwietnia 2001 r. o rzecznikach patentowych (Dz. U. Nr 49, poz. 509), która weszła w życie z dniem 22 sierpnia 2001 r.
28) Ze zmianą wprowadzoną przez art. 47 ustawy z dnia 21 stycznia 2000 r. o zmianie niektórych ustaw związanych z funkcjonowaniem administracji publicznej (Dz. U. Nr 12, poz. 136), która weszła w życie z dniem 23 lutego 2000 r.
29) W brzmieniu ustalonym przez art. 192 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu (Dz. U. Nr 74, poz. 676), która weszła w życie z dniem 29 czerwca 2002 r.
30) Zamieszczone w obwieszczeniu.
31) Ustawa została ogłoszona dnia 29 października 1997 r.

References: Art. 3

Art. 4

Art. 5
 art. 3

Art. 8

Art. 9

Art. 10

Art. 11

Art. 12

Art. 13

Art. 14
 art. 12

Art. 15
 art. 14
 art. 43

Art. 16

Art. 17
 art. 18

Art. 18
 art. 43

Art. 19

Art. 20

Art. 21

Art. 22
 art. 3

Art. 25
 art. 3

Art. 26

Art. 26

Art. 27

Art. 28

Art. 29
 art. 3

Art. 31
 art. 36
 art. 26
 art. 32

Art. 33

Art. 34
 art. 30

Art. 36

Art. 37

Art. 38

Art. 39

Art. 40
 art. 43

Art. 41
 art. 36

Art. 42
 art. 41
 art. 12
 art. 14
 art. 15
 art. 23

Art. 45

Art. 47

Art. 55

Art. 61
 art. 3
 art. 41

Art. 62
 art. 8
 art. 13
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 1
 art. 29
 art. 47
 art. 11
 art. 71
 art. 47
 art. 192