Source: https://superabi.pl/artykul/projekt-ustawy-po-raz-drugi-zobaczmy-co-nowego
Timestamp: 2019-01-18 07:32:12+00:00
Document Index: 83053392

Matched Legal Cases: ['art. 7', 'art. 66', 'art. 31', 'art. 10', 'art. 53', 'art. 50', 'art. 86']

Projekt ustawy o ochronie danych osobowych - po raz drugi - zobaczmy, co nowego! | Administratorzy Bezpieczeństwa Informacji
Już jakiś czas temu pisałem o projekcie ustawy o ochronie danych osobowych, a teraz mamy kolejną wersję tego projektu na stronach Ministerstwa Cyfryzacji, które z dniem 14 września 2017 r. zaprasza do konsultacji społecznych. W pakiecie mamy projekt ustawy (który tutaj podsumowuję), projekt ustawy wprowadzający zmiany w szeroko pojętym otoczeniu prawnym (opisuję go tutaj, tutaj i tutaj), ocena skurktów zmian w regulacja itp.
Na razie zobaczmy czym nowy projekt różni się w stosunku do wersji sprzed mniej więcej pół roku.
Co nowa ustawa o ochronie danych osobowych ma określać
W zakresie są:
podmioty obowiązane do wyznaczenia inspektora ochrony danych oraz tryb zawiadamiania o wyznaczaniu;
organ właściwy w sprawie ochrony danych osobowych;
postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych;
europejską współpracę administracyjną;
postępowanie kontrolne;
odpowiedzialność cywilną za naruszenie przepisów o ochronie danych osobowych;
administracyjne kary pieniężne za naruszenie przepisów o ochronie danych osobowych.
Vacatio legis wynosić będzie 30 dni.
Zmiana nazwy urzędu, gdyż RODO wprowadza inspektora ochrony danych osobowych i nie było wiadomo, jak tego inspektora powiązać z generalnym inspektorem (i tu inspektor, i tam inspektor). Ponadto skoro jest generalny inspektor, to pracownicy biura byliby pewnie normalnymi inspektorami, a wówczas wchodziło by to w kolizję z inspektorem ochrony danych o którym mowa w RODO. Więc ich też nie będzie nazywać się inspektorami, ale po prostu "kontrolującymi". Podsumowując zamiast GIODO będzie Prezes Urzędu Ochrony Danych Osobowych - trochę podobnie jak Prezes UOKiK. A w skrócie mówi się UOKiK. Więc pewnie będzie mówiło się "UODO" - np. złożyłem skargę do UODO.
Podsumowując Generalny Inspektor Ochrony Danych Osobowych (GIODO) stanie się Prezesem Urzędu Ochrony Danych Osobowych. I analogicznie Biuro GIODO zamieni się w Urząd Ochrony Danych Osobowych. Wszystkie pos†epowania wszczęte przed GIODO później toczą się przez Prezesem Urzędu i prowadzi się je na podstawie przepisów nowej ustawy o ochronie danych osobowych. Zarejestrowane zbiory danych Prezes Urzędu będzie jeszcze przechowywać przez 3 lata, to samo dotyczy rejestru ABI-ch.
Może mieć do trzech zastępców.
Kto może zostać Prezesem Urzędu?
jest doktorem nauk
"zna się"
zajmował się ochroną danych osobowych conajmniej 5 lat
korzysta z pełni praw publicznych i nie miał wyroku za umyślne przestępstwo lub umyślne przestępstwo skarbowe
Wymagania są nowe, nie było ich w poprzedniej wersji roboczej projektu. I są zupełnie odmienne od obowiązujących, bo dzisiaj Generalnym Inspektorem Ochrony mogła zostać osoba, która
jest obywatelem polskim i stale zamieszkuje na terytorium Rzeczypospolitej Polskiej;
wyróżnia się wysokim autorytetem moralnym;
posiada wyższe wykształcenie prawnicze oraz odpowiednie doświadczenie zawodowe;
nie była karany za przestępstwo.
To kolejna nowość. Do jej zadań należy m.in.:
opiniowanie projektów dokumentów organów i instytucji Unii Europejskiej dotyczących spraw ochrony danych osobowych;
opiniowanie przekazanych przez Prezesa Urzędu projektów aktów prawnych i innych dokumentów dotyczących spraw ochrony danych osobowych;
opracowywanie propozycji kryteriów certyfikacji, o których mowa w art. 7;
opracowywanie propozycji rekomendacji określających środki techniczne i organizacyjne stosowane w celu zapewnienia bezpieczeństwa przetwarzania danych osobowych;
inicjowanie działań w obszarze ochrony danych osobowych oraz przedstawianie Prezesowi Urzędu propozycji zmian prawa w tym obszarze;
wyrażanie opinii w sprawach przedstawionych Radzie przez Prezesa Urzędu;
wykonywanie innych zadań zleconych przez Prezesa Urzędu.
Składa się z ośmiu członków, których mogą rekomendować min. rząd, Rzecznik Praw Obywatelskich, Prezesi odpowiednio Urzędu Statystycznego, UKE, UOKiK, izby gospodarcze i "stowarzyszenia wpisane do Krajowego Rejestru Sądowego, których celem statutowym jest działalność na rzecz ochrony danych osobowych".
W projekcie zaproponowano by postępowanie w sprawach ochrony danych osobowych było prowadzone na podstawie przepisów ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego z wyłączeniem przepisów art. 66a.
Ciekawszą rzeczą jest "uprawnienie organizacji społecznej do wystąpienia z żądaniem wszczęcia postępowania bądź udziału w postępowaniu, nie tylko w przypadku gdy przemawia za tym interes społeczny, o czym stanowi art. 31 § 1 KPA, ale również gdy przemawia za tym interes osoby, której prawa zostały naruszone". Spodziewam się wysypu firm-szantażystów :-) Tu nic się nie zmienia w stosunku do wcześniejszego projektu.
Jeśli w toku postępowania jasnym stanie się, że przetwarzanie jest niezgodne z przepisami, a dalsze przetwarzanie przyniesie dużo szkody i "trudne do usunięcia skutki", to Prezes aby zapobiec tym skutkom może "w drodze postanowienia, zobowiązać podmiot, któremu jest zarzucane naruszenie przepisów o ochronie danych osobowych, do ograniczenia przetwarzania danych osobowych wskazując dopuszczalny zakres tego przetwarzania. Przepisu art. 10 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego nie stosuje się" (art. 53).
Jeśli naruszenie przepisów jest znikome, i podmiot już "zaprzestał naruszania", to Prezes Urzędu może udzielić tylko upomnienia.
Postępowanie kontrolne może być prowadzone zgodnie z zatwierdzonym przez Prezesa Urzędu planem kontroli bądź poza planem na podstawie uzyskanych przez Prezesa Urzędu informacji albo przeprowadzonych analiz. Kontrola nie może trwać dłużej niż miesiąc.
Do przewidzenia było, że kary mniejsze dla urzędów
projektodawca ograniczył więc krąg podmiotów publicznych wobec których możliwe jest nakładanie administracyjnych kar pieniężnych za naruszenia przepisów o ochronie danych osobowych. W pozostałym zakresie w jakim projektowane przepisy przewidują możliwość nałożenia kary pieniężnej na sektor publiczny, wprowadzają znaczne obniżenie maksymalnej granicy możliwej do nałożenia kary, na 100 000 zł. (art. 50 83).
To nowe. Tworzy się Fundusz Ochrony Danych Osobowych. Przychodami Funduszu są środki finansowe pochodzące z 1% kar pieniężnych. Środki z Fundusz można wydawać na budowanie szeroko pojętej świadomości (art. 86 ust.4)
najwłaściwszym rozwiązaniem, jest przesądzenie wprost, że osoby wykonujące w dniu 24 maja 2018 r. funkcję administratora bezpieczeństwa informacji, pełnią funkcję inspektora ochrony danych do dnia 1 września 2018 r. Do tego czasu, każdy z inspektorów ochrony danych ma czas na podjęcie decyzji o dalszym pełnieniu takiej funkcji (i dokonaniu stosowanego zawiadomienia do Prezesa Urzędu). W razie braku do tego czasu jakiejkolwiek aktywności z ich strony, w dniu 1 września 2018 r. z mocy prawa przestaną pełnić funkcję inspektorów ochrony danych - ustawa co prawda nakazuje przesłanie informacji o tym, ale nie mówi, co się stanie gdy taka informacja nie zostanie przesłana. Domniemujemy, że "kadencja" Inspektora wówczas wygasa... Zawiadomienia o wyznaczeniu, zmianie danych i odwołaniu wysyłać będzie się elektronicznie z użyciem podpisu elektronicznego lub profilu ePUAP.
kompetencje Prezesa Urzędu powinny być ograniczone wyłącznie do akredytacji podmiotów certyfikujących, a certyfikacja należeć powinna do wyspecjalizowanych podmiotów zajmujących się zawodowo ochroną danych osobowych. W uzasadnieniu podkreśla się, ze gdyby to Prezes UODO certyfikował, to każdy wolałby taki certyfikat i nie korzystałby z innych. Jedynym podmiotem certyfikującym będzie Prezes Urzędu Ochrony Danych Osobowych - po złożeniu wniosku maksymalnie 30 dni czeka się na certyfikację (lub odmowę).
Jeśli stosuje się zatwierdzone kodeksy postępowania - monitorowaniem jego przestrzegania zajmuje się podmiot akredytowany przez Prezesa Urzędu. Podobnie 30 dni.
Certyfikacja jest płatna - trzykrotność przeciętnego miesięcznego wynagrodzenia. Akredytacja - chyba umknęło to ustawie, albo jest bezpłatna.
A jednak są! Za udaremnianie lub utrudnianie kontroli - grzywna. Za przetwarzanie danych szczególnych kategorii bez podstawy prawnej - kara ograniczenie albo pozbawienia wolności do roku
Projekt ustawy o ochronie danych osobowych z dn. 13.9.2017 216.6 KB
Poprzedni projekt z dn. 28.03.2017 521.97 KB