Source: https://mikroporady.pl/prowadzenie-dzialalnosci/co-nowego-w-prawie/item/1421-nowelizacja-ustawy-o-ochronie-danych-osobowych.html
Timestamp: 2017-11-18 02:53:22
Legal References Found: art. 46
 art. 46
 art. 43
 art. 27
 art. 27
 art. 36
 art. 36

Document Content:
Nowelizacja ustawy o ochronie danych osobowych - Mikroporady.pl
Przedsiębiorco! Obowiązująca od dnia 1 stycznia 2015 r. nowelizacji Ustawy o ochronie danych osobowych rozszerza kompetencje GIODO i nakłada na administratora danych osobowych dodatkowy obowiązek zgłoszenia, a także precyzuje obowiązki ABI (administratora bezpieczeństwa informacji).
Ustawa z dnia 7 listopada 2014 r. o ułatwieniu wykonywania działalności gospodarczej (Dz. U. z dnia 27 listopada 2014 r., poz. 1662) wprowadza zmiany m.in. do Ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tj. Dz. U. z 2016 r., poz. 922).
Wprowadzone ww. Ustawą o ułatwieniu wykonywania działalności gospodarczej zmiany w Ustawie o ochronie danych osobowych weszły w życie z dniem 1 stycznia 2015 r. Wprowadzone zmiany można podzielić na trzy kategorie:
Rejestracja administratorów bezpieczeństwa informacji (ABI) i wprowadzenie uproszczonej kontroli.
Zwolnienie administratora danych z obowiązku zgłaszania zbioru danych osobowych do rejestracji GIODO w związku z powołaniem administratora bezpieczeństwa informacji i określenie zadań i warunków jego powołania.
Przekazywanie danych do państw trzecich oraz państw członkowskich EOG bez zgody GIODO.
1. Rejestracja administratorów bezpieczeństwa informacji (ABI) i wprowadzenie uproszczonej kontroli
Nowy rejestr prowadzony przez GIODO
Przede wszystkim nowelizacja Ustawy o ochronie danych osobowych (dalej: „nowelizacja Uodo”) rozszerza kompetencje i obowiązki GIODO o prowadzenie nowego rodzaju rejestru, tj. rejestru administratora bezpieczeństwa informacji oraz udzielanie informacji o takich zarejestrowanych zbiorach i zarejestrowanych administratorach bezpieczeństwa informacji (art. 12 pkt 4).
Obowiązek administratora danych zgłoszenie do GIODO
Zgodnie z nowo wprowadzanym art. 46b ust. 1 i 5 Uodo, administrator danych będzie obowiązany zgłosić GIODO powołanie i odwołanie administratora bezpieczeństwa informacji w terminie 30 dni od dnia powołania lub odwołania, natomiast zmiany informacji objętych zgłoszeniem w terminie 14 dni od dnia zmiany.
Wykreślenie ABI z rejestru następować ma albo w drodze czynności materialno-technicznej (w przypadku powiadomienia przez administratora danych o odwołaniu ABI lub o jego śmierci ABI) albo na podstawie decyzji administracyjnej wydawanej z urzędu (w przypadkach określonych tym przepisem). W art. 46e Uodo przewidziana została możliwość ponownego zgłoszenia do rejestracji ABI wykreślonego z rejestru oraz określony został sposób postępowania GIODO w przypadku złożenia takiego wniosku.
2. Zwolnienie administratora danych z obowiązku zgłaszania zbioru danych osobowych do rejestracji GIODO związane z powołaniem administratora bezpieczeństwa informacji i określenie zadań i warunków jego powołania.
Zwolnienie administratora danych z obowiązku zgłaszania zbioru danych
Nowelizacja Uodo dodała w art. 43 Uodo przepis wprowadzający nowe, kompleksowe zwolnienie z obowiązku zgłoszenia do rejestracji GIODO zbiorów, w których nie będą przetwarzane dane określone w art. 27 ust. 1 tej ustawy (tzw. dane szczególnie chronione), prowadzonych przez administratorów danych, którzy powołali i zgłosili GIODO ABI,
jest skorelowane ze zmianą przepisów dotyczących administratora bezpieczeństwa informacji.
Wyłączenie ze zwolnienia rejestracyjnego
Powyższe zwolnienie z obowiązku rejestracyjnego nie dotyczy jednakże zbiorów zawierających dane wymienione w art. 27 ust. 1 Uodo, ponieważ w ramach rejestracji uregulowanej w Uodo wykonywany jest obowiązek kontroli wstępnej (prior checking) przetwarzania tych danych, tj. operacji, które mogą stwarzać zagrożenie praw i wolności podmiotu danych (art. 20 dyrektywy 95/46/WE).
Powołanie ABI jako możliwość administratora danych
Z punktu widzenia obowiązków administratora danych, istotna zmiana została wprowadzona w art. 36 Uodo, poprzez uchylenie ust. 3, zgodnie z którym administrator danych wyznaczał administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony,
o których mowa w ust. 1, chyba że sam wykonuje te czynności. Przepis ten w obowiązującym do 31 grudnia 2014 r. brzmieniu przewidywał niejako „obowiązek”/ „zasadę” powołania administratora bezpieczeństwa informacji, a w przypadku jego nie powołania przeniesienie ciężaru wykonywania czynności przewidzianych dla ABI na administratora danych. W związku z ww. zmianą i uchyleniem ust. 3 art. 36 Uodo dodano przepisy wprowadzające możliwość, a nie „obowiązek” powołania administratora bezpieczeństwa informacji.