Source: http://cyfroteka.pl/ebooki/Nowa_ustawa_o_ochronie_danych_osobowych_z_uzasadnieniem_rzadowym-ebook/p1045523i1174563
Timestamp: 2019-02-22 14:34:24
Legal References Found: Art. 8
 Art. 10
 Art. 9
 art. 37
 art. 37
 art. 10
 Art. 11
 art. 37
 art. 37
 art. 9
 art. 10
 art. 37
 art. 29
 art. 37
 art. 9
 art. 39
 art. 29
 art. 37
 art. 37

Document Content:
Nowa ustawa o ochronie danych osobowych z uzasadnieniem rządowym [zbiorowa Praca] << KLIKAJ I CZYTAJ ONLINE
00283 006626 14094585 na godz. na dobę w sumie
Autor: zbiorowa Praca Liczba stron: 122
ISBN: 978-83-8137-319-7 Data wydania: 2018-08-26
Nowe prawo dotyczące ochrony danych osobowych jest ma służyć realizacji interesów nie tylko osób fizycznych, lecz także przedsiębiorców. Ustawa z 10 maja 2018 r. o ochronie danych osobowych zawiera najnowsze regulacje związane z koniecznością wdrożenia w polskim prawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 – zwanego RODO. Wprowadza obowiązki związane z przetwarzaniem danych osobowych, powołuje nowy organ właściwy w sprawie ochrony danych osobowych, którym jest obecnie Prezes Urzędu Ochrony Danych Osobowych. W nowej ustawie pojawiły się przepisy karne dotyczące przetwarzania zarówno danych zwykłych, jak i danych wrażliwych. Ponadto ustawa wprowadza zmiany w ponad 50 ważnych ustawach, m.in. w Kodeksie pracy i Ordynacji podatkowej.
Każdy artykuł ustawy jest poprzedzony hasłem w klamrach opisującym jego treść. Po każdym rozdziale ustawy zamieszczono uzasadnienie rządowe omawiające merytoryczne przesłanki wprowadzenia poszczególnych regulacji.
Na końcu publikacji zamieszczono indeks rzeczowy ułatwiający odnalezienie konkretnych przepisów w nowej ustawie.
Rozdział 2 Wyznaczanie inspektora ochrony danych Art. 8. [Inspektor ochrony danych] Art. 10. [Zawiadomienie o wyznaczeniu inspektora] Art. 9. [Organy i podmioty zobowiązane do wyznaczenia inspektora] Administrator i podmiot przetwarzający są obowiązani do wyznaczenia inspektora ochrony danych, zwanego dalej „inspektorem”, w przypadkach i na zasadach okre- ślonych w art. 37 rozporządzenia 2016/679. Przez organy i podmioty publiczne obowiązane do wyznaczenia inspektora, o któ- rych mowa w art. 37 ust. 1 lit. a rozporządzenia 2016/679, rozumie się: 1) jednostki sektora finansów publicznych; 2) instytuty badawcze; 3) Narodowy Bank Polski. 1. Podmiot, który wyznaczył inspektora, zawiadamia Prezesa Urzędu o jego wy- znaczeniu w terminie 14 dni od dnia wyznaczenia, wskazując imię, nazwisko oraz adres poczty elektronicznej lub numer telefonu inspektora. 2. Zawiadomienie może zostać dokonane przez pełnomocnika podmiotu, o którym mowa w ust. 1. Do zawiadomienia dołącza się pełnomocnictwo udzielone w formie elektronicznej. 3. W zawiadomieniu oprócz danych, o których mowa w ust. 1, wskazuje się: 1) imię i nazwisko oraz adres zamieszkania, w przypadku gdy administratorem lub podmiotem przetwarzającym jest osoba fizyczna; 2) firmę przedsiębiorcy oraz adres miejsca prowadzenia działalności gospodar- czej, w przypadku gdy administratorem lub podmiotem przetwarzającym jest osoba fizyczna prowadząca działalność gospodarczą; 21 Rozdział 2. Wyznaczanie inspektora ochrony danych 3) pełną nazwę oraz adres siedziby, w przypadku gdy administratorem lub pod- miotem przetwarzającym jest podmiot inny niż wskazany w pkt 1 i 2; 4) numer identyfikacyjny REGON, jeżeli został nadany administratorowi lub pod- miotowi przetwarzającemu. 4. Podmiot, który wyznaczył inspektora, zawiadamia Prezesa Urzędu o każdej zmianie danych, o których mowa w ust. 1 i 3, oraz o odwołaniu inspektora, w termi- nie 14 dni od dnia zaistnienia zmiany lub odwołania. 5. W przypadku wyznaczenia jednego inspektora przez organy lub podmioty pu- bliczne albo przez grupę przedsiębiorców, każdy z tych podmiotów dokonuje za- wiadomienia, o którym mowa w ust. 1 i 4. 6. Zawiadomienia, o których mowa w ust. 1 i 4, sporządza się w postaci elektronicz- nej i opatruje kwalifikowanym podpisem elektronicznym albo podpisem potwier- dzonym profilem zaufanym ePUAP. Podmiot, który wyznaczył inspektora, udostępnia dane inspektora, o których mowa w art. 10 ust. 1, niezwłocznie po jego wyznaczeniu, na swojej stronie inter- netowej, a jeżeli nie prowadzi własnej strony internetowej, w sposób ogólnie do- stępny w miejscu prowadzenia działalności. Art. 11. [Udostępnienie danych inspektora] Treść uzasadnienia rządowego dotycząca rozdziału 2 ustawy Rozdział 2. Wyznaczanie inspektora ochrony danych W rozdziale 2 projektowanej ustawy uregulowano tryb notyfikacji inspektorów ochrony danych osobowych, zwanych dalej „inspektorami”, oraz podmioty obowiązane w polskim porządku prawnym do wyznaczenia inspektora ochrony danych osobowych. Rozporządzenie reguluje kwestię inspektorów w przepisach art. 37–39. Przypadki ob- ligatoryjnego wyznaczenia inspektorów określa art. 37 Rozporządzenia. Zgodnie z tym przepisem administrator i podmiot przetwarzający wyznaczają inspektora ochrony da- nych, zawsze, gdy: a) przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakre- sie sprawowania przez nie wymiaru sprawiedliwości; główna działalność administratora lub podmiotu przetwarzającego polega na ope- b) racjach przetwarzania, które ze względu na swój charakter, zakres lub cele wyma- gają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę, lub główna działalność administratora lub podmiotu przetwarzającego polega na prze- c) twarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa 22 Rozdział 2. Wyznaczanie inspektora ochrony danych w art. 9 ust. 1, oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o czym mowa w art. 10. W innych niż ww. przypadkach wyznaczenie inspektora jest dobrowolne. Projektodawca nie zdecydował się rozszerzyć przedmiotowo sytuacji obligatoryjnego wyznaczania in- spektora, traktując katalog wymieniony w art. 37 ust. 1 Rozporządzenia jako zapewniają- cy dostateczną ochronę podmiotów danych, a jednocześnie uwzględniający także koszty powołania inspektora. Rozporządzenie nie definiuje terminu „organu lub podmiotu publicznego”. Grupa Robocza art. 29, jako unijne forum współpracy organów ochrony danych osobowych państw członkowskich UE, wskazała w swoich wytycznych, dotyczących inspektorów ochrony danych (WP243), że: „takie pojęcie powinno zostać określone na poziomie przepisów krajowych. Do podmiotów takich najczęściej zalicza się organy władzy kra- jowej, organy regionalne i lokalne, ale również – na mocy właściwego prawa krajowe- go – szereg innych podmiotów prawa publicznego”. Uwzględniając powyższe oraz treść Rozporządzenia, wskazującego na obowiązek wyznaczenia inspektorów, ciążący na „or- ganach lub podmiotach publicznych”, projektodawca zdecydował się wprowadzić do projektu szerokie rozumienie takich podmiotów publicznych. Przepisy projektu w celu zapewnienia stosowania art. 37 ust. 1 lit. a Rozporządzenia precyzują, iż organami i pod- miotami publicznymi obowiązanymi do wyznaczenia inspektora są organy publiczne i podmioty publiczne wskazane w art. 9 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych, a także instytuty badawcze oraz Narodowy Bank Polski. Kwalifikacje, jakie powinien posiadać inspektor, określono bezpośrednio w Rozporządzeniu. Z jego przepisów wynika, iż inspektor powinien dysponować wiedzą fachową na temat pra- wa oraz odbyć praktyki w dziedzinie ochrony danych, a także posiadać umiejętność wypeł- niania zadań, o których mowa w art. 39 Rozporządzenia. Projektodawca nie zdecydował się na dookreślenie kwalifikacji, jakie powinien spełniać inspektor, wychodząc z założenia, że każda próba doprecyzowania tych przesłanek – np. w zakresie długości praktyk – mo- głaby narazić go na zarzut nakładania ograniczeń, niewystępujących w innych państwach członkowskich UE, a tym samym barierę w swobodzie świadczenia usług. Co do umiejęt- ności wypełniania zadań, to należy podkreślić, iż odpowiedzialność za wybór inspektora, a tym samym za umiejętność wykonywania zadań, ponosi administrator. To w jego intere- sie leży taki wybór inspektora, który da mu rękojmię umiejętnego wykonywania przez nie- go zadań. Grupa Robocza art. 29 wskazała w swoich wytycznych nr WP 243, dotyczących inspektorów ochrony danych, że wymagany rozporządzeniem 2016/679 „poziom wiedzy fachowej nie jest nigdzie jednoznacznie określony, ale musi być współmierny do charak- teru, skomplikowania i ilości danych, przetwarzanych w ramach jednostki. Dla przykładu, w przypadku wyjątkowo skomplikowanych procesów przetwarzania danych osobowych lub w przypadku przetwarzania dużej ilości danych szczególnych kategorii, inspektor może potrzebować wyższego poziomu wiedzy i wsparcia. Ponadto inaczej sytuacja przed- stawiać się będzie w przypadku podmiotów regularnie przekazujących dane do państw trzecich niż w przypadku, gdy przekazywanie takie ma charakter okazjonalny. W związ- ku z tym wybór inspektora powinien być dokonany z zachowaniem należytej staranności i brać pod uwagę charakter przetwarzania danych w ramach podmiotu”. Z kolei, wypowia- dając się w przedmiocie kryterium kwalifikacji zawodowych, Grupa wskazała, że: „istotne 23 Rozdział 2. Wyznaczanie inspektora ochrony danych jest, by inspektor posiadał odpowiednią wiedzę z zakresu krajowych i europejskich prze- pisów o ochronie danych osobowych i praktyk, jak również dogłębną znajomość rozporzą- dzenia. Propagowanie odpowiednich i regularnych szkoleń dla inspektorów przez organy nadzorcze również może być przydatne. Przydatna jest również wiedza na temat dane- go sektora i podmiotu administratora. Inspektor powinien również posiadać odpowiednią wiedzę na temat operacji przetwarzania danych, systemów informatycznych oraz zabez- pieczeń stosowanych u administratora i jego potrzeb w zakresie ochrony danych. W przy- padku organów i podmiotów publicznych Inspektor powinien również posiadać wiedzę w zakresie procedur administracyjnych i funkcjonowania jednostki”. Powyższe stanowi- ska wskazują więc skuteczny kierunek wykładni przepisów Rozporządzenia i są prak- tycznym drogowskazem dla inspektorów (dzisiejszych Administratorów Bezpieczeństwa Informacji, zwanych dalej „ABI”). Jednocześnie należy wskazać, że w dzisiejszym porząd- ku prawnym ustawodawca także nie wypowiada się w przedmiocie kwalifikacji zawodo- wych koniecznych do pełnienia funkcji ABI. Przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych wskazują bowiem, że funkcję taką może pełnić osoba, po- siadająca odpowiednią wiedzę w zakresie ochrony danych osobowych. Weryfikację takie- go kryterium podejmuje więc w każdym przypadku przedsiębiorca zatrudniający ABI oraz Generalny Inspektor Ochrony Danych Osobowych na etapie przeprowadzanych postępo- wań kontrolnych. Co ważne, projekt Rozporządzenia przewiduje, że inspektor może być członkiem perso- nelu administratora lub podmiotu przetwarzającego lub wykonywać zadania na podsta- wie umowy o świadczenie usług. W tym miejscu należy zwrócić także uwagę, iż art. 37 Rozporządzenia nie przyznaje państwom członkowskim kompetencji do określenia, w ilu maksymalnie podmiotach dana osoba może pełnić funkcję inspektora. Projektodawca nie zdecydował się przewidzieć w projektowanych przepisach instytu- cji zastępcy inspektora ochrony danych oraz możliwości powołania kilku inspektorów w jednym podmiocie. W opinii projektodawcy byłoby to niezgodne z Rozporządzeniem. Zgodnie z art. 37 oraz motywem 97 Rozporządzenia administrator i podmiot przetwa- rzający wyznaczają inspektora, mowa jest o inspektorze w liczbie pojedynczej. Co więcej ustawodawca unijny przewidział możliwość wyznaczenia jednego inspektora dla kilku podmiotów, nie przewidział natomiast możliwości wyznaczenia kilku inspektorów czy też zastępcy inspektora w jednym podmiocie. Ponadto warto zauważyć, że inspektorem może zostać osoba, która posiada odpowiednie kwalifikacje zawodowe oraz wiedzę fa- chową na temat prawa i praktyk w dziedzinie ochrony danych osobowych, ponadto in- spektor ma obowiązek m.in. współpracować z organem nadzorczym oraz pełnić funkcję punktu kontaktowego. Natomiast wyznaczenie zastępców wiąże się z prawem do dele- gowania uprawnień i obowiązków także w sytuacji, gdy w danym podmiocie jest obecny inspektor. Na taką osobę mogłyby zostać przekazane niektóre zadania czy też upraw- niania przysługujące inspektorowi. W opinii projektodawcy, w przypadku gdy admini- strator albo podmiot przetwarzający poweźmie wiadomość o długiej nieobecności in- spektora ochrony danych osobowych, powinien on wyznaczyć nową osobę do pełnienia tej funkcji, o czym powinien niezwłocznie zawiadomić Prezesa Urzędu. W przypadku krótszej, okresowej nieobecności administrator bądź podmiot przetwarzający powinien upoważnić innego pracownika do podejmowania działań inspektora. 24
<a href="http://cyfroteka.pl/ebooki/Nowa_ustawa_o_ochronie_danych_osobowych_z_uzasadnieniem_rzadowym-ebookRO/p1045523i1174563" target="_blank" title="Nowa ustawa o ochronie danych osobowych z uzasadnieniem rządowym [zbiorowa Praca] - KLIKAJ I CZYTAJ ONLINE" > <img src="http://cyfroteka.pl/images/BRD.png" style="border:none;background:none transparent;box-shadow:none;-webkit-box-shadow:none;-webkit-border-radius:0;border-radius:0;" alt="Nowa ustawa o ochronie danych osobowych z uzasadnieniem rządowym [zbiorowa Praca] - KLIKAJ I CZYTAJ ONLINE"/></a>