Source: https://epedagogika.pl/akty-prawne/ustawa-z-29-sierpnia-1997-r.-o-ochronie-danych-osobowych-tekst-jedn.-dz.u.-z-2016-poz.-922-1489.html
Timestamp: 2020-07-03 09:17:42
Legal References Found: Art. 52
 Art. 181
 Art. 1
 Art. 178
 Art. 31
 Art. 39
 Art. 13
 Art. 2
 Art. 121
 Art. 1
 Art. 30
 Art. 9
 Art. 3
 Art. 13
 Art. 38
 Art. 4
 Art. 282
 Art. 175
 art. 3
 art. 12
 art. 43
 art. 3
 art. 32
 art. 3
 art. 23
 art. 3
 art. 26
 art. 23
 art. 23
 art. 26
 art. 32
 art. 32
 art. 36
 art. 43
 art. 41
 art. 36
 art. 36
 art. 36
 art. 36
 art. 26

Document Content:
Ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn.: Dz.U. z 2016, poz. 922) - ePedagogika
Aktualny (Ważny od 2018-05-25) Archiwalny (Ważny od 2018-02-01 do 2018-05-24) Archiwalny (Ważny od 2016-06-28 do 2018-01-31) Archiwalny (Ważny od 2016-06-01 do 2016-06-27) Archiwalny (Ważny od 2016-04-01 do 2016-05-31) Archiwalny (Ważny od 2016-01-01 do 2016-03-31) Archiwalny (Ważny od 2015-12-16 do 2015-12-31) Archiwalny (Ważny od 2015-09-19 do 2015-12-15) Archiwalny (Ważny od 2015-01-01 do 2015-09-18) Archiwalny (Ważny od 2014-09-03 do 2014-12-31) Archiwalny (Ważny od 2012-01-01 do 2014-09-02) Archiwalny (Ważny od 2011-03-07 do 2011-12-31) Archiwalny (Ważny od 2011-01-02 do 2011-03-06) Archiwalny (Ważny od 2010-04-01 do 2011-01-01) Archiwalny (Ważny od 2007-10-10 do 2010-03-31) Archiwalny (Ważny od 2007-09-14 do 2007-10-09) Archiwalny (Ważny od 2006-10-01 do 2007-09-13) Archiwalny (Ważny od 2006-07-24 do 2006-09-30) Archiwalny (Ważny od 2004-05-01 do 2006-07-23)
2004-01-01 Dz.U.02.153.1271 Art. 52
2004-03-01 Dz.U.04.25.219 Art. 181
2004-05-01 Dz.U.04.33.285 Art. 1
2006-07-24 Dz.U.06.104.708 Art. 178
2006-10-01 Dz.U.06.104.711 Art. 31
2007-09-14 Dz.U.07.165.1170 Art. 39
2007-10-10 Dz.U.07.176.1238 Art. 13
2010-04-01 Dz.U.10.41.233 Art. 2
2011-01-02 Dz.U.10.182.1228 Art. 121
2011-03-07 Dz.U.10.229.1497 Art. 1
2012-01-01 Dz.U.11.230.1371 Art. 30
tekst jednolity Dz.U.14..1182
2015-01-01 Dz.U.14..1662 Art. 9
2015-09-19 Dz.U.15..1309 Art. 3
tekst jednolity Dz.U.15..2135
2016-01-01 Dz.U.15..2281 Art. 13
2016-04-01 Dz.U.16..195 Art. 38
2016-06-01 Dz.U.16..677 Art. 4
tekst jednolity Dz.U.16..922
2018-02-01 Dz.U.18..138 Art. 282
2018-05-25 Dz.U.18..1000 Art. 175
w kartotekach, skorowidzach, księgach, wykazach i w innych zbiorach ewidencyjnych,
w systemach informatycznych, także w przypadku przetwarzania danych poza zbiorem danych.
zbiorze danych - rozumie się przez to każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie;
przetwarzaniu danych - rozumie się przez to jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych;
systemie informatycznym - rozumie się przez to zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych;
zabezpieczeniu danych w systemie informatycznym - rozumie się przez to wdrożenie i eksploatację stosownych środków technicznych i organizacyjnych zapewniających ochronę danych przed ich nieuprawnionym przetwarzaniem;
usuwaniu danych - rozumie się przez to zniszczenie danych osobowych lub taką ich modyfikację, która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą;
administratorze danych - rozumie się przez to organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych;
zgodzie osoby, której dane dotyczą - rozumie się przez to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może być odwołana w każdym czasie;
odbiorcy danych - rozumie się przez to każdego, komu udostępnia się dane osobowe, z wyłączeniem:
państwie trzecim - rozumie się przez to państwo nienależące do Europejskiego Obszaru Gospodarczego.
"Obejmując stanowisko Generalnego Inspektora Ochrony Danych Osobowych uroczyście ślubuję dochować wierności postanowieniom Konstytucji Rzeczypospolitej Polskiej, strzec prawa do ochrony danych osobowych, a powierzone mi obowiązki wypełniać sumiennie i bezstronnie."
W celu wykonania zadań, o których mowa w art. 12 pkt 1 i 2, Generalny Inspektor, zastępca Generalnego Inspektora lub upoważnieni przez niego pracownicy Biura, zwani dalej "inspektorami", mają prawo:
wstępu, w godzinach od 6:00 do 22:00, za okazaniem imiennego upoważnienia i legitymacji służbowej, do pomieszczenia, w którym zlokalizowany jest zbiór danych, oraz pomieszczenia, w którym przetwarzane są dane poza zbiorem danych, i przeprowadzenia niezbędnych badań lub innych czynności kontrolnych w celu oceny zgodności przetwarzania danych z ustawą,
wskazanie podstawy prawnej przeprowadzenia kontroli,
imię i nazwisko, stanowisko służbowe osoby upoważnionej do przeprowadzenia kontroli oraz numer jej legitymacji służbowej,
oznaczenie podmiotu objętego kontrolą albo zbioru danych, albo miejsca poddawanego kontroli,
podpis Generalnego Inspektora,
pouczenie kontrolowanego podmiotu o jego prawach i obowiązkach,
datę i miejsce wystawienia imiennego upoważnienia.
nazwę podmiotu kontrolowanego w pełnym brzmieniu i jego adres,
imię i nazwisko, stanowisko służbowe, numer legitymacji służbowej oraz numer upoważnienia inspektora,
imię i nazwisko osoby reprezentującej podmiot kontrolowany oraz nazwę organu reprezentującego ten podmiot,
datę rozpoczęcia i zakończenia czynności kontrolnych, z wymienieniem dni przerw w kontroli,
opis stanu faktycznego stwierdzonego w toku kontroli oraz inne informacje mające istotne znaczenie dla oceny zgodności przetwarzania danych z przepisami o ochronie danych osobowych,
wyszczególnienie załączników stanowiących składową część protokołu,
omówienie dokonanych w protokole poprawek, skreśleń i uzupełnień,
parafy inspektora i osoby reprezentującej podmiot kontrolowany na każdej stronie protokołu,
wzmiankę o doręczeniu egzemplarza protokołu osobie reprezentującej podmiot kontrolowany,
wzmiankę o wniesieniu lub niewniesieniu zastrzeżeń i uwag do protokołu,
datę i miejsce podpisania protokołu przez inspektora oraz przez osobę lub organ reprezentujący podmiot kontrolowany.
Na podstawie ustaleń kontroli inspektor może żądać wszczęcia postępowania dyscyplinarnego lub innego przewidzianego prawem postępowania przeciwko osobom winnym dopuszczenia do uchybień i poinformowania go, w określonym terminie, o wynikach tego postępowania i podjętych działaniach.
Decyzje Generalnego Inspektora, o których mowa w ust. 1, w odniesieniu do zbiorów określonych w art. 43 ust. 1 pkt 1a, nie mogą nakazywać usunięcia danych osobowych zebranych w toku czynności operacyjno-rozpoznawczych prowadzonych na podstawie przepisów prawa.
Podmioty, o których mowa w art. 3 ust. 1, uważa się za jednego administratora danych, jeżeli przetwarzanie danych służy temu samemu interesowi publicznemu.
adresie swojej siedziby i pełnej nazwie, a w przypadku, gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku,
dobro wolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.
przepis innej ustawy zezwala na przetwarzanie danych bez ujawniania faktycznego celu ich zbierania,
osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 1.
uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8.
przepis innej ustawy przewiduje lub dopuszcza zbieranie danych osobowych bez wiedzy osoby, której dane dotyczą,
dane te są niezbędne do badań naukowych, dydaktycznych, historycznych, statystycznych lub badania opinii publicznej, ich przetwarzanie nie narusza praw lub wolności osoby, której dane dotyczą, a spełnienie wymagań określonych w ust. 1 wymagałoby nadmiernych nakładów lub zagrażałoby realizacji celu badania,
dane są przetwarzane przez administratora, o którym mowa w art. 3 ust. 1 i ust. 2 pkt 1, na podstawie przepisów prawa,
zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem ust. 2,
w celach badań naukowych, dydaktycznych, historycznych lub statystycznych,
z zachowaniem przepisów art. 23 i 25.
Nie wymaga zawarcia umowy między administratorem a podmiotem, o którym mowa w ust. 1, powierzenie przetwarzania danych, w tym przekazywanie danych, jeżeli ma miejsce między podmiotami, o których mowa w art. 3 ust. 1.
uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna - jej miejsca zamieszkania oraz imienia i nazwiska,
uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2,
wniesienia, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację,
wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach, wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych,
wniesienia do administratora danych żądania ponownego, indywidualnego rozpatrzenia sprawy rozstrzygniętej z naruszeniem art. 26a ust. 1.
W razie wniesienia żądania, o którym mowa w art. 32 ust. 1 pkt 9, administrator danych bez zbędnej zwłoki rozpatruje sprawę albo przekazuje ją wraz z uzasadnieniem swojego stanowiska Generalnemu Inspektorowi, który wydaje stosowną decyzję.
Administrator danych odmawia osobie, której dane dotyczą, udzielenia informacji, o których mowa w art. 32 ust. 1 pkt 1-5a, jeżeli spowodowałoby to:
zapewnianie przestrzegania przepisów o ochronie danych osobowych, w szczególności przez:
nadzorowanie opracowania i aktualizowania dokumentacji, o której mowa w art. 36 ust. 2, oraz przestrzegania zasad w niej określonych,
prowadzenie rejestru zbiorów danych przetwarzanych przez administratora danych, z wyjątkiem zbiorów, o których mowa w art. 43 ust. 1, zawierającego nazwę zbioru oraz informacje, o których mowa w art. 41 ust. 1 pkt 2-4a i 7.
tryb i sposób realizacji zadań, o których mowa w ust. 2 pkt 1 lit. a i b,
sposób prowadzenia rejestru zbiorów danych, o którym mowa w ust. 2 pkt 2
uwzględniając konieczność zapewnienia prawidłowości realizacji zadań administratora bezpieczeństwa informacji oraz niezależności i organizacyjnej odrębności w wykonywaniu przez niego zadań.
W przypadku niepowołania administratora bezpieczeństwa informacji zadania określone w art. 36a ust. 2 pkt 1, z wyłączeniem obowiązku sporządzania sprawozdania, o którym mowa w art. 36a ust. 2 pkt 1 lit. a, wykonuje administrator danych.
Sprawozdanie, o którym mowa w art. 36a ust. 2 pkt 1 lit. a, powinno zawierać:
podpis administratora bezpieczeństwa informacji, a w przypadku sprawozdania w postaci papierowej - dodatkowo parafy administratora bezpieczeństwa informacji na każdej stronie sprawozdania;
Administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane.
identyfikator, jeżeli dane są przetwarzane w systemie informatycznym.
Minister właściwy do spraw informatyzacji określi, w drodze rozporządzenia, sposób prowadzenia i zakres dokumentacji, o której mowa w art. 36 ust. 2, oraz podstawowe warunki techniczne i organizacyjne, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, uwzględniając zapewnienie ochrony przetwarzanych danych osobowych odpowiedniej do zagrożeń oraz kategorii danych objętych ochroną, a także wymagania w zakresie odnotowywania udostępniania danych osobowych i bezpieczeństwa przetwarzanych danych.
Rejestracja zbiorów danych osobowych oraz administratorów bezpieczeństwa informacji
Odpowiedni poziom ochrony danych osobowych, o którym mowa w ust. 1, jest oceniany z uwzględnieniem wszystkich okoliczności dotyczących operacji przekazania danych, w szczególności biorąc pod uwagę charakter danych, cel i czas trwania proponowanych operacji przetwarzania danych, kraj pochodzenia i kraj ostatecznego przeznaczenia danych oraz przepisy prawa obowiązujące w danym państwie trzecim oraz stosowane w tym państwie środki bezpieczeństwa i zasady zawodowe.
osoba, której dane dotyczą, udzieliła na to zgody na piśmie,
przekazanie jest niezbędne do wykonania umowy pomiędzy administratorem danych a osobą, której dane dotyczą, lub jest podejmowane na jej życzenie,
przekazanie jest niezbędne do wykonania umowy zawartej w interesie osoby, której dane dotyczą, pomiędzy administratorem danych a innym podmiotem,
przekazanie jest niezbędne ze względu na dobro publiczne lub do wykazania zasadności roszczeń prawnych,
przekazanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą,
dane są ogólnie dostępne.
standardowe klauzule umowne ochrony danych osobowych, zatwierdzone przez Komisję Europejską zgodnie z art. 26 ust. 4 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. WE L 281 z 23.11.1995, str. 31, z późn. zm.; Dz. Urz. UE Polskie wydanie specjalne, rozdz. 13, t. 15, str. 355, z późn. zm.) lub
prawnie wiążące reguły lub polityki ochrony danych osobowych, zwane dalej "wiążącymi regułami korporacyjnymi", które zostały zatwierdzone przez Generalnego Inspektora zgodnie z ust. 3-5.
1) Niniejsza ustawa dokonuje w zakresie swojej regulacji wdrożenia dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. WE L 281 z 23.11.1995, str. 31, z późn. zm.; Dz. Urz. UE Polskie wydanie specjalne, rozdz. 13, t. 15, str. 355, z późn. zm.).
kontrolaochrona danych osobowychprawo cywilneprzetwarzanie danych osobowych