Unijna oraz krajowa

reforma prawa
ochrony danych osobowych
dr Maciej Kawecki
doradca w Gabinecie Politycznym
Ministra Cyfryzacji

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
 Działania legislacyjne
podejmowane w Ministerstwie Cyfryzacji:

1. ukończenie ustawy wiosną br.

2. jak najbardziej transparentny;

proces tworzenia projektu

3. społecznym opiniowaniu
poddanie projektu konsultacjom

oraz uzgodnieniom międzyresortowym. �

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
 Zakładamy, że ustawa ma zakres zastosowania
równy ogólnemu rozporządzeniu unijnemu
o ochronie danych osobowych
Jeżeli któryś z resortów uzna,
że obszar jego właściwości nie podlega prawu UE
(a do tej pory podlegał ustawie o ochronie danych osobowych)

albo podlega prawu UE, lecz chciałby skorzystać

z wyłączenia przewidzianego �
w art. 23 lub 89 ogólnego rozporządzenia �

powinien poinformować o tym Ministerstwo Cyfryzacji.

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
 Termin: 28 LUTego br.

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
 Każdy z resortów
odpowiedzialny jest za przegląd �
swojego ustawodawstwa sektorowego, �
z puktu widzenia możliwych zmian, �

i przesłanie propozycji przepisów

do Ministerstwa Cyfryzacji

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
 MOŻLIWE DZIAŁANIA
LEGISLACYJNE RESORTÓW

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
Art. 4 pkt 7
Definicja „administratora” – jeżeli cele i sposoby przetwarzania danych osobowych
są określone w prawie Unii lub w prawie państwa członkowskiego, to również
w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony
administrator lub mogą zostać określone konkretne kryteria jego wyznaczania.

Konieczna analiza przepisów pod kątem istnienia przepisów określających cele

i sposoby przetwarzania danych osobowych. Po analizie takich przepisów pytanie,
czy nie wskazać w nich wprost kto jest administratorem danych lub określić kryte-
ria jego wyznaczania.

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
Art. 6 ust. 1 lit. C i E
Przepis art. 6 ust. 3 wskazuje wprost, że podstawa przetwarzania w odniesieniu
do przesłanek z art. 6 ust. 1 lit. c i e musi być określone w prawie UE lub w prawie
państwa członkowskiego, któremu podlega administrator.

Ustawy powinny wskazywać wprost na obowiązek prawny ciążący na administrato-

rze lub zadanie realizowane w interesie publicznym lub w ramach sprawowania wła-
dzy publicznej. Przepisy mogą dokładniej określić szczegółowe wymogi przetwarzania
i inne środki w celu zapewnienia zgodności przetwarzania z prawem i jego rzetelności,
także w innych szczególnych sytuacjach związanych z przetwarzaniem.

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
Art. 9
Wprowadzenie do ustaw szczególnych podstawy prawnej przetwarzania danych osobo-
wych wrażliwych, zgodnej z art. 9 ust. 2 RODO, oraz dalszych warunków, w tym ograni-
czenia w odniesieniu do przetwarzania danych genetycznych, danych biometrycznych
lub danych dotyczących zdrowia.

Art. 10
Przegląd przepisów dotyczących przetwarzania danych osobowych zawartych
w wyrokach skazujących z punktu widzenia wprowadzenia do nich odpowiednich zabez-
pieczeń praw i wolności osób, których dane dotyczą. Obligatoryjny nadzór władz pu-
blicznych nad rejestrami wyroków skazujących.
Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
Art. 14
art. 14 ust. 5 lit. c i d – rozporządzenia wprowadza możliwość ustanowienia w prawie
Unii lub prawie państwa członkowskiego wyjątków od obowiązku administratora infor-
mowania osoby, której dane dotyczą w przypadku pozyskania danych w sposób inny niż
od tej osoby. Potrzeba analizy, czy w przypadku gdy przetwarzane dane nie pochodzą od
osoby, której dotyczą, w przepisach jest uregulowane wyraźnie pozyskiwanie lub ujaw-
nianie tych danych lub, czy w odniesieniu do takich danych jest obowiązek zachowania
ich w poufności.

W przypadku przekazywania danych osobowych pomiędzy organami administracji publicz-

nej podjęcie oceny, czy przepisy prawne którym podlega administrator, przewidują odpo-
wiednie środki chroniące prawnie uzasadnione interesy osoby, której dane dotyczą.

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
Art. 17
Prawo może wyłączać możliwość żądania od administratora niezwłocznego usunięcia
dotyczących jej danych osobowych, przewidując przetwarzanie danych przez określo-
ny czas.

M.in. w zakresie w jakim przetwarzanie jest niezbędne do wywiązania się z prawne-

go obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa
członkowskiego, któremu podlega administrator.

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
Art. 18
Przesądzenie w przepisach prawnych, że mimo skorzystania z prawa od ogranicze-
nia przetwarzania danych, dane mogą być dalej przetwarzane z uwagi m.in. na ważne
względy interesu publicznego państwa członkowskiego.

Art. 22
Wprowadzenie przepisów dopuszczających profilowanie które przewidują właści-
we środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, przy
zachowaniu przesłanek z art. 22 ust. 2 RODO.

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
Art. 23
Art. 23 ust. 1 rozporządzenia – pozwala na poziomie prawa Unii lub państwa człon-
kowskiego, któremu podlegają administrator danych lub podmiot przetwarzający,
ograniczyć, aktem prawnym zakres niektórych obowiązków i praw:

— o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym

w rozporządzeniu;

— jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności

oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i propor-
cjonalnym, służącym: bezpieczeństwu narodowemu, obronie, bezpieczeństwu
publicznemu (oraz innym celom opisanym w art.23 RODO)

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
Art. 26
Zgodnie z art. 26 RODO

Prawo Unii lub prawo państwa członkowskiego, któremu współadministratorzy

podlegają może określić zakres odpowiedzialności dotyczącej wypełnienia przypada-
jących im obowiązków.

Określenie w przepisach przypadków, w których będzie zasadnym ustanowienie

współadministratorów i określenie zakresów ich obowiązków.

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
Art. 28
Art. 28 RODO precyzuje, że przepisy prawa Unii lub prawa państwa członkowskie-
go mogą określać: podstawę przetwarzania przez podmiot przetwarzający (ust.3),
obowiązek przetwarzania przez podmiot przetwarzający bez konieczności przetwa-
rzania na polecenie administratora (ust. 3 lit. a), zakaz udzielania przez podmiot prze-
twarzający administratorowi informacji o obowiązku prawnym przed rozpoczęciem
przetwarzania z uwagi na ważny interes publiczny (ust. 3 lit. a), nakaz przechowywa-
nia przez podmiot przetwarzający danych mimo zakończenia świadczenia usług zwią-
zanych z przetwarzaniem (ust. 3 lit. g).

Analiza przepisów pod kątem konieczności doprecyzowania w prawie ww. obo-

wiązków związanych z przetwarzaniem danych przez podmiot przetwarzający. �

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
Art. 29
Prawo państwa członkowskiego może wprowadzić wyjątek od zasady, że podmiot
przetwarzający oraz każda osoba działająca z upoważnienia administratora lub pod-
miotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wy-
łącznie na polecenie administratora.

Analiza przepisów pod kątem potrzeby doprecyzowania w prawie obowiązku przetwa-

rzania, które nie będzie odbywać się na wyłączne polecenie administratora.

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
Art. 35
RODO zwalnia z obowiązku przeprowadzenia oceny skutków ochrony danych, jeśli
przetwarzanie na mocy art. 6 ust. 1 lit. c lub e ma podstawę prawną w prawie Unii lub
w prawie państwa członkowskiego, a oceny skutków dla ochrony danych dokonano już
w ramach oceny skutków regulacji w związku z przyjęciem tej podstawy prawnej.

W trakcie przyjmowania aktów prawnych określających podstawę prawną przetwarza-

nia należy pamiętać o każdorazowym przeprowadzeniu oceny skutków dla ochrony da-
nych w ramach oceny skutków regulacji. Państwa członkowskie mogą uznać, by przed
podjęciem czynności przetwarzania dokonać oceny skutków dla ochrony danych.

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
Art. 36 ust. 5
Prawo państwa członkowskiego może wymagać, by administratorzy konsultowali się
z organem nadzorczym i uzyskiwali jego uprzednią zgodę na przetwarzanie danych oso-
bowych przez administratora do celów wykonania zadania realizowanego przez admi-
nistratora w interesie publicznym, w tym przetwarzania w związku z ochroną socjalną
i zdrowiem publicznym.

Art. 37 ust. 4
Administrator może mieć nałożony przepisami prawa krajowego obowiązek wyznacze-
nia inspektora ochrony danych, w przypadkach wykraczających poza RODO.

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
Art. 38 ust. 6
Inspektor ochrony danych może wykonywać dodatkowe zadania przewidziane prawem
państwa członkowskiego.

Art. 49 ust. 5
W razie braku decyzji stwierdzającej odpowiedni stopień ochrony prawo państwa
członkowskiego może z uwagi na ważne względy interesu publicznego wyraźnie na-
kładać ograniczenia na przekazywanie konkretnych kategorii danych osobowych do
państwa trzeciego.

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
Art. 55 ust. 3
Organy nadzorcze nie są właściwe do nadzorowania operacji przetwarzania dokonywa-
nych przez sądy w ramach sprawowania przez nie wymiaru sprawiedliwości. Możliwe
jest/konieczne powołanie organu nadzorującego ochronę danych osobowych w wy-
miarze sprawiedliwości.

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
Art. 90
Państwa członkowskie mogą przyjąć przepisy szczególne określające uprawnienia or-
ganów nadzorczych wobec administratorów, którzy podlegają – na mocy prawa Unii lub
prawa państwa członkowskiego lub przepisów ustanowionych przez właściwe orga-
ny krajowe – obowiązkowi zachowania tajemnicy zawodowej lub innym równoważnym
obowiązkom zachowania tajemnicy.

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych
 Dziękuję za uwagę dr Maciej Kawecki

Ministerstwo Cyfryzacji | Unijna oraz krajowa reforma prawa ochrony danych osobowych