Dane osobowe po nowemu, czyli implementacja RODO od 2018 r.

REKLAMA
Poniżej prezentujemy najważniejsze wnioski płynące z lektury Projektu w jego obecnym brzmieniu (na 16.10.2017).
Projekt ustawy o ochronie danych osobowych (dalej: Projekt) zawiera 92 artykuły i poza odniesieniem do RODO zawiera przepisy dotyczące procedur związanych z naruszeniem zasad ochrony danych osobowych oraz przewiduje powstanie nowego organu – Prezesa Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO).
Kodeks spółek handlowych z komentarzem do zmian
Kup książkę:
Kodeks spółek handlowych z komentarzem do zmianPrezes UODO będzie zupełnie nowym organem, który docelowo ma zastąpić Generalnego Inspektora Ochrony Danych Osobowych (GIODO), a ponadto dysponować będzie zdecydowanie szerszymi kompetencjami niż dotychczasowy organ ochrony danych osobowych. Przede wszystkim Prezes UODO będzie organem nadzorczym w rozumieniu przepisów RODO i będzie miał prawo nakładać administracyjne kary pieniężne w wysokości nawet 20 milionów euro.
Certyfikacja
Jednym z podstawowych zadań Prezesa UODO będzie udzielanie certyfikacji, o której mowa w art. 42 RODO, czyli potwierdzeniu certyfikatem zgodności działalności administratorów danych osobowych (lub podmiotów przetwarzających dane) z zasadami ustawionymi w RODO. Prezes UODO opracuje i opublikuje na swojej stronie internetowej (BIP) kryteria certyfikacji, której następnie będzie mógł dokonywać na wniosek administratora danych lub podmiotu przetwarzającego dane osobowe.
Infor IFK - bieżące aktualności o zmianach przepisów:
Nowe obowiązki biur rachunkowych związane z KSeF
Jakie zmiany czekają w prawie pracy i podatkach na 2024 rok?
Certyfikacja będzie udzielana administratorowi danych lub podmiotowi przetwarzającemu dane na określony w certyfikacie czas, jednakże certyfikat będzie mógł być cofnięty wskutek stwierdzenia naruszeń. Projekt zakłada, że Prezes UODO będzie miał uprawnienie do dokonania czynności sprawdzających w zakresie dotyczącym certyfikacji, przy czym czynności sprawdzające mogą zostać dokonane zarówno przed udzieleniem certyfikacji, jak i po. Wniosek o udzielenie certyfikatu będzie odpłatny, a wysokość opłaty wyniesie trzykrotność średniego miesięcznego wynagrodzenia za pracę w gospodarcze narodowej w roku poprzednim. Zgodnie z założeniem Projektu postępowanie certyfikacyjne powinno trwać nie dłużej niż 3 miesiące.
Postępowanie przed Prezesem UODO
Niezwykle ważną kwestię, jaką jest postępowanie w sprawach o naruszenie ochrony danych osobowych, reguluje rozdział 5 Projektu. Zgodnie z zamiarem Ministerstwa Cyfryzacji postępowanie takie toczyć się będzie co do zasady według przepisów kodeksu postępowania administracyjnego, i będzie jednoinstancyjne, co oznacza, że od decyzji Prezesa UODO środkiem odwoławczym będzie skarga do WSA. Dodatkowo, Projekt przewiduje uprawnienie Prezesa UODO do prowadzenia postępowania kontrolnego, zarówno w toku postępowanie w sprawach o naruszenie ochrony danych osobowych, jak i w przypadku prowadzenia kontroli planowej i doraźnej. Jednocześnie Projektodawca zdecydował, że prawo dostępu do informacji dla osób wykonujących kontrolę z ramienia Prezesa UODO podlega ograniczeniu ze względu na tajemnice ustawowo chronione. Efektem postępowania może być:
- upomnienie,
- nakazanie spełnienia żądania osoby, której dane dotyczą,
- nakazanie dostosowania operacji przetwarzania do wymogów,
- nakazanie zawiadomienia osoby, której dane dotyczą,
- wprowadzenie czasowego lub całkowitego ograniczenia lub zakazu przetwarzania danych,
- nakazanie sprostowania lub usunięcia danych,
- cofnięcie certyfikacji,
- nakazanie zawieszenia przepływu danych do państw trzecich,
- nałożenie administracyjnej kary pieniężnej.
W Projekcie przewidziano także wyraźną podstawę do prowadzenia postępowania cywilnego, które według założeń ma być prowadzone przez sąd okręgowy niezależnie od wartości przedmiotu sporu. Sąd prowadzący postępowanie będzie miał obowiązek zawiadomić o toczącym się procesie Prezesa UODO, a gdy ten prowadzi postępowanie w sprawie o naruszenie ochrony danych osobowych sąd będzie miał możliwość zawieszenia procesu cywilnego do czasu rozstrzygnięcia postępowania przez Prezesa UODO. Ponadto sądy będą miały obowiązek informować i każdy wyroku uwzględniającym powództwo z zakresu ochrony danych osobowych. Wydaje się, że powyższy obowiązek jest podyktowany zarówno celami statystycznymi, jak i umożliwieniem prowadzenia kontroli po stwierdzeniu naruszenia w ochronie danych osobowych.
Mniejsze kary dla podmiotów publicznych
W projekcie przewidziano także, że w przypadku nakładania administracyjnej kary pieniężnej na podmiot publiczny (w rozumieniu ustawy o finansach publicznych) jej wysokość będzie ograniczona do 100.000 zł. Z uzasadnienia Projektu wynika, że podstawą ustawowego limitu był fakt, że w związku finansowaniem podmiotów publicznych z budżetu państwa orzeczenie wysokiej kary administracyjnej nie będzie tak samo dotkliwe, jak w przypadku podmiotów prywatnych. Ponad to, przychody z tytułu administracyjnych kar pieniężnych stanowią dochód budżetu państwa, więc w przypadku podmiotów publicznych środki wypływałyby z budżetu i do niego wpływały.
Polecamy: INFORLEX Księgowość i Kadry
Odpowiedzialność karna
Projekt przewiduje także – obok odpowiedzialności cywilnej oraz administracyjnej – odpowiedzialność karną. Ogranicza się ona do dwóch przypadków:
- udaremniania lub utrudniania przeprowadzenia kontroli, co stanowi wykroczenie i jest zagrożone karą grzywny,
- przetwarzania danych osobowych bez podstawy prawnej, co stanowi przestępstwo i jest zagrożone karą grzywny, ograniczenia wolności lub pozbawienia wolności do roku.
Zobacz także: RODO 2018
Zgoda na przetwarzanie danych już od 13 roku życia
W myśl Projektu, skuteczną zgodę na przetwarzanie danych osobowych w zakresie usług świadczonych elektronicznie będzie mogła wyrazić osoba, która ukończyła 13 lat. Natomiast w przypadku osób, które nie ukończyły 13 roku życia konieczna będzie zgodna przedstawiciela ustawowego lub potwierdzenie przez przedstawiciela ustawowego zgody wyrażonej wcześniej przez tą osobę.
Przepisy wprowadzające
Równocześnie z Projektem opublikowano propozycję ustawy wprowadzającej nową ustawę o ochronie danych osobowych, która przewiduje zmiany w ponad 130 aktach prawnych (w tym m.in. w: kodeksie pracy, prawie telekomunikacyjnym, ustawie o świadczeniu usług drogą elektroniczną, ustawy o prawie autorskim i prawach pokrewnych, prawie o adwokaturze etc.). Szczególnie interesujące zmiany zajdą w kodeksie pracy, gdyż Projekt wskazuje wyraźny katalog danych osobowych, jakich pracodawca może żądać od kandydata do pracy oraz od pracownika. Ponadto Projekt wskazuje na zakres i przesłanki do stosowania monitoringu wizyjnego w miejscu pracy.
Lektura obowiązkowa
Zarówno sam Projekt, jak i propozycja przepisów wprowadzających powinny być obowiązkową lekturą dla każdego podmiotu przetwarzającego dane osobowe lub zespołu odpowiedzialnego za ochronę danych osobowych w przedsiębiorstwie. Bez ich znajomości połączonej z uważną lekturą RODO oraz wytycznych Europejskiej Rady Ochrony Danych Osobowych może się nie udać przygotować przedsiębiorstwa na wejście RODO w życie, co nastąpi za 7 miesięcy. O tym jakie obowiązki na przedsiębiorców nakłada RODO oraz jak skutecznie wdrożyć w przedsiębiorstwie nowe procedury piszemy w naszej najnowszej publikacji pt. RODO – PRZEWODNIK PRAKTYCZNY DLA PRZEDSIĘBIORCÓW . Zachęcamy do zapoznania się z jej treścią.
Autor: Kamil Kozioł – prawnik w Kancelarii KSP Legal & Tax Advice w Katowicach

REKLAMA

- Czytaj artykuły
- Rozwiązuj testy
- Zdobądź certyfikat
Komentarze(0)
Pokaż: