Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych

1.

Ustawę stosuje się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych

w zakresie określonym w art. 2 i art. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia

27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych

osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy

95/46/WE (ogólne rozporządzenie o ochronie danych)

(Dz. Urz. UE L 119 z 04.05.2016, str. 1), zwanego dalej „rozporządzeniem 2016/679”.

2.

Ustawa określa

1)

podmioty publiczne obowiązane do wyznaczenia inspektora ochrony danych oraz tryb zawiadamiania

o jego wyznaczeniu;

2)

warunki i tryb akredytacji podmiotu uprawnionego do certyfikacji w zakresie ochrony

danych osobowych, akredytowanego przez Polskie Centrum Akredytacji, zwanego dalej

„podmiotem certyfikującym”, podmiotu monitorującego kodeks postępowania oraz certyfikacji;

3)

tryb zatwierdzenia kodeksu postępowania;

4)

organ właściwy w sprawie ochrony danych osobowych;

5)

postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych;

6)

tryb europejskiej współpracy administracyjnej;

7)

kontrolę przestrzegania przepisów o ochronie danych osobowych;

8)

odpowiedzialność cywilną za naruszenie przepisów o ochronie danych osobowych i postępowanie

przed sądem;

9)

odpowiedzialność karną i administracyjne kary pieniężne za naruszenie przepisów o

ochronie danych osobowych.

1.

Do działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu

materiałów prasowych w rozumieniu ustawy z dnia 26 stycznia 1984 r. - Prawo prasowe

(Dz. U. poz. 24, z późn. zm., a także do wypowiedzi w ramach działalności literackiej lub artystycznej nie stosuje

się przepisów art. 5-9, art. 11, art. 13-16, art. 18-22, art. 27, art. 28 ust. 2-10

oraz art. 30 rozporządzenia 2016/679.

2.

Do wypowiedzi akademickiej nie stosuje się przepisów art. 13, art. 15 ust. 3 i 4,

art. 18, art. 27, art. 28 ust. 2-10 oraz art. 30 rozporządzenia 2016/679.

1.

Administrator wykonujący zadanie publiczne nie przekazuje informacji, o których mowa

w art. 13 ust. 3 rozporządzenia 2016/679, jeżeli zmiana celu przetwarzania służy realizacji

zadania publicznego i niewykonanie obowiązku, o którym mowa w art. 13 ust. 3 rozporządzenia

2016/679, jest niezbędne dla realizacji celów, o których mowa w art. 23 ust. 1 tego

rozporządzenia, oraz przekazanie tych informacji

1)

uniemożliwi lub znacząco utrudni prawidłowe wykonanie zadania publicznego, a interes

lub podstawowe prawa lub wolności osoby, której dane dotyczą, nie są nadrzędne w stosunku

do interesu wynikającego z realizacji tego zadania publicznego lub

2)

naruszy ochronę informacji niejawnych.

2.

W przypadku, o którym mowa w ust. 1, administrator zapewnia odpowiednie środki służące

ochronie interesu lub podstawowych praw i wolności osoby, której dane dotyczą.

3.

Administrator jest obowiązany poinformować osobę, której dane dotyczą, na jej wniosek,

bez zbędnej zwłoki, nie później jednak niż w terminie miesiąca od dnia otrzymania

wniosku, o podstawie nieprzekazania informacji, o których mowa w art. 13 ust. 3 rozporządzenia

2016/679.

1.

W zakresie nieuregulowanym w art. 14 ust. 5 rozporządzenia 2016/679 administrator

wykonujący zadanie publiczne nie przekazuje informacji, o których mowa w art. 14 ust.

1, 2 i 4 rozporządzenia 2016/679, jeżeli służy to realizacji zadania publicznego i

niewykonanie obowiązku, o którym mowa w art. 14 ust. 1, 2 i 4 rozporządzenia 2016/679,

jest niezbędne dla realizacji celów, o których mowa w art. 23 ust. 1 tego rozporządzenia,

oraz przekazanie tych informacji

1)

uniemożliwi lub znacząco utrudni prawidłowe wykonanie zadania publicznego, a interes

lub podstawowe prawa lub wolności osoby, której dane dotyczą, nie są nadrzędne w stosunku

do interesu wynikającego z realizacji tego zadania publicznego lub

2)

naruszy ochronę informacji niejawnych.

2.

W przypadku, o którym mowa w ust. 1, administrator zapewnia odpowiednie środki służące

ochronie interesu lub podstawowych praw i wolności osoby, której dane dotyczą.

3.

Administrator jest obowiązany poinformować osobę, której dane dotyczą, na jej wniosek,

bez zbędnej zwłoki, nie później jednak niż w terminie miesiąca od dnia otrzymania

wniosku, o podstawie nieprzekazania informacji, o których mowa w art. 14 ust. 1, 2

i 4 rozporządzenia 2016/679.

1.

Powiat w celu zapewnienia porządku publicznego i bezpieczeństwa obywateli oraz ochrony

przeciwpożarowej i przeciwpowodziowej może stosować środki techniczne umożliwiające

rejestrację obrazu (monitoring) w obszarze przestrzeni publicznej, za zgodą zarządzającego

tym obszarem lub podmiotu posiadającego tytuł prawny do tego obszaru lub na terenie

nieruchomości i w obiektach budowlanych stanowiących mienie powiatu lub jednostek

organizacyjnych powiatu, a także na terenie wokół takich nieruchomości i obiektów

budowlanych, jeżeli jest to konieczne do zapewnienia porządku publicznego i bezpieczeństwa

obywateli lub ochrony przeciwpożarowej i przeciwpowodziowej.

2.

Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek, palarni oraz obiektów

socjalnych.

3.

Nagrania obrazu zawierające dane osobowe przetwarza się wyłącznie do celów, dla których

zostały zebrane, i przechowuje przez okres nieprzekraczający 3 miesięcy od dnia nagrania,

o ile przepisy odrębne nie stanowią inaczej.

4.

Po upływie okresu, o którym mowa w ust. 3, uzyskane w wyniku monitoringu nagrania

obrazu zawierające dane osobowe podlegają zniszczeniu, z wyjątkiem sytuacji, w których

nagrania zostały zabezpieczone, zgodnie z odrębnymi przepisami.

5.

Nieruchomości i obiekty budowlane objęte monitoringiem oznacza się w sposób widoczny

i czytelny informacją o monitoringu, w szczególności za pomocą odpowiednich znaków.

6.

Monitoring, w ramach którego dochodzi do przetwarzania danych osobowych, wymaga stosowania

środków zabezpieczających przetwarzanie tych danych, w szczególności uniemożliwiających

ich utratę lub bezprawne rozpowszechnienie, a także uniemożliwienie dostępu do danych

osobom nieuprawnionym.

1.

Administrator wykonujący zadanie publiczne nie przekazuje informacji, o których mowa

w art. 15 ust. 1-3 rozporządzenia 2016/679, jeżeli służy to realizacji zadania publicznego

i niewykonanie obowiązków, o których mowa w art. 15 ust. 1-3 rozporządzenia 2016/679,

jest niezbędne dla realizacji celów, o których mowa w art. 23 ust. 1 tego rozporządzenia,

oraz wykonanie tych obowiązków

1)

uniemożliwi lub znacząco utrudni prawidłowe wykonanie zadania publicznego, a interes

lub podstawowe prawa lub wolności osoby, której dane dotyczą, nie są nadrzędne w stosunku

do interesu wynikającego z realizacji tego zadania publicznego lub

2)

naruszy ochronę informacji niejawnych.

2.

W przypadku gdy wykonanie obowiązków, o których mowa w art. 15 ust. 1 i 3 rozporządzenia

2016/679, wymaga niewspółmiernie dużego wysiłku związanego z wyszukaniem danych osobowych,

administrator wykonujący zadanie publiczne wzywa osobę, której dane dotyczą, do udzielenia

informacji pozwalających na wyszukanie tych danych. Przepis art. 64 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego

(Dz. U. z 2017 r. poz. 1257 oraz z 2018 r. poz. 149 i 650) stosuje się odpowiednio.

3.

W przypadkach, o których mowa w ust. 1 i 2, administrator zapewnia odpowiednie środki

służące ochronie interesu lub podstawowych praw i wolności osoby, której dane dotyczą.

4.

Administrator jest obowiązany poinformować osobę, której dane dotyczą, na jej wniosek,

bez zbędnej zwłoki, nie później jednak niż w terminie miesiąca od dnia otrzymania

wniosku, o podstawie niewykonania obowiązków, o których mowa w art. 15 ust. 1-3 rozporządzenia

2016/679.

1.

Zarządzanie mieniem państwowym obejmuje także zapewnienie bezpieczeństwa mienia, w

ramach którego możliwe jest stosowanie zabezpieczeń, w tym zabezpieczeń fizycznych

oraz środków technicznych umożliwiających rejestrację obrazu (monitoring) na terenie

nieruchomości i w obiektach budowlanych stanowiących mienie państwowe, a także na

terenie wokół takich nieruchomości i obiektów, jeżeli jest to konieczne do zapewnienia

bezpieczeństwa zarządzanym mieniem państwowym.

2.

Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek, palarni oraz obiektów

socjalnych.

3.

Nagrania obrazu zawierające dane osobowe przetwarza się wyłącznie do celów, dla których

zostały zebrane, i przechowuje przez okres nieprzekraczający 3 miesięcy od dnia nagrania,

o ile przepisy odrębne nie stanowią inaczej.

4.

Po upływie okresu, o którym mowa w ust. 3, uzyskane w wyniku monitoringu nagrania

obrazu zawierające dane osobowe podlegają zniszczeniu, z wyjątkiem sytuacji, w których

nagrania zostały zabezpieczone, zgodnie z odrębnymi przepisami.

5.

Nieruchomości i obiekty budowlane objęte monitoringiem oznacza się w sposób widoczny

i czytelny informacją o monitoringu, w szczególności za pomocą odpowiednich znaków.

6.

Monitoring, w ramach którego dochodzi do przetwarzania danych osobowych, wymaga stosowania

środków zabezpieczających przetwarzanie tych danych, w szczególności uniemożliwiających

ich utratę lub bezprawne rozpowszechnienie, a także uniemożliwienie dostępu do danych

osobom nieuprawnionym.

Ustawy oraz rozporządzenia 2016/679 nie stosuje się do

1)

przetwarzania danych osobowych przez jednostki sektora finansów publicznych, o których

mowa w art. 9 pkt 1, 3, 5, 6 i 14 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych

(Dz. U. z 2017 r. poz. 2077 oraz z 2018 r. poz. 62 i 1000), w zakresie, w jakim przetwarzanie to jest konieczne do realizacji zadań mających

na celu zapewnienie bezpieczeństwa narodowego, jeżeli przepisy szczególne przewidują

niezbędne środki ochrony praw i wolności osoby, której dane dotyczą;

2)

działalności służb specjalnych w rozumieniu art. 11 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji

Wywiadu

(Dz. U. z 2017 r. poz. 1920 i 2405 oraz z 2018 r. poz. 138, 650, 723 i 730).

1.

W sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem

Urzędu Ochrony Danych Osobowych, zwanym dalej „Prezesem Urzędu”, o których mowa w

rozdziałach 4-7 i 11, stosuje się ustawę z dnia 14 czerwca 1960 r. - Kodeks postępowania

administracyjnego.

2.

Postępowanie przed Prezesem Urzędu jest postępowaniem jednoinstancyjnym.

3.

Do postanowień wydanych w postępowaniach, o których mowa w ust. 1, na które zgodnie

z ustawą z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego służy zażalenie, przepisów o zażaleniu nie stosuje się.

4.

Na postanowienia, o których mowa w ust. 3, służy skarga do sądu administracyjnego.

Administrator i podmiot przetwarzający są obowiązani do wyznaczenia inspektora ochrony

danych, zwanego dalej „inspektorem”, w przypadkach i na zasadach określonych w art.

37 rozporządzenia 2016/679.

Przez organy i podmioty publiczne obowiązane do wyznaczenia inspektora, o których

mowa w art. 37 ust. 1 lit. a rozporządzenia 2016/679, rozumie się

1)

jednostki sektora finansów publicznych;

2)

instytuty badawcze;

3)

Narodowy Bank Polski.

Do danych osobowych zgromadzonych w systemie zgłaszania stosuje się przepisy o ochronie

danych osobowych.

1.

Gmina w celu zapewnienia porządku publicznego i bezpieczeństwa obywateli oraz ochrony

przeciwpożarowej i przeciwpowodziowej może stosować środki techniczne umożliwiające

rejestrację obrazu (monitoring) w obszarze przestrzeni publicznej, za zgodą zarządzającego

tym obszarem lub podmiotu posiadającego tytuł prawny do tego obszaru lub na terenie

nieruchomości i w obiektach budowlanych stanowiących mienie gminy lub jednostek organizacyjnych

gminy, a także na terenie wokół takich nieruchomości i obiektów budowlanych, jeżeli

jest to konieczne do zapewnienia porządku publicznego i bezpieczeństwa obywateli lub

ochrony przeciwpożarowej i przeciwpowodziowej.

2.

Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek, palarni oraz obiektów

socjalnych.

3.

Nagrania obrazu zawierające dane osobowe przetwarza się wyłącznie do celów, dla których

zostały zebrane, i przechowuje przez okres nieprzekraczający 3 miesięcy od dnia nagrania,

o ile przepisy odrębne nie stanowią inaczej.

4.

Po upływie okresu, o którym mowa w ust. 3, uzyskane w wyniku monitoringu nagrania

obrazu zawierające dane osobowe, podlegają zniszczeniu, z wyjątkiem sytuacji, w których

nagrania zostały zabezpieczone, zgodnie z odrębnymi przepisami.

5.

Nieruchomości i obiekty budowlane objęte monitoringiem oznacza się w sposób widoczny

i czytelny informacją o monitoringu, w szczególności za pomocą odpowiednich znaków.

6.

Monitoring, w ramach którego dochodzi do przetwarzania danych osobowych, wymaga stosowania

środków zabezpieczających przetwarzanie tych danych, w szczególności uniemożliwiających

ich utratę lub bezprawne rozpowszechnienie, a także uniemożliwienie dostępu do danych

osobom nieuprawnionym.

1.

Podmiot, który wyznaczył inspektora, zawiadamia Prezesa Urzędu o jego wyznaczeniu

w terminie 14 dni od dnia wyznaczenia, wskazując imię, nazwisko oraz adres poczty

elektronicznej lub numer telefonu inspektora.

2.

Zawiadomienie może zostać dokonane przez pełnomocnika podmiotu, o którym mowa w ust.

1. Do zawiadomienia dołącza się pełnomocnictwo udzielone w formie elektronicznej.

3.

W zawiadomieniu oprócz danych, o których mowa w ust. 1, wskazuje się

1)

imię i nazwisko oraz adres zamieszkania, w przypadku gdy administratorem lub podmiotem

przetwarzającym jest osoba fizyczna;

2)

firmę przedsiębiorcy oraz adres miejsca prowadzenia działalności gospodarczej, w przypadku

gdy administratorem lub podmiotem przetwarzającym jest osoba fizyczna prowadząca działalność

gospodarczą;

3)

pełną nazwę oraz adres siedziby, w przypadku gdy administratorem lub podmiotem przetwarzającym

jest podmiot inny niż wskazany w pkt 1 i 2;

4)

numer identyfikacyjny REGON, jeżeli został nadany administratorowi lub podmiotowi

przetwarzającemu.

4.

Podmiot, który wyznaczył inspektora, zawiadamia Prezesa Urzędu o każdej zmianie danych,

o których mowa w ust. 1 i 3, oraz o odwołaniu inspektora, w terminie 14 dni od dnia

zaistnienia zmiany lub odwołania.

5.

W przypadku wyznaczenia jednego inspektora przez organy lub podmioty publiczne albo

przez grupę przedsiębiorców, każdy z tych podmiotów dokonuje zawiadomienia, o którym

mowa w ust. 1 i 4.

6.

Zawiadomienia, o których mowa w ust. 1 i 4, sporządza się w postaci elektronicznej

i opatruje kwalifikowanym podpisem elektronicznym albo podpisem potwierdzonym profilem

zaufanym ePUAP.

Dostawcy i podmioty prowadzące systemy płatności mogą przetwarzać dane osobowe w zakresie

niezbędnym do zapobiegania oszustwom związanym z wykonywanymi usługami płatniczymi

lub prowadzeniem systemu płatności oraz dochodzenia i wykrywania tego rodzaju oszustw

przez właściwe organy, z wyjątkiem danych, o których mowa w art. 9 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia

27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych

osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy

95/46/WE (ogólne rozporządzenie o ochronie danych)

(Dz. Urz. UE L 119 z 04.05.2016, str. 1).

Podmiot, który wyznaczył inspektora, udostępnia dane inspektora, o których mowa w

art. 10 ust. 1, niezwłocznie po jego wyznaczeniu, na swojej stronie internetowej,

a jeżeli nie prowadzi własnej strony internetowej, w sposób ogólnie dostępny w miejscu

prowadzenia działalności.

1.

Akredytacji podmiotów ubiegających się o uprawnienie do certyfikacji w zakresie ochrony

danych osobowych, o której mowa w art. 43 rozporządzenia 2016/679, zwanej dalej „akredytacją”,

udziela Polskie Centrum Akredytacji.

2.

Akredytacja jest udzielana na zasadach określonych w art. 43 ust. 1-7 rozporządzenia

2016/679.

3.

Do udzielania akredytacji stosuje się przepisy rozdziału 4 ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru

rynku

(Dz. U. z 2017 r. poz. 1398 oraz z 2018 r. poz. 650), z wyjątkiem art. 24 ust. 4-7 oraz art. 25 ust. 1 i 2 w zakresie dotyczącym ograniczenia

zakresu akredytacji oraz jej zawieszenia.

Prezes Urzędu udostępnia na swojej stronie podmiotowej w Biuletynie Informacji Publicznej

kryteria akredytacji, o których mowa w art. 43 ust. 3 rozporządzenia 2016/679.

1.

Polskie Centrum Akredytacji informuje Prezesa Urzędu o udzielonej akredytacji.

2.

Informacja o udzielonej akredytacji zawiera

1)

oznaczenie podmiotu, któremu udzielono akredytacji;

2)

wskazanie zakresu udzielonej akredytacji oraz okresu jej ważności.

3.

Polskie Centrum Akredytacji informuje Prezesa Urzędu o cofnięciu akredytacji.

4.

Informacja o cofnięciu akredytacji zawiera

1)

oznaczenie podmiotu, któremu cofnięto akredytację;

2)

wskazanie przyczyny uzasadniającej cofnięcie akredytacji.

5.

Prezes Urzędu i Polskie Centrum Akredytacji mogą zawrzeć porozumienie o współpracy

w zakresie monitorowania działalności podmiotów certyfikujących i wzajemnym przekazywaniu

informacji dotyczących tych podmiotów.

1.

Certyfikacji, o której mowa w art. 42 rozporządzenia 2016/679, zwanej dalej „certyfikacją”,

dokonuje Prezes Urzędu lub podmiot certyfikujący, na wniosek administratora, podmiotu

przetwarzającego, producenta albo podmiotu wprowadzającego usługę lub produkt na rynek.

2.

Certyfikacja jest dokonywana na zasadach określonych w rozporządzeniu 2016/679.

3.

W sprawach dokonywania certyfikacji przez podmiot certyfikujący nieuregulowanych w

rozporządzeniu 2016/679 i ustawie stosuje się postanowienia umowy cywilnoprawnej zawartej

między podmiotem certyfikującym a podmiotem ubiegającym się o certyfikację.

Prezes Urzędu udostępnia na swojej stronie podmiotowej w Biuletynie Informacji Publicznej

kryteria certyfikacji, o których mowa w art. 42 ust. 5 rozporządzenia 2016/679.

1.

Wniosek o certyfikację zawiera co najmniej

1)

nazwę podmiotu ubiegającego się o certyfikację albo jego imię i nazwisko oraz wskazanie

adresu jego siedziby, adresu miejsca prowadzenia działalności gospodarczej albo adresu

zamieszkania;

2)

informacje potwierdzające spełnianie kryteriów certyfikacji;

3)

wskazanie zakresu wnioskowanej certyfikacji.

2.

Do wniosku dołącza się dokumenty potwierdzające spełnianie kryteriów certyfikacji

albo ich kopie oraz, w przypadku certyfikacji dokonywanej przez Prezesa Urzędu, dowód

wniesienia opłaty, o której mowa w art. 26.

3.

Wniosek składa się pisemnie w postaci papierowej opatrzonej własnoręcznym podpisem

albo w postaci elektronicznej opatrzonej kwalifikowanym podpisem elektronicznym. Wniosek

składany do Prezesa Urzędu w postaci elektronicznej opatruje się kwalifikowanym podpisem

elektronicznym albo podpisem potwierdzonym profilem zaufanym ePUAP.

1.

Prezes Urzędu albo podmiot certyfikujący rozpatruje wniosek o certyfikację i w terminie

nie dłuższym niż 3 miesiące od dnia złożenia wniosku zgodnego z art. 17, po zbadaniu

spełniania kryteriów certyfikacji, zawiadamia wnioskodawcę o dokonaniu albo odmowie

dokonania certyfikacji.

2.

Wniosek złożony do Prezesa Urzędu, niezawierający informacji, o których mowa w art.

17 ust. 1 pkt 1, pozostawia się bez rozpoznania. Jeżeli wniosek nie zawiera informacji,

o których mowa w art. 17 ust. 1 pkt 2 lub 3, lub nie spełnia wymagań, o których mowa

w art. 17 ust. 2 lub 3, Prezes Urzędu wzywa wnioskodawcę do ich uzupełnienia wraz

z pouczeniem, że ich nieuzupełnienie w terminie 7 dni od dnia doręczenia wezwania

spowoduje pozostawienie wniosku bez rozpoznania.

Przed dokonaniem certyfikacji albo odmową dokonania certyfikacji podmiot certyfikujący

informuje Prezesa Urzędu o planowanym dokonaniu albo planowanej odmowie dokonania

certyfikacji.

1.

W przypadku stwierdzenia, że podmiot ubiegający się o certyfikację nie spełnia kryteriów

certyfikacji, Prezes Urzędu albo podmiot certyfikujący odmawia jej dokonania.

2.

Odmowa dokonania certyfikacji przez Prezesa Urzędu następuje w drodze decyzji.

3.

Podmiot certyfikujący opracowuje i udostępnia zainteresowanym podmiotom procedurę

postępowania w przypadku odmowy dokonania certyfikacji.

1.

Dokumentem potwierdzającym certyfikację jest certyfikat.

2.

Certyfikat zawiera co najmniej

1)

oznaczenie podmiotu, który otrzymał certyfikat;

2)

nazwę podmiotu dokonującego certyfikacji oraz wskazanie adresu jego siedziby;

3)

numer lub oznaczenie certyfikatu;

4)

zakres, w tym okres, na jaki została dokonana certyfikacja;

5)

datę wydania i podpis podmiotu dokonującego certyfikacji lub osoby przez niego upoważnionej.

1.

W okresie, na jaki została dokonana certyfikacja, podmiot, któremu udzielono certyfikacji,

jest obowiązany spełniać kryteria certyfikacji obowiązujące na dzień jego wydania.

2.

Prezes Urzędu albo podmiot certyfikujący cofa certyfikację w przypadku stwierdzenia,

że podmiot, któremu udzielono certyfikacji, nie spełnia lub przestał spełniać kryteria

certyfikacji.

3.

Cofnięcie certyfikacji przez Prezesa Urzędu następuje w drodze decyzji.

§ 1.

Jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pracowników lub ochrony mienia

lub kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby

narazić pracodawcę na szkodę, pracodawca może wprowadzić szczególny nadzór nad terenem

zakładu pracy lub terenem wokół zakładu pracy w postaci środków technicznych umożliwiających

rejestrację obrazu (monitoring).

§ 2.

Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek oraz palarni lub

pomieszczeń udostępnianych zakładowej organizacji związkowej, chyba że stosowanie

monitoringu w tych pomieszczeniach jest niezbędne do realizacji celu określonego w

§ 1 i nie naruszy to godności oraz innych dóbr osobistych pracownika, a także zasady

wolności i niezależności związków zawodowych, w szczególności poprzez zastosowanie

technik uniemożliwiających rozpoznanie przebywających w tych pomieszczeniach osób.

§ 3.

Nagrania obrazu pracodawca przetwarza wyłącznie do celów, dla których zostały zebrane,

i przechowuje przez okres nieprzekraczający 3 miesięcy od dnia nagrania.

§ 4.

W przypadku, w którym nagrania obrazu stanowią dowód w postępowaniu prowadzonym na

podstawie prawa lub pracodawca powziął wiadomość, iż mogą one stanowić dowód w postępowaniu,

termin określony w § 3 ulega przedłużeniu do czasu prawomocnego zakończenia postępowania.

§ 5.

Po upływie okresów, o których mowa w § 3 lub 4, uzyskane w wyniku monitoringu nagrania

obrazu zawierające dane osobowe podlegają zniszczeniu, o ile przepisy odrębne nie

stanowią inaczej.

§ 6.

Cele, zakres oraz sposób zastosowania monitoringu ustala się w układzie zbiorowym

pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty

układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy.

§ 7.

Pracodawca informuje pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego

pracodawcy, nie później niż 2 tygodnie przed jego uruchomieniem.

§ 8.

Pracodawca przed dopuszczeniem pracownika do pracy przekazuje mu na piśmie informacje,

o których mowa w § 6.

§ 9.

W przypadku wprowadzenia monitoringu pracodawca oznacza pomieszczenia i teren monitorowany

w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych,

nie później niż jeden dzień przed jego uruchomieniem.

§ 10.

Przepis § 9 nie narusza przepisów art. 12 i art. 13 rozporządzenia Parlamentu Europejskiego

i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych

w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich

danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)

(Dz. Urz. UE L 119 z 04.05.2016, str. 1).

§ 1.

Jeżeli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie

czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy,

pracodawca może wprowadzić kontrolę służbowej poczty elektronicznej pracownika (monitoring

poczty elektronicznej).

§ 2.

Monitoring poczty elektronicznej nie może naruszać tajemnicy korespondencji oraz innych

dóbr osobistych pracownika.

§ 3.

Przepisy art. 22

§ 4.

Przepisy § 1-3 stosuje się odpowiednio do innych form monitoringu niż określone w

§ 1, jeśli ich zastosowanie jest konieczne do realizacji celów określonych w § 1.

1.

Podmiot certyfikujący przekazuje Prezesowi Urzędu dane podmiotu, któremu udzielono

certyfikacji, oraz podmiotu, któremu cofnięto certyfikację, wraz ze wskazaniem przyczyny

jej cofnięcia.

2.

Prezes Urzędu prowadzi publicznie dostępny wykaz podmiotów, o których mowa w ust.

1.

3.

Prezes Urzędu dokonuje wpisu do wykazu niezwłocznie po dokonaniu certyfikacji albo

otrzymaniu informacji o dokonaniu certyfikacji przez podmiot certyfikujący.

4.

Prezes Urzędu udostępnia wykaz na swojej stronie podmiotowej w Biuletynie Informacji

Publicznej i dokonuje jego aktualizacji.

1.

Prezes Urzędu w terminie, o którym mowa w art. 18 ust. 1, a także po dokonaniu certyfikacji

jest uprawniony, w celu oceny spełniania przez podmiot kryteriów certyfikacji, do

przeprowadzenia czynności sprawdzających u administratora, podmiotu przetwarzającego,

producenta albo podmiotu wprowadzającego usługę lub produkt na rynek.

2.

Prezes Urzędu zawiadamia podmiot, o którym mowa w ust. 1, o zamiarze przeprowadzenia

czynności sprawdzających.

3.

Czynności sprawdzające przeprowadza się nie wcześniej niż po upływie 7 dni i nie później

niż przed upływem 30 dni od dnia doręczenia podmiotowi, o którym mowa w ust. 1, zawiadomienia

o zamiarze ich przeprowadzenia. Jeżeli czynności sprawdzające nie zostaną przeprowadzone

w terminie 30 dni od dnia doręczenia zawiadomienia, ich przeprowadzenie wymaga ponownego

zawiadomienia.

4.

Czynności sprawdzające przeprowadza się na podstawie imiennego upoważnienia wydanego

przez Prezesa Urzędu, które zawiera

1)

imię i nazwisko osoby przeprowadzającej czynności sprawdzające;

2)

oznaczenie administratora, podmiotu przetwarzającego, producenta albo podmiotu wprowadzającego

usługę lub produkt na rynek;

3)

wskazanie podstawy prawnej przeprowadzenia czynności sprawdzających;

4)

zakres czynności sprawdzających;

5)

datę i miejsce jego wystawienia;

6)

podpis osoby uprawnionej do wydania upoważnienia w imieniu Prezesa Urzędu.

1.

Osoba przeprowadzająca czynności sprawdzające jest uprawniona do

1)

wstępu na grunt oraz do budynków, lokali lub innych pomieszczeń w dniach i godzinach

pracy administratora, podmiotu przetwarzającego, producenta albo podmiotu wprowadzającego

usługę lub produkt na rynek;

2)

wglądu do dokumentów i informacji mających bezpośredni związek z działalnością objętą

certyfikacją;

3)

oględzin urządzeń, nośników oraz systemów informatycznych lub teleinformatycznych

służących do przetwarzania danych;

4)

żądania ustnych lub pisemnych wyjaśnień w sprawach związanych z działalnością objętą

certyfikacją.

2.

Czynności sprawdzających dokonuje się w obecności administratora, podmiotu przetwarzającego,

producenta lub podmiotu wprowadzającego usługę lub produkt na rynek lub osoby przez

niego upoważnionej.

3.

Z czynności sprawdzających sporządza się protokół i przedstawia go administratorowi,

podmiotowi przetwarzającemu, producentowi albo podmiotowi wprowadzającemu usługę lub

produkt na rynek. Przepis art. 88 stosuje się odpowiednio.

1.

Prezes Urzędu pobiera za czynności związane z certyfikacją opłatę, której wysokość

odpowiada przewidywanym kosztom poniesionym z tytułu wykonywania tych czynności.

2.

Prezes Urzędu, ustalając wysokość opłaty, bierze pod uwagę zakres certyfikacji, przewidywany

przebieg i długość postępowania certyfikującego oraz koszt pracy pracownika wykonującego

czynności związane z certyfikacją.

3.

Maksymalna wysokość opłaty nie może przekroczyć czterokrotności przeciętnego wynagrodzenia

w gospodarce narodowej w roku kalendarzowym poprzedzającym rok złożenia wniosku o

certyfikację, ogłaszanego przez Prezesa Głównego Urzędu Statystycznego na podstawie

art. 20 pkt 1 lit. a ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu

Ubezpieczeń Społecznych

(Dz. U. z 2017 r. poz. 1383, z późn. zm..

4.

Prezes Urzędu na swojej stronie podmiotowej w Biuletynie Informacji Publicznej podaje

wysokość opłaty, którą podmiot, o którym mowa w art. 15, obowiązany jest ponieść z

tytułu czynności związanych z certyfikacją.

5.

Opłata stanowi dochód budżetu państwa.

1.

Kodeks postępowania jest opracowywany, opiniowany i zatwierdzany na zasadach określonych

w rozporządzeniu 2016/679.

2.

Kodeks postępowania przed przekazaniem do zatwierdzenia Prezesowi Urzędu podlega konsultacjom

z zainteresowanymi podmiotami.

3.

Informację o przeprowadzonych konsultacjach oraz ich wyniku przekazuje się Prezesowi

Urzędu wraz z kodeksem postępowania.

4.

W przypadku uznania przez Prezesa Urzędu zakresu konsultacji za niewystarczający,

wzywa on podmiot do przeprowadzenia ponownych konsultacji, wskazując ich zakres.

5.

Stroną postępowania w sprawie zatwierdzenia kodeksu postępowania jest wyłącznie wnioskodawca

występujący o zatwierdzenie tego kodeksu. Przepisu art. 31 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego nie stosuje się.

6.

Do zmiany zatwierdzonego kodeksu postępowania lub jego rozszerzenia stosuje się ust.

1-5.

Przestrzeganie zatwierdzonego kodeksu postępowania monitoruje podmiot akredytowany

przez Prezesa Urzędu na zasadach określonych w art. 41 rozporządzenia 2016/679.

1.

Akredytacja podmiotu, o którym mowa w art. 28, jest udzielana na wniosek, który zawiera

co najmniej

1)

nazwę podmiotu ubiegającego się o akredytację oraz adres jego siedziby;

2)

informacje potwierdzające spełnianie kryteriów, o których mowa w art. 41 ust. 1 i

2 rozporządzenia 2016/679.

2.

Do wniosku dołącza się dokumenty potwierdzające spełnianie kryteriów, o których mowa

w art. 41 ust. 1 i 2 rozporządzenia 2016/679, albo ich kopie.

3.

Wniosek składa się pisemnie w postaci papierowej opatrzonej własnoręcznym podpisem

albo w postaci elektronicznej opatrzonej kwalifikowanym podpisem elektronicznym albo

podpisem potwierdzonym profilem zaufanym ePUAP.

1.

Prezes Urzędu rozpatruje wniosek, o którym mowa w art. 29 ust. 1, i w terminie nie

dłuższym niż 3 miesiące od dnia złożenia wniosku zgodnego z art. 29, po zbadaniu spełniania

kryteriów, o których mowa w art. 41 ust. 1 i 2 rozporządzenia 2016/679, zawiadamia

podmiot ubiegający się o akredytację o udzieleniu lub odmowie udzielenia akredytacji.

2.

Wniosek złożony do Prezesa Urzędu niezawierający informacji, o których mowa w art.

29 ust. 1 pkt 1, pozostawia się bez rozpoznania. Jeżeli wniosek nie zawiera informacji,

o których mowa w art. 29 ust. 1 pkt 2, lub nie spełnia wymagań, o których mowa w ust.

2 lub 3, Prezes Urzędu wzywa wnioskodawcę do ich uzupełnienia wraz z pouczeniem, że

ich nieuzupełnienie w terminie 7 dni od dnia doręczenia wezwania spowoduje pozostawienie

wniosku bez rozpoznania.

3.

W przypadku stwierdzenia, że podmiot ubiegający się o akredytację nie spełnia kryteriów,

o których mowa w art. 41 ust. 1 i 2 rozporządzenia 2016/679, Prezes Urzędu odmawia

udzielenia akredytacji. Odmowa udzielenia akredytacji następuje w drodze decyzji.

1.

Dokumentem potwierdzającym akredytację jest certyfikat akredytacyjny.

2.

Certyfikat akredytacyjny zawiera co najmniej

1)

oznaczenie podmiotu akredytowanego i adres jego siedziby;

2)

numer lub oznaczenie certyfikatu akredytacyjnego;

3)

datę wydania i podpis Prezesa Urzędu albo osoby przez niego upoważnionej.

1.

W okresie, na jaki akredytacja została udzielona, podmiot akredytowany jest obowiązany

spełniać kryteria, o których mowa w art. 41 ust. 1 i 2 rozporządzenia 2016/679, obowiązujące

na dzień wydania certyfikatu akredytacyjnego.

2.

Prezes Urzędu cofa, w drodze decyzji, akredytację w przypadku stwierdzenia, że podmiot

akredytowany

1)

nie spełnia lub przestał spełniać kryteria akredytacji, o których mowa w art. 41 ust.

1 i 2 rozporządzenia 2016/679;

2)

podejmuje działania niezgodne z rozporządzeniem 2016/679.

1.

Prezes Urzędu prowadzi publicznie dostępny wykaz podmiotów akredytowanych.

2.

Prezes Urzędu dokonuje wpisu do wykazu niezwłocznie po udzieleniu akredytacji.

3.

Prezes Urzędu udostępnia wykaz na swojej stronie podmiotowej w Biuletynie Informacji

Publicznej i dokonuje jego aktualizacji.

1.

Prezes Urzędu jest organem właściwym w sprawie ochrony danych osobowych.

2.

Prezes Urzędu jest organem nadzorczym w rozumieniu rozporządzenia 2016/679, w rozumieniu

dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r.

w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez

właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych,

wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego

przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW

(Dz. Urz. UE L 119 z 04.05.2016, str. 89) oraz w rozumieniu rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/794 z dnia 11 maja 2016 r.

w sprawie Agencji Unii Europejskiej ds. Współpracy Organów Ścigania (Europol), zastępującego

i uchylającego decyzje Rady 2009/371/WSiSW, 2009/934/WSiSW, 2009/935/WSiSW, 2009/936/WSiSW

i 2009/968/WSiSW

(Dz. Urz. UE L 135 z 24.05.2016, str. 53).

3.

Prezesa Urzędu powołuje i odwołuje Sejm Rzeczypospolitej Polskiej za zgodą Senatu

Rzeczypospolitej Polskiej.

4.

Na stanowisko Prezesa Urzędu może być powołana osoba, która

1)

jest obywatelem polskim;

2)

posiada wyższe wykształcenie;

3)

wyróżnia się wiedzą prawniczą i doświadczeniem z zakresu ochrony danych osobowych;

4)

korzysta z pełni praw publicznych;

5)

nie była skazana prawomocnym wyrokiem za umyślne przestępstwo lub umyślne przestępstwo

skarbowe;

6)

posiada nieposzlakowaną opinię.

5.

Prezes Urzędu w zakresie wykonywania swoich zadań podlega tylko ustawie.

6.

Kadencja Prezesa Urzędu trwa 4 lata, licząc od dnia złożenia ślubowania. Prezes Urzędu

po upływie kadencji wykonuje swoje obowiązki do czasu objęcia stanowiska przez nowego

Prezesa Urzędu.

7.

Ta sama osoba nie może być Prezesem Urzędu więcej niż przez dwie kadencje.

8.

Kadencja Prezesa Urzędu wygasa z chwilą jego śmierci, odwołania lub utraty obywatelstwa

polskiego.

9.

Prezes Urzędu może zostać odwołany przed upływem kadencji, wyłącznie w przypadku,

gdy

1)

zrzekł się stanowiska;

2)

stał się trwale niezdolny do pełnienia obowiązków na skutek choroby stwierdzonej orzeczeniem

lekarskim;

3)

sprzeniewierzył się ślubowaniu;

4)

został skazany prawomocnym wyrokiem sądu za popełnienie umyślnego przestępstwa lub

umyślnego przestępstwa skarbowego;

5)

został pozbawiony praw publicznych.

10.

W przypadku wygaśnięcia kadencji Prezesa Urzędu jego obowiązki pełni zastępca Prezesa

Urzędu wskazany przez Marszałka Sejmu.

1.

Przed przystąpieniem do wykonywania obowiązków Prezes Urzędu składa przed Sejmem Rzeczypospolitej

Polskiej ślubowanie o następującej treści

„

Obejmując stanowisko Prezesa Urzędu Ochrony Danych Osobowych, uroczyście ślubuję dochować

wierności postanowieniom Konstytucji Rzeczypospolitej Polskiej, strzec prawa do ochrony danych osobowych, a powierzone mi obowiązki wypełniać sumiennie

i bezstronnie.

”

.

2.

Ślubowanie może zostać złożone z dodaniem słów „Tak mi dopomóż Bóg”.

1.

Prezes Urzędu może powołać do trzech zastępców.

2.

Na zastępcę Prezesa Urzędu może być powołana osoba, która

1)

jest obywatelem polskim;

2)

posiada wyższe wykształcenie;

3)

wyróżnia się wiedzą prawniczą i doświadczeniem z zakresu ochrony danych osobowych;

4)

korzysta z pełni praw publicznych;

5)

nie była skazana prawomocnym wyrokiem za umyślne przestępstwo lub umyślne przestępstwo

skarbowe;

6)

posiada nieposzlakowaną opinię.

1.

Prezes Urzędu oraz jego zastępcy nie mogą zajmować innego stanowiska, z wyjątkiem

stanowiska dydaktycznego, naukowo-dydaktycznego lub naukowego w szkole wyższej, Polskiej

Akademii Nauk, instytucie badawczym lub innej jednostce naukowej, ani wykonywać innych

zajęć zarobkowych lub niezarobkowych sprzecznych z obowiązkami Prezesa Urzędu.

2.

Prezes Urzędu oraz jego zastępcy nie mogą należeć do partii politycznej, związku zawodowego

ani prowadzić działalności publicznej niedającej się pogodzić z godnością jego urzędu.

1.

Prezes Urzędu nie może być bez uprzedniej zgody Sejmu Rzeczypospolitej Polskiej pociągnięty

do odpowiedzialności karnej ani pozbawiony wolności.

2.

Prezes Urzędu może wyrazić zgodę na pociągnięcie go do odpowiedzialności karnej za

wykroczenia, o których mowa w ust. 3, w trybie określonym w tym przepisie.

3.

W przypadku popełnienia przez Prezesa Urzędu wykroczenia, o którym mowa w rozdziale XI ustawy z dnia 20 maja 1971 r. - Kodeks wykroczeń

(Dz. U. z 2018 r. poz. 618 i 911), przyjęcie przez Prezesa Urzędu mandatu karnego albo uiszczenie grzywny, w przypadku

ukarania mandatem karnym zaocznym, o którym mowa w art. 98 § 1 pkt 3 ustawy z dnia 24 sierpnia 2001 r. - Kodeks postępowania w sprawach

o wykroczenia

(Dz. U. z 2018 r. poz. 475), stanowi oświadczenie o wyrażeniu przez niego zgody na pociągnięcie go do odpowiedzialności

w tej formie.

4.

Prezes Urzędu nie może być zatrzymany lub aresztowany, z wyjątkiem ujęcia go na gorącym

uczynku przestępstwa i jeżeli jego zatrzymanie jest niezbędne do zapewnienia prawidłowego

toku postępowania. O zatrzymaniu niezwłocznie powiadamia się Marszałka Sejmu, który

może nakazać natychmiastowe zwolnienie zatrzymanego.

Przedawnienie w postępowaniu karnym czynu objętego immunitetem nie biegnie w okresie

korzystania z immunitetu.

1.

Wniosek o wyrażenie zgody na pociągnięcie Prezesa Urzędu do odpowiedzialności karnej

w sprawie o przestępstwo ścigane z oskarżenia publicznego składa się za pośrednictwem

Prokuratora Generalnego.

2.

Wniosek o wyrażenie zgody na pociągnięcie Prezesa Urzędu do odpowiedzialności karnej

w sprawie o przestępstwo ścigane z oskarżenia prywatnego składa oskarżyciel prywatny,

po wniesieniu oskarżenia do sądu.

3.

Wniosek, o którym mowa w ust. 2, sporządza i podpisuje adwokat lub radca prawny, z

wyjątkiem wniosków składanych w swoich sprawach przez sędziów, prokuratorów, adwokatów,

radców prawnych, notariuszy oraz profesorów i doktorów habilitowanych nauk prawnych.

4.

Wnioski, o których mowa w ust. 1 i 2, zawierają

1)

oznaczenie wnioskodawcy oraz pełnomocnika, o ile został ustanowiony;

2)

imię i nazwisko oraz datę i miejsce urodzenia Prezesa Urzędu;

3)

wskazanie podstawy prawnej wniosku;

4)

dokładne określenie czynu, którego dotyczy wniosek, ze wskazaniem czasu, miejsca,

sposobu i okoliczności jego popełnienia oraz skutków, a zwłaszcza charakteru powstałej

szkody;

5)

uzasadnienie.

1.

Wniosek o wyrażenie zgody na pociągnięcie Prezesa Urzędu do odpowiedzialności karnej

składa się Marszałkowi Sejmu.

2.

Jeżeli wniosek nie spełnia wymogów formalnych, o których mowa w art. 40 ust. 3 lub

4, Marszałek Sejmu wzywa wnioskodawcę do poprawienia lub uzupełnienia wniosku w terminie

14 dni, wskazując niezbędny zakres poprawienia lub uzupełnienia. W przypadku niepoprawienia

lub nieuzupełnienia wniosku we wskazanym terminie i zakresie Marszałek Sejmu postanawia

o pozostawieniu wniosku bez biegu.

3.

Jeżeli wniosek spełnia wymogi formalne, o których mowa w art. 40 ust. 3 i 4, Marszałek

Sejmu kieruje go do organu Sejmu Rzeczypospolitej Polskiej właściwego do rozpatrzenia

wniosku, zawiadamiając jednocześnie Prezesa Urzędu o treści wniosku.

4.

Organ właściwy do rozpatrzenia wniosku powiadamia Prezesa Urzędu o terminie jego rozpatrzenia.

Między doręczeniem powiadomienia a terminem rozpatrzenia wniosku, o ile nie zachodzi

przypadek niecierpiący zwłoki, nie może upłynąć mniej niż 7 dni.

5.

Na żądanie organu właściwego do rozpatrzenia wniosku sąd albo odpowiedni organ, przed

którym toczy się postępowanie wobec Prezesa Urzędu, udostępnia akta postępowania.

6.

Prezes Urzędu przedstawia organowi właściwemu do rozpatrzenia wniosku wyjaśnienia

i własne wnioski w tej sprawie w formie pisemnej lub ustnej.

7.

Po rozpatrzeniu sprawy organ właściwy do rozpatrzenia wniosku uchwala sprawozdanie

wraz z propozycją przyjęcia lub odrzucenia wniosku.

8.

W trakcie rozpatrywania przez Sejm Rzeczypospolitej Polskiej sprawozdania, o którym

mowa w ust. 7, Prezesowi Urzędu przysługuje prawo zabrania głosu.

9.

Sejm Rzeczypospolitej Polskiej wyraża zgodę na pociągnięcie Prezesa Urzędu do odpowiedzialności

karnej w drodze uchwały podjętej bezwzględną większością ustawowej liczby posłów.

Nieuzyskanie wymaganej większości głosów oznacza podjęcie uchwały o niewyrażeniu zgody

na pociągnięcie Prezesa Urzędu do odpowiedzialności karnej.

1.

Zakaz zatrzymania, o którym mowa w art. 38 ust. 4, obejmuje wszelkie formy pozbawienia

lub ograniczenia wolności osobistej Prezesa Urzędu przez organy uprawnione do stosowania

środków przymusu.

2.

Wniosek o wyrażenie zgody na zatrzymanie lub aresztowanie Prezesa Urzędu składa się

za pośrednictwem Prokuratora Generalnego.

3.

Wniosek, o którym mowa w ust. 2, zawiera

1)

oznaczenie wnioskodawcy;

2)

imię i nazwisko oraz datę i miejsce urodzenia Prezesa Urzędu;

3)

dokładne określenie czynu oraz jego kwalifikację prawną;

4)

podstawę prawną zastosowania określonego środka;

5)

uzasadnienie, wskazujące w szczególności na konieczność zastosowania określonego środka.

4.

Do postępowania z wnioskiem, o którym mowa w ust. 2, przepisy art. 41 ust. 1-8 stosuje

się odpowiednio.

5.

Sejm Rzeczypospolitej Polskiej wyraża zgodę na zatrzymanie lub aresztowanie Prezesa

Urzędu w drodze uchwały podjętej bezwzględną większością ustawowej liczby posłów.

Nieuzyskanie wymaganej większości głosów oznacza podjęcie uchwały o niewyrażeniu zgody

na zatrzymanie lub aresztowanie Prezesa Urzędu.

6.

Wymóg uzyskania zgody Sejmu Rzeczypospolitej Polskiej nie dotyczy wykonania kary pozbawienia

wolności orzeczonej prawomocnym wyrokiem sądu.

1.

Marszałek Sejmu przesyła wnioskodawcy niezwłocznie uchwałę, o której mowa w art. 41

ust. 9 i art. 42 ust. 5.

2.

Uchwały, o których mowa w art. 41 ust. 9 i art. 42 ust. 5, podlegają ogłoszeniu w

Dzienniku Urzędowym Rzeczypospolitej Polskiej „Monitor Polski”.

Przepisy ustawy dotyczące odpowiedzialności karnej Prezesa Urzędu stosuje się odpowiednio

do odpowiedzialności za wykroczenia.

1.

Prezes Urzędu wykonuje swoje zadania przy pomocy Urzędu Ochrony Danych Osobowych,

zwanego dalej „Urzędem”.

2.

W przypadkach uzasadnionych charakterem i liczbą spraw z zakresu ochrony danych osobowych

na danym terenie Prezes Urzędu może w ramach Urzędu tworzyć jednostki zamiejscowe

Urzędu.

3.

Prezes Urzędu, w drodze zarządzenia, nadaje statut Urzędowi, określając

1)

organizację wewnętrzną Urzędu,

2)

zakres zadań swoich zastępców,

3)

zakres zadań i tryb pracy komórek organizacyjnych Urzędu

- mając na uwadze stworzenie optymalnych warunków organizacyjnych do prawidłowej realizacji

zadań Urzędu.

1.

Prezes Urzędu, zastępcy Prezesa Urzędu, a także pracownicy Urzędu są obowiązani zachować

w tajemnicy informacje, o których dowiedzieli się w związku z wykonywaniem czynności

służbowych.

2.

Obowiązek zachowania w tajemnicy informacji, o których mowa w ust. 1, trwa także po

zakończeniu kadencji albo zatrudnienia.

Rada Ministrów określi, w drodze rozporządzenia, wzór legitymacji służbowej pracownika

Urzędu, mając na względzie potrzebę zapewnienia możliwości identyfikacji osób uprawnionych

do przeprowadzania kontroli oraz wykonywania innych czynności służbowych.

1.

Przy Prezesie Urzędu działa Rada do Spraw Ochrony Danych Osobowych, zwana dalej „Radą”,

która jest organem opiniodawczo-doradczym Prezesa Urzędu.

2.

Do zadań Rady należy

1)

opiniowanie projektów dokumentów organów i instytucji Unii Europejskiej dotyczących

spraw ochrony danych osobowych;

2)

opiniowanie przekazanych przez Prezesa Urzędu projektów aktów prawnych i innych dokumentów

dotyczących spraw ochrony danych osobowych;

3)

opracowywanie propozycji kryteriów certyfikacji, o których mowa w art. 42 ust. 5 rozporządzenia

2016/679;

4)

opracowywanie propozycji rekomendacji określających środki techniczne i organizacyjne

stosowane w celu zapewnienia bezpieczeństwa przetwarzania danych osobowych;

5)

inicjowanie działań w obszarze ochrony danych osobowych oraz przedstawianie Prezesowi

Urzędu propozycji zmian prawa w tym obszarze;

6)

wyrażanie opinii w sprawach przedstawionych Radzie przez Prezesa Urzędu;

7)

wykonywanie innych zadań zleconych przez Prezesa Urzędu.

3.

Rada wyraża opinię w terminie 21 dni od dnia otrzymania projektów lub dokumentów,

o których mowa w ust. 2.

4.

Opinie, protokoły posiedzeń oraz inne dokumenty Rady są udostępniane na stronie podmiotowej

w Biuletynie Informacji Publicznej Prezesa Urzędu.

5.

Rada przedstawia Prezesowi Urzędu sprawozdanie z działalności za każdy rok kalendarzowy

w terminie do dnia 31 marca następnego roku.

6.

Rada składa się z 8 członków.

7.

Kandydatów na członków Rady zgłasza

1)

Rada Ministrów;

2)

Rzecznik Praw Obywatelskich;

3)

izby gospodarcze;

4)

jednostki naukowe w rozumieniu ustawy z dnia 30 kwietnia 2010 r. o zasadach finansowania nauki

(Dz. U. z 2018 r. poz. 87);

5)

fundacje i stowarzyszenia wpisane do Krajowego Rejestru Sądowego, których celem statutowym

jest działalność na rzecz ochrony danych osobowych.

8.

Członkiem Rady może być osoba, która

1)

posiada wykształcenie wyższe;

2)

nie była skazana prawomocnym wyrokiem za umyślne przestępstwo lub umyślne przestępstwo

skarbowe;

3)

korzysta z pełni praw publicznych;

4)

wyraziła zgodę na kandydowanie.

9.

Członek Rady jest obowiązany do zachowania w tajemnicy informacji, o których dowiedział

się w związku z wykonywaniem funkcji członka Rady. Prezes Urzędu może zwolnić z obowiązku

zachowania tajemnicy w zakresie przez niego określonym.

10.

Prezes Urzędu powołuje skład Rady, na dwuletnią kadencję, spośród kandydatów zgłoszonych

przez podmioty, o których mowa w ust. 7, w tym 5 członków spośród kandydatów zgłoszonych

przez podmioty, o których mowa w ust. 7 pkt 1 i 2, oraz 3 członków spośród kandydatów

zgłoszonych przez podmioty, o których mowa w ust. 7 pkt 3-5.

11.

Przed upływem kadencji członkostwo w Radzie wygasa z powodu

1)

rezygnacji złożonej na piśmie przewodniczącemu Rady;

2)

śmierci;

3)

niemożności sprawowania funkcji z powodu długotrwałej choroby stwierdzonej zaświadczeniem

lekarskim;

4)

skazania prawomocnym wyrokiem za umyślne przestępstwo lub umyślne przestępstwo skarbowe;

5)

pozbawienia praw publicznych.

12.

W przypadku, o którym mowa w ust. 11, Prezes Urzędu powołuje nowego członka Rady na

okres pozostały do końca kadencji, spośród pozostałych zgłoszonych kandydatów, po

potwierdzeniu aktualności zgłoszenia, z uwzględnieniem ust. 10.

13.

Prezes Urzędu powołuje i odwołuje przewodniczącego Rady i wiceprzewodniczącego Rady

spośród jej członków.

14.

Przewodniczący Rady kieruje jej pracami i reprezentuje ją na zewnątrz. W przypadku

nieobecności zastępuje go wiceprzewodniczący Rady.

15.

Obsługę Rady zapewnia Urząd.

16.

Na posiedzenie Rady mogą być zapraszane, przez Prezesa Urzędu oraz przewodniczącego

Rady, inne osoby, o ile jest to uzasadnione zadaniami Rady. Przepis ust. 9 stosuje

się odpowiednio.

17.

Szczegółowy tryb działania Rady określa regulamin ustanawiany na wniosek Rady przez

Prezesa Urzędu.

1.

Za udział w pracach Rady członkowi Rady przysługuje wynagrodzenie. Wysokość wynagrodzenia

uzależniona jest od zakresu obowiązków związanych z funkcją pełnioną w Radzie oraz

liczby posiedzeń, w których uczestniczył.

2.

Wynagrodzenie członka Rady za udział w jednym posiedzeniu stanowi co najmniej 5% przeciętnego

wynagrodzenia w gospodarce narodowej w roku kalendarzowym poprzedzającym rok powołania

Rady, ogłaszanego przez Prezesa Głównego Urzędu Statystycznego na podstawie art. 20 pkt 1 lit. a ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu

Ubezpieczeń Społecznych, i nie może przekroczyć 25% tego wynagrodzenia.

3.

Rada Ministrów określi, w drodze rozporządzenia, wysokość wynagrodzenia członka Rady

za udział w posiedzeniu oraz liczbę posiedzeń Rady w ciągu roku kalendarzowego, uwzględniając

zakres obowiązków związanych z funkcją pełnioną w Radzie oraz prawidłową realizację

zadań Rady.

4.

Członkom Rady mającym miejsce zamieszkania w innej miejscowości niż siedziba Urzędu

przysługują diety oraz zwrot kosztów podróży i zakwaterowania na warunkach określonych

w przepisach wykonawczych wydanych na podstawie art. 77ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy

(Dz. U. z 2018 r. poz. 917 i 1000).

1.

Prezes Urzędu raz w roku do dnia 31 sierpnia przedstawia Sejmowi Rzeczypospolitej

Polskiej, Radzie Ministrów, Rzecznikowi Praw Obywatelskich, Rzecznikowi Praw Dziecka

oraz Prokuratorowi Generalnemu sprawozdanie ze swojej działalności, zawierające w

szczególności informację o liczbie i rodzaju prawomocnych orzeczeń sądowych uwzględniających

skargi na decyzje lub postanowienia Prezesa Urzędu oraz wnioski wynikające ze stanu

przestrzegania przepisów o ochronie danych osobowych.

2.

Prezes Urzędu udostępnia sprawozdanie, o którym mowa w ust. 1, na swojej stronie podmiotowej

w Biuletynie Informacji Publicznej.

Założenia i projekty aktów prawnych dotyczące danych osobowych są przedstawiane do

zaopiniowania Prezesowi Urzędu.

1.

Prezes Urzędu może kierować do organów państwowych, organów samorządu terytorialnego,

państwowych i komunalnych jednostek organizacyjnych, podmiotów niepublicznych realizujących

zadania publiczne, osób fizycznych i prawnych, jednostek organizacyjnych niebędących

osobami prawnymi oraz innych podmiotów wystąpienia zmierzające do zapewnienia skutecznej

ochrony danych osobowych.

2.

Prezes Urzędu może również występować do właściwych organów z wnioskami o podjęcie

inicjatywy ustawodawczej albo o wydanie lub zmianę aktów prawnych w sprawach dotyczących

ochrony danych osobowych.

3.

Podmiot, do którego zostało skierowane wystąpienie lub wniosek, o których mowa w ust.

1 i 2, jest obowiązany ustosunkować się do tego wystąpienia lub wniosku na piśmie

w terminie 30 dni od daty jego otrzymania.

1.

Prezes Urzędu udostępnia na swojej stronie podmiotowej w Biuletynie Informacji Publicznej

1)

standardowe klauzule umowne, o których mowa w art. 28 ust. 8 rozporządzenia 2016/679;

2)

zatwierdzone kodeksy postępowania, o których mowa w art. 40 rozporządzenia 2016/679,

a także zmiany tych kodeksów;

3)

przyjęte standardowe klauzule ochrony danych, o których mowa w art. 46 ust. 2 lit.

d rozporządzenia 2016/679;

4)

rekomendacje określające środki techniczne i organizacyjne stosowane w celu zapewnienia

bezpieczeństwa przetwarzania danych osobowych.

2.

Rekomendacje, o których mowa w ust. 1 pkt 4, sporządzane są z uwzględnieniem specyfiki

danego rodzaju działalności i podlegają okresowej aktualizacji.

3.

Projekt rekomendacji, o których mowa w ust. 1 pkt 4, Prezes Urzędu konsultuje z zainteresowanymi

podmiotami, których zakresu działania dotyczy dany projekt.

1.

Prezes Urzędu

1)

ogłasza w komunikacie wykaz rodzajów operacji przetwarzania danych osobowych wymagających

oceny skutków przetwarzania dla ich ochrony, o którym mowa w art. 35 ust. 4 rozporządzenia

2016/679;

2)

może ogłosić w komunikacie wykaz rodzajów operacji przetwarzania danych osobowych

niewymagających oceny skutków przetwarzania dla ich ochrony, o którym mowa w art.

35 ust. 5 rozporządzenia 2016/679.

2.

Komunikaty, o których mowa w ust. 1, ogłasza się w Dzienniku Urzędowym Rzeczypospolitej

Polskiej „Monitor Polski”.

Prezes Urzędu może prowadzić system teleinformatyczny umożliwiający administratorom

dokonywanie zgłoszenia naruszenia ochrony danych osobowych, o którym mowa w art. 33

rozporządzenia 2016/679.

Prezes Urzędu, w drodze decyzji

1)

zatwierdza wiążące reguły korporacyjne, o których mowa w art. 47 rozporządzenia 2016/679;

2)

udziela zezwolenia, o którym mowa w art. 46 ust. 3 rozporządzenia 2016/679.

1.

Administrator lub podmiot przetwarzający może wystąpić do Prezesa Urzędu z wnioskiem

o przeprowadzenie uprzednich konsultacji, o którym mowa w art. 36 rozporządzenia 2016/679.

2.

Do wniosku stosuje się odpowiednio przepis art. 63 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego.

3.

Jeżeli wniosek nie spełnia wymogów określonych w art. 36 ust. 3 rozporządzenia 2016/679

oraz art. 63 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego, Prezes Urzędu informuje o nieudzieleniu konsultacji, wskazując przyczyny ich nieudzielenia.

Jeżeli Prezes Urzędu, na podstawie posiadanych informacji, uzna, że doszło do naruszenia

przepisów dotyczących przetwarzania danych osobowych, może żądać wszczęcia postępowania

dyscyplinarnego lub innego przewidzianego prawem postępowania przeciwko osobom, które

dopuściły się naruszeń, i poinformowania go, w określonym terminie, o wynikach tego

postępowania i podjętych działaniach.

1.

Prezes Urzędu w sprawach ochrony danych osobowych współpracuje z niezależnymi organami

nadzorczymi powołanymi na podstawie art. 91 rozporządzenia 2016/679.

2.

Prezes Urzędu może zawrzeć z organami, o których mowa w ust. 1, porozumienie o współpracy

i wzajemnym przekazywaniu informacji.

Postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, zwane dalej

„postępowaniem”, jest prowadzone przez Prezesa Urzędu.

1.

Obowiązkiem osób uczestniczących w zarządzaniu mieniem województwa jest zachowanie

szczególnej staranności przy wykonywaniu zarządu zgodnie z przeznaczeniem tego mienia

i jego ochrona.

2.

Ochrona mienia obejmuje w szczególności możliwość korzystania ze środków technicznych

umożliwiających rejestrację obrazu (monitoring) na terenie nieruchomości i w obiektach

budowlanych stanowiących mienie województwa, a także na terenie wokół takich nieruchomości

i obiektów budowlanych.

3.

Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek, palarni oraz obiektów

socjalnych.

4.

Nagrania obrazu zawierające dane osobowe przetwarza się wyłącznie do celów, dla których

zostały zebrane, i przechowuje przez okres nieprzekraczający 3 miesięcy od dnia nagrania,

o ile przepisy odrębne nie stanowią inaczej.

5.

Po upływie okresu, o którym mowa w ust. 4, uzyskane w wyniku monitoringu nagrania

obrazu zawierające dane osobowe podlegają zniszczeniu, z wyjątkiem sytuacji, w których

nagrania zostały zabezpieczone, zgodnie z odrębnymi przepisami.

6.

Nieruchomości i obiekty budowlane objęte monitoringiem oznacza się w sposób widoczny

i czytelny informacją o monitoringu, w szczególności za pomocą odpowiednich znaków.

7.

Monitoring, w ramach którego dochodzi do przetwarzania danych osobowych, wymaga stosowania

środków zabezpieczających przetwarzanie tych danych, w szczególności uniemożliwiających

ich utratę lub bezprawne rozpowszechnienie, a także uniemożliwienie dostępu do danych

osobom nieuprawnionym.

Organizacja społeczna, o której mowa w art. 31 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego, może również występować w postępowaniu za zgodą osoby, której dane dotyczą, w jej

imieniu i na jej rzecz.

W przypadku, o którym mowa w art. 36 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego, Prezes Urzędu, zawiadamiając strony o niezałatwieniu sprawy w terminie, jest obowiązany

również poinformować o stanie sprawy i przeprowadzonych w jej toku czynnościach.

Prezes Urzędu może żądać od strony przedstawienia tłumaczenia na język polski sporządzonej

w języku obcym dokumentacji przedłożonej przez stronę. Tłumaczenie dokumentacji strona

jest obowiązana wykonać na własny koszt.

W celu realizacji swoich zadań Prezes Urzędu ma prawo dostępu do informacji objętych

tajemnicą prawnie chronioną, chyba że przepisy szczególne stanowią inaczej.

1.

Strona może zastrzec informacje, dokumenty lub ich części zawierające tajemnicę przedsiębiorstwa,

przedstawiane Prezesowi Urzędu. W takim przypadku strona jest obowiązana przedstawić

Prezesowi Urzędu również wersję dokumentu niezawierającą informacji objętych zastrzeżeniem.

2.

W przypadku nieprzedstawienia wersji dokumentu niezawierającej informacji objętych

zastrzeżeniem, zastrzeżenie uważa się za nieskuteczne.

3.

Prezes Urzędu może uchylić zastrzeżenie, w drodze decyzji, jeżeli uzna, że informacje,

dokumenty lub ich części nie spełniają przesłanek do objęcia ich tajemnicą przedsiębiorstwa.

4.

W przypadku ustawowego obowiązku przekazania informacji lub dokumentów otrzymanych

od przedsiębiorców innym krajowym lub zagranicznym organom lub instytucjom, informacje

i dokumenty przekazuje się wraz z zastrzeżeniem i pod warunkiem jego przestrzegania.

Prezes Urzędu wydaje postanowienie, o którym mowa w art. 74 § 2 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego, również w przypadku, gdy udostępnienie informacji i dokumentów, o których mowa w

art. 65 ust. 1, grozi ujawnieniem tajemnic prawnie chronionych albo ujawnieniem tajemnicy

przedsiębiorstwa, jeżeli o ograniczenie wglądu do akt dla stron postępowania wnosi

przedsiębiorca, od którego informacja pochodzi.

Jeżeli liczba stron w postępowaniu przekracza 20, Prezes Urzędu może zastosować przepis

art. 49 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego.

1.

Jeżeli w toku postępowania zajdzie konieczność uzupełnienia dowodów, Prezes Urzędu

może przeprowadzić postępowanie kontrolne.

2.

Okresu postępowania kontrolnego nie wlicza się do terminów, o których mowa w art. 35 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego.

1.

W przypadku, o którym mowa w art. 88 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego, Prezes Urzędu wymierza karę grzywny w wysokości od 500 złotych do 5000 złotych.

2.

Wymierzając karę grzywny, Prezes Urzędu bierze pod uwagę

1)

w przypadku osoby fizycznej - sytuację osobistą wezwanego i stopień zrozumienia powagi

ciążących na nim obowiązków wynikających z wezwania lub

2)

potrzebę dostosowania wysokości kary grzywny do celu, jakim jest przymuszenie wezwanego

do zadośćuczynienia wezwaniu.

3.

Kara grzywny, o której mowa w ust. 1, może być nałożona także w przypadku, gdy strona

odmówiła przedstawienia tłumaczenia na język polski dokumentacji sporządzonej w języku

obcym.

1.

Jeżeli w toku postępowania zostanie uprawdopodobnione, że przetwarzanie danych osobowych

narusza przepisy o ochronie danych osobowych, a dalsze ich przetwarzanie może spowodować

poważne i trudne do usunięcia skutki, Prezes Urzędu, w celu zapobieżenia tym skutkom,

może, w drodze postanowienia, zobowiązać podmiot, któremu jest zarzucane naruszenie

przepisów o ochronie danych osobowych, do ograniczenia przetwarzania danych osobowych,

wskazując dopuszczalny zakres tego przetwarzania.

2.

W postanowieniu, o którym mowa w ust. 1, Prezes Urzędu określa termin obowiązywania

ograniczenia przetwarzania danych osobowych nie dłuższy niż do dnia wydania decyzji

kończącej postępowanie w sprawie.

3.

Na postanowienie, o którym mowa w ust. 1, służy skarga do sądu administracyjnego.

1.

Jeżeli w toku postępowania Prezes Urzędu uzna, że istnieją uzasadnione wątpliwości

co do zgodności z prawem Unii Europejskiej decyzji Komisji Europejskiej, o której

mowa w art. 40 ust. 9 w sprawie kodeksu postępowania, o którym mowa w art. 46 ust.

2 lit. e, oraz decyzji, o której mowa w art. 45 ust. 3 i 5 i art. 46 ust. 2 lit. c

rozporządzenia 2016/679, Prezes Urzędu występuje do sądu administracyjnego z wnioskiem

o wystąpienie z pytaniem prawnym na podstawie art. 267 Traktatu o funkcjonowaniu Unii

Europejskiej w sprawie ważności decyzji Komisji Europejskiej.

2.

Wniosek, o którym mowa w ust. 1, poza spełnianiem wymagań dotyczących skargi, o których

mowa w art. 64 § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami

administracyjnymi

(Dz. U. z 2017 r. poz. 1369, 1370 i 2451 oraz z 2018 r. poz. 650), zawiera w szczególności

1)

wskazanie decyzji Komisji Europejskiej, której wniosek dotyczy;

2)

omówienie powodów, dla których Prezes Urzędu powziął wątpliwości w kwestii ważności

decyzji Komisji Europejskiej i jej niezgodności z przepisami prawa;

3)

treść pytania lub pytań, które sąd administracyjny przedstawia Trybunałowi Sprawiedliwości

Unii Europejskiej, zawierającą

a)

przedmiot sporu oraz ustalenia co do okoliczności faktycznych, w tym stanowisko strony

podniesione w postępowaniu przed organem, jeżeli zostało przedstawione przez stronę,

b)

wskazanie przepisów prawa mających zastosowanie w sprawie,

c)

proponowaną do przedstawienia Trybunałowi Sprawiedliwości Unii Europejskiej przez

sąd administracyjny sentencję pytania lub pytań;

4)

oświadczenie o zgodności treści załącznika, o którym mowa w ust. 3, z wnioskiem złożonym

w postaci papierowej.

3.

Do wniosku, o którym mowa w ust. 1, dołącza się załącznik zawierający treść wniosku

w formie dokumentu elektronicznego zapisanego na informatycznym nośniku danych w formacie

danych pozwalającym na edycję jego treści.

4.

Stroną postępowania przed sądem administracyjnym w sprawie wniosku, o którym mowa

w ust. 1, jest Prezes Urzędu.

5.

Sąd administracyjny rozpoznaje wniosek, o którym mowa w ust. 1, na posiedzeniu niejawnym,

w składzie 3 sędziów.

6.

Sąd administracyjny, uznając wniosek, o którym mowa w ust. 1, za uzasadniony, występuje

do Trybunału Sprawiedliwości Unii Europejskiej z pytaniem prejudycjalnym na podstawie

art. 267 Traktatu o funkcjonowaniu Unii Europejskiej.

7.

W przypadku uznania przez sąd administracyjny, że wniosek, o którym mowa w ust. 1,

nie zawiera wystarczającego uzasadnienia dla wystąpienia z pytaniem prejudycjalnym

do Trybunału Sprawiedliwości Unii Europejskiej, wydaje się postanowienie o odmowie

wystąpienia z pytaniem.

8.

Na postanowienie, o którym mowa w ust. 7, nie służy środek odwoławczy.

9.

Sąd administracyjny sporządza uzasadnienie postanowienia, o którym mowa w ust. 7,

w terminie 21 dni.

10.

Od wniosku, o którym mowa w ust. 1, nie pobiera się opłaty sądowej.

W działalności Instytutu Pamięci określonej w art. 1 przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.

w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w

sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne

rozporządzenie o ochronie danych)

(Dz. Urz. UE L 119 z 04.05.2016, str. 1) stosuje się do prowadzenia Bazy.

W uzasadnieniu decyzji kończącej postępowanie w sprawie wskazuje się dodatkowo przesłanki

określone w art. 83 ust. 2 rozporządzenia 2016/679, na których Prezes Urzędu oparł

się, nakładając administracyjną karę pieniężną oraz ustalając jej wysokość.

1.

Prezes Urzędu, jeżeli uzna, że przemawia za tym interes publiczny, po zakończeniu

postępowania informuje o wydaniu decyzji na swojej stronie podmiotowej w Biuletynie

Informacji Publicznej.

2.

Jednostki sektora finansów publicznych, instytuty badawcze oraz Narodowy Bank Polski,

w stosunku do których Prezes Urzędu wydał prawomocną decyzję stwierdzającą naruszenie,

niezwłocznie podają do publicznej wiadomości na swojej stronie internetowej lub stronie

podmiotowej w Biuletynie Informacji Publicznej, informację o działaniach podjętych

w celu wykonania decyzji.

Wniesienie przez stronę skargi do sądu administracyjnego wstrzymuje wykonanie decyzji

w zakresie administracyjnej kary pieniężnej.

1.

W przypadkach, o których mowa w art. 61 ust. 8, art. 62 ust. 7 i art. 66 ust. 1 rozporządzenia

2016/679, Prezes Urzędu może wydać postanowienie o zastosowaniu środka tymczasowego,

o którym mowa w art. 70 ust. 1.

2.

W postanowieniu Prezes Urzędu określa termin obowiązywania środka tymczasowego, o

którym mowa w art. 70 ust. 1, nie dłuższy niż 3 miesiące.

3.

Na postanowienie służy skarga do sądu administracyjnego.

Wszelkie informacje kierowane przez Prezesa Urzędu do organów nadzorczych innych państw

członkowskich w ramach europejskiej współpracy administracyjnej podlegają tłumaczeniu

na jeden z języków urzędowych tego państwa członkowskiego lub na język angielski.

W przypadku otrzymania przez Prezesa Urzędu wniosku organu nadzorczego innego państwa

członkowskiego Unii Europejskiej dotyczącego uczestnictwa we wspólnej operacji, o

której mowa w art. 62 ust. 1 rozporządzenia 2016/679, albo wystąpienia przez Prezesa

Urzędu z takim wnioskiem, Prezes Urzędu dokonuje z organem nadzorczym innego państwa

członkowskiego Unii Europejskiej ustaleń dotyczących wspólnej operacji i niezwłocznie

sporządza wykaz ustaleń.

1.

Prezes Urzędu przeprowadza kontrolę przestrzegania przepisów o ochronie danych osobowych.

2.

Kontrolę prowadzi się zgodnie z zatwierdzonym przez Prezesa Urzędu planem kontroli

lub na podstawie uzyskanych przez Prezesa Urzędu informacji lub w ramach monitorowania

przestrzegania stosowania rozporządzenia 2016/679.

1.

Kontrolę przeprowadza upoważniony przez Prezesa Urzędu

1)

pracownik Urzędu,

2)

członek lub pracownik organu nadzorczego państwa członkowskiego Unii Europejskiej

w przypadku, o którym mowa w art. 62 rozporządzenia 2016/679

- zwany dalej „kontrolującym”.

2.

Kontrolujący, o którym mowa w ust. 1 pkt 2, jest obowiązany do zachowania w tajemnicy

informacji, o których dowiedział się w toku kontroli.

1.

Kontrolujący podlega wyłączeniu z udziału w kontroli, na wniosek lub z urzędu, jeżeli

1)

wyniki kontroli mogłyby oddziaływać na prawa lub obowiązki jego, jego małżonka, osoby

pozostającej z nim faktycznie we wspólnym pożyciu, krewnego i powinowatego do drugiego

stopnia albo na osoby związanej z nim z tytułu przysposobienia, opieki albo kurateli;

2)

zachodzą uzasadnione wątpliwości co do jego bezstronności.

2.

Powody wyłączenia, o których mowa w ust. 1 pkt 1, trwają także po ustaniu małżeństwa,

przysposobienia, opieki lub kurateli.

3.

O przyczynach powodujących wyłączenie kontrolujący lub podmiot objęty kontrolą, zwany

dalej „kontrolowanym”, niezwłocznie zawiadamia Prezesa Urzędu.

4.

O wyłączeniu kontrolującego rozstrzyga Prezes Urzędu.

5.

Do czasu wydania postanowienia kontrolujący podejmuje czynności niecierpiące zwłoki.

1.

Kontrolę przeprowadza się po okazaniu imiennego upoważnienia wraz z legitymacją służbową,

a w przypadku kontrolującego, o którym mowa w art. 79 ust. 1 pkt 2, po okazaniu imiennego

upoważnienia wraz z dokumentem potwierdzającym tożsamość.

2.

Imienne upoważnienie do przeprowadzenia kontroli zawiera

1)

wskazanie podstawy prawnej przeprowadzenia kontroli;

2)

oznaczenie organu;

3)

imię i nazwisko, stanowisko służbowe kontrolującego oraz numer legitymacji służbowej,

a w przypadku kontrolującego, o którym mowa w art. 79 ust. 1 pkt 2, imię i nazwisko

oraz numer dokumentu potwierdzającego tożsamość;

4)

określenie zakresu przedmiotowego kontroli;

5)

oznaczenie kontrolowanego;

6)

wskazanie daty rozpoczęcia i przewidywanego terminu zakończenia czynności kontrolnych;

7)

podpis Prezesa Urzędu;

8)

pouczenie kontrolowanego o jego prawach i obowiązkach;

9)

datę i miejsce jego wystawienia.

1.

Prezes Urzędu może upoważnić do udziału w kontroli osobę posiadającą wiedzę specjalistyczną,

jeżeli przeprowadzenie czynności kontrolnych wymaga takiej wiedzy. Przepisy art. 80

i art. 81 ust. 2 stosuje się.

2.

Zakres uprawnień osoby, o której mowa w ust. 1, Prezes Urzędu określa w upoważnieniu.

3.

Osoba, o której mowa w ust. 1, jest obowiązana do zachowania w tajemnicy informacji,

o których dowiedziała się w toku kontroli.

1.

Czynności kontrolnych dokonuje się w obecności kontrolowanego lub osoby przez niego

upoważnionej.

2.

Kontrolowany jest obowiązany do pisemnego wskazania osoby upoważnionej do reprezentowania

go w trakcie kontroli.

3.

W razie nieobecności kontrolowanego lub osoby przez niego upoważnionej, upoważnienie

do przeprowadzenia kontroli oraz legitymacja służbowa lub dokument potwierdzający

tożsamość mogą być okazane

1)

osobie czynnej w lokalu przedsiębiorstwa w rozumieniu art. 97 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny

(Dz. U. z 2017 r. poz. 459, 933 i 1132 oraz z 2018 r. poz. 398 i 650) lub

2)

przywołanemu świadkowi, jeżeli jest funkcjonariuszem publicznym w rozumieniu art. 115 § 13 ustawy z dnia 6 czerwca 1997 r. - Kodeks karny

(Dz. U. z 2017 r. poz. 2204 oraz z 2018 r. poz. 20, 305 i 663), niebędącemu pracownikiem Urzędu albo osobą, o której mowa w art. 80 ust. 1.

1.

Kontrolujący ma prawo

1)

wstępu w godzinach od 6

2)

wglądu do dokumentów i informacji mających bezpośredni związek z zakresem przedmiotowym

kontroli;

3)

przeprowadzania oględzin miejsc, przedmiotów, urządzeń, nośników oraz systemów informatycznych

lub teleinformatycznych służących do przetwarzania danych;

4)

żądać złożenia pisemnych lub ustnych wyjaśnień oraz przesłuchiwać w charakterze świadka

osoby w zakresie niezbędnym do ustalenia stanu faktycznego;

5)

zlecać sporządzanie ekspertyz i opinii.

2.

Kontrolowany zapewnia kontrolującemu oraz osobom upoważnionym do udziału w kontroli

warunki i środki niezbędne do sprawnego przeprowadzenia kontroli, a w szczególności

sporządza we własnym zakresie kopie lub wydruki dokumentów oraz informacji zgromadzonych

na nośnikach, w urządzeniach lub systemach, o których mowa w ust. 1 pkt 3.

3.

Kontrolowany dokonuje potwierdzenia za zgodność z oryginałem sporządzonych kopii lub

wydruków, o których mowa w ust. 2. W przypadku odmowy potwierdzenia za zgodność z

oryginałem kontrolujący czyni o tym wzmiankę w protokole kontroli.

4.

W uzasadnionych przypadkach przebieg kontroli lub poszczególne czynności w jej toku,

po uprzednim poinformowaniu kontrolowanego, mogą być utrwalane przy pomocy urządzeń

rejestrujących obraz lub dźwięk. Informatyczne nośniki danych w rozumieniu ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących

zadania publiczne

(Dz. U. z 2017 r. poz. 570 oraz z 2018 r. poz. 1000), na których zarejestrowano przebieg kontroli lub poszczególne czynności w jej toku,

stanowią załącznik do protokołu kontroli.

1.

Prezes Urzędu lub kontrolujący może zwrócić się do właściwego miejscowo komendanta

Policji o pomoc, jeżeli jest to niezbędne do wykonywania czynności kontrolnych.

2.

Policja udziela pomocy przy wykonywaniu czynności kontrolnych, po otrzymaniu pisemnego

wezwania na co najmniej 7 dni przed terminem tych czynności.

3.

W pilnych przypadkach, w szczególności gdy kontrolujący trafi na opór uniemożliwiający

lub utrudniający wykonywanie czynności kontrolnych, udzielenie pomocy następuje również

na ustne wezwanie Prezesa Urzędu lub kontrolującego, po okazaniu imiennego upoważnienia

do przeprowadzenia kontroli oraz legitymacji służbowej kontrolującego.

4.

W przypadku, o którym mowa w ust. 3, Prezes Urzędu przekazuje potwierdzenie wezwania

na piśmie, nie później niż w terminie 3 dni po zakończeniu czynności kontrolnych.

5.

Udzielenie pomocy Policji przy wykonywaniu czynności kontrolnych polega na zapewnieniu

kontrolującemu bezpieczeństwa osobistego oraz dostępu do miejsca wykonywania kontroli

i porządku w tym miejscu.

6.

Policja, udzielając pomocy kontrolującemu przy wykonywaniu czynności kontrolnych,

zapewnia bezpieczeństwo również innym osobom uczestniczącym przy wykonywaniu czynności

kontrolnych, mając w szczególności na względzie poszanowanie godności osób biorących

udział w kontroli.

7.

Koszty poniesione przez Policję z tytułu udzielonej pomocy przy wykonywaniu czynności

kontrolnych rozlicza się według stawki zryczałtowanej w wysokości 1,5% przeciętnego

miesięcznego wynagrodzenia w sektorze przedsiębiorstw bez wypłat nagród z zysku w

czwartym kwartale roku poprzedniego, ogłaszanego przez Prezesa Głównego Urzędu Statystycznego

na podstawie art. 7 ust. 1 ustawy z dnia 17 lipca 1998 r. o pożyczkach i kredytach studenckich

(Dz. U. z 2017 r. poz. 357).

1.

Kontrolujący może przesłuchać pracownika kontrolowanego w charakterze świadka.

2.

Za pracownika kontrolowanego uznaje się osobę zatrudnioną na podstawie stosunku pracy

lub wykonującą pracę na podstawie umowy cywilnoprawnej.

3.

Do przesłuchania pracownika kontrolowanego stosuje się przepis art. 83 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego.

Kontrolujący ustala stan faktyczny na podstawie dowodów zebranych w postępowaniu kontrolnym,

a w szczególności dokumentów, przedmiotów, oględzin oraz ustnych lub pisemnych wyjaśnień

i oświadczeń.

1.

Przebieg czynności kontrolnych kontrolujący przedstawia w protokole kontroli.

2.

Protokół kontroli zawiera

1)

wskazanie nazwy albo imienia i nazwiska oraz adresu kontrolowanego;

2)

imię i nazwisko osoby reprezentującej kontrolowanego oraz nazwę organu reprezentującego

kontrolowanego;

3)

imię i nazwisko, stanowisko służbowe, numer legitymacji służbowej oraz numer imiennego

upoważnienia kontrolującego, a w przypadku kontrolującego, o którym mowa w art. 79

ust. 1 pkt 2, imię i nazwisko, numer dokumentu potwierdzającego tożsamość oraz numer

imiennego upoważnienia;

4)

datę rozpoczęcia i zakończenia czynności kontrolnych;

5)

określenie zakresu przedmiotowego kontroli;

6)

opis stanu faktycznego ustalonego w toku kontroli oraz inne informacje mające istotne

znaczenie dla oceny zgodności przetwarzania danych z przepisami o ochronie danych

osobowych;

7)

wyszczególnienie załączników;

8)

omówienie dokonanych w protokole kontroli poprawek, skreśleń i uzupełnień;

9)

pouczenie kontrolowanego o prawie zgłaszania zastrzeżeń do protokołu kontroli oraz

o prawie odmowy podpisania protokołu kontroli;

10)

datę i miejsce podpisania protokołu kontroli przez kontrolującego i kontrolowanego.

3.

Protokół kontroli podpisuje kontrolujący i przekazuje kontrolowanemu w celu podpisania.

4.

Kontrolowany w terminie 7 dni od dnia przedstawienia protokołu kontroli do podpisu

podpisuje go albo składa pisemne zastrzeżenia do jego treści.

5.

W przypadku złożenia zastrzeżeń, kontrolujący dokonuje ich analizy i, w razie potrzeby,

podejmuje dodatkowe czynności kontrolne, a w przypadku stwierdzenia zasadności zastrzeżeń

zmienia lub uzupełnia odpowiednią część protokołu kontroli w formie aneksu do protokołu

kontroli.

6.

W razie nieuwzględnienia zastrzeżeń w całości albo części, kontrolujący przekazuje

kontrolowanemu informacje o tym wraz z uzasadnieniem.

7.

Brak doręczenia kontrolującemu podpisanego protokołu kontroli i niezgłoszenie zastrzeżeń

do jego treści w terminie, o którym mowa w ust. 4, uznaje się za odmowę podpisania

protokołu kontroli.

8.

O odmowie podpisania protokołu kontroli kontrolujący czyni wzmiankę w tym protokole,

zawierającą datę jej dokonania. W przypadku, o którym mowa w ust. 7, wzmianki dokonuje

się po upływie terminu, o którym mowa w ust. 4.

9.

Protokół kontroli sporządza się w postaci elektronicznej albo w postaci papierowej

w dwóch egzemplarzach. Protokół kontroli kontrolujący doręcza kontrolowanemu.

1.

Kontrolę prowadzi się nie dłużej niż 30 dni od dnia okazania kontrolowanemu lub innej

osobie wskazanej w przepisach imiennego upoważnienia do przeprowadzenia kontroli oraz

legitymacji służbowej lub innego dokumentu potwierdzającego tożsamość. Do terminu

nie wlicza się terminów przewidzianych na zgłoszenie zastrzeżeń do protokołu kontroli

lub podpisanie i doręczenie protokołu kontroli przez kontrolowanego.

2.

Terminem zakończenia kontroli jest dzień podpisania protokołu kontroli przez kontrolowanego

albo dzień dokonania wzmianki, o której mowa w art. 88 ust. 8.

Jeżeli na podstawie informacji zgromadzonych w postępowaniu kontrolnym Prezes Urzędu

uzna, że mogło dojść do naruszenia przepisów o ochronie danych osobowych, obowiązany

jest do niezwłocznego wszczęcia postępowania, o którym mowa w art. 60.

Przepisy art. 63-65 stosuje się odpowiednio.

W zakresie nieuregulowanym rozporządzeniem 2016/679, do roszczeń z tytułu naruszenia

przepisów o ochronie danych osobowych, o których mowa w art. 79 i art. 82 tego rozporządzenia,

stosuje się przepisy ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny.

W sprawach o roszczenia z tytułu naruszenia przepisów o ochronie danych osobowych,

o których mowa w art. 79 i art. 82 rozporządzenia 2016/679, właściwy jest sąd okręgowy.

1.

O wniesieniu pozwu oraz prawomocnym orzeczeniu kończącym postępowanie w sprawie o

roszczenie z tytułu naruszenia przepisów o ochronie danych osobowych, o którym mowa

w art. 79 lub art. 82 rozporządzenia 2016/679, sąd zawiadamia niezwłocznie Prezesa

Urzędu.

2.

Prezes Urzędu zawiadomiony o toczącym się postępowaniu niezwłocznie informuje sąd

o każdej sprawie dotyczącej tego samego naruszenia przepisów o ochronie danych osobowych,

która toczy się przed Prezesem Urzędu lub sądem administracyjnym albo została zakończona.

Prezes Urzędu niezwłocznie informuje sąd również o wszczęciu każdego postępowania

w sprawie dotyczącej tego samego naruszenia.

Sąd zawiesza postępowanie, jeżeli sprawa dotycząca tego samego naruszenia przepisów

o ochronie danych osobowych została wszczęta przed Prezesem Urzędu.

Sąd umarza postępowanie w zakresie, w jakim prawomocna decyzja Prezesa Urzędu o stwierdzeniu

naruszenia przepisów o ochronie danych osobowych lub prawomocny wyrok wydany w wyniku

wniesienia skargi, o której mowa w art. 145a § 3 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami

administracyjnymi, uwzględnia roszczenie dochodzone przed sądem.

Ustalenia prawomocnej decyzji Prezesa Urzędu o stwierdzeniu naruszenia przepisów o

ochronie danych osobowych lub prawomocnego wyroku wydanego w wyniku wniesienia skargi,

o której mowa w art. 145a § 3 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami

administracyjnymi, wiążą sąd w postępowaniu o naprawienie szkody wyrządzonej przez naruszenie przepisów

o ochronie danych osobowych co do stwierdzenia naruszenia tych przepisów.

1.

W sprawach o roszczenia z tytułu naruszenia przepisów o ochronie danych osobowych,

które mogą być dochodzone wyłącznie w postępowaniu przed sądem, Prezes Urzędu może

wytaczać powództwa na rzecz osoby, której dane dotyczą, za jej zgodą, a także wstępować,

za zgodą powoda, do postępowania w każdym jego stadium.

2.

W pozostałych sprawach o roszczenia z tytułu naruszenia przepisów o ochronie danych

osobowych Prezes Urzędu może wstępować, za zgodą powoda, do postępowania przed sądem

w każdym jego stadium, chyba że toczy się przed nim postępowanie dotyczące tego samego

naruszenia przepisów o ochronie danych osobowych.

3.

W przypadkach, o których mowa w ust. 1 i 2, do Prezesa Urzędu stosuje się odpowiednio

przepisy ustawy z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego

(Dz. U. z 2018 r. poz. 155, z późn. zm. o prokuratorze.

Prezes Urzędu, jeżeli uzna, że przemawia za tym interes publiczny, przedstawia sądowi

istotny dla sprawy pogląd w sprawie o roszczenie z tytułu naruszenia przepisów o ochronie

danych osobowych.

Do postępowania w sprawie o roszczenie z tytułu naruszenia przepisów o ochronie danych

osobowych, o których mowa w art. 79 i art. 82 rozporządzenia 2016/679, w zakresie

nieuregulowanym niniejszą ustawą stosuje się przepisy ustawy z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego.

Prezes Urzędu może nałożyć na podmiot obowiązany do przestrzegania przepisów rozporządzenia

2016/679, inny niż

1)

jednostka sektora finansów publicznych,

2)

instytut badawczy,

3)

Narodowy Bank Polski

- w drodze decyzji, administracyjną karę pieniężną na podstawie i na warunkach określonych

w art. 83 rozporządzenia 2016/679.

1.

Prezes Urzędu może nałożyć, w drodze decyzji, administracyjne kary pieniężne w wysokości

do 100 000 złotych, na

1)

jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 1-12 i 14 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych;

2)

instytut badawczy;

3)

Narodowy Bank Polski.

2.

Prezes Urzędu może nałożyć, w drodze decyzji, administracyjne kary pieniężne w wysokości

do 10 000 złotych na jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 13 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych.

3.

Administracyjne kary pieniężne, o których mowa w ust. 1 i 2, Prezes Urzędu nakłada

na podstawie i na warunkach określonych w art. 83 rozporządzenia 2016/679.

Równowartość wyrażonych w euro kwot, o których mowa w art. 83 rozporządzenia 2016/679,

oblicza się w złotych według średniego kursu euro ogłaszanego przez Narodowy Bank

Polski w tabeli kursów na dzień 28 stycznia każdego roku, a w przypadku gdy w danym

roku Narodowy Bank Polski nie ogłasza średniego kursu euro w dniu 28 stycznia - według

średniego kursu euro ogłoszonego w najbliższej po tej dacie tabeli kursów Narodowego

Banku Polskiego.

Środki z administracyjnej kary pieniężnej stanowią dochód budżetu państwa.

1.

Administracyjną karę pieniężną uiszcza się w terminie 14 dni od dnia upływu terminu

na wniesienie skargi, albo od dnia uprawomocnienia się orzeczenia sądu administracyjnego.

2.

Prezes Urzędu może, na wniosek podmiotu ukaranego, odroczyć termin uiszczenia administracyjnej

kary pieniężnej albo rozłożyć ją na raty, ze względu na ważny interes wnioskodawcy.

3.

Do wniosku, o którym mowa w ust. 2, dołącza się uzasadnienie.

4.

W przypadku odroczenia terminu uiszczenia administracyjnej kary pieniężnej albo rozłożenia

jej na raty, Prezes Urzędu nalicza od nieuiszczonej kwoty odsetki w stosunku rocznym,

przy zastosowaniu obniżonej stawki odsetek za zwłokę, ogłaszanej na podstawie art. 56d ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa

(Dz. U. z 2018 r. poz. 800, 650, 723, 771 i 1000), od dnia następującego po dniu złożenia wniosku.

5.

W przypadku rozłożenia administracyjnej kary pieniężnej na raty, odsetki, o których

mowa w ust. 4, są naliczane odrębnie dla każdej raty.

6.

W przypadku niedotrzymania odroczonego terminu uiszczenia administracyjnej kary pieniężnej

albo terminu uiszczenia jej rat, odsetki są naliczane za okres od dnia upływu odroczonego

terminu uiszczenia kary albo terminu uiszczenia poszczególnych rat.

7.

Prezes Urzędu może uchylić odroczenie terminu uiszczenia administracyjnej kary pieniężnej

albo rozłożenie jej na raty, jeżeli ujawniły się nowe lub uprzednio nieznane okoliczności

istotne dla rozstrzygnięcia lub jeżeli rata nie została uiszczona w terminie.

8.

Rozstrzygnięcie Prezesa Urzędu w przedmiocie odroczenia terminu uiszczenia administracyjnej

kary pieniężnej albo rozłożenia jej na raty następuje w drodze postanowienia.

9.

Prezes Urzędu, na wniosek podmiotu ukaranego prowadzącego działalność gospodarczą,

może udzielić ulgi w wykonaniu administracyjnej kary pieniężnej określonej w ust.

2, która

1)

nie stanowi pomocy publicznej;

2)

stanowi pomoc de minimis albo pomoc de minimis w rolnictwie lub rybołówstwie - w zakresie i na zasadach określonych w bezpośrednio

obowiązujących przepisach prawa Unii Europejskiej dotyczących pomocy w ramach zasady

de minimis ;

3)

stanowi pomoc publiczną zgodną z zasadami rynku wewnętrznego Unii Europejskiej, której

dopuszczalność została określona przez właściwe organy Unii Europejskiej.

Przepisów art. 189d-189f i art. 189k ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania

administracyjnego nie stosuje się.

1.

Kto przetwarza dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do

ich przetwarzania nie jest uprawniony,

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat dwóch.

2.

Jeżeli czyn określony w ust. 1 dotyczy danych ujawniających pochodzenie rasowe lub

etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność

do związków zawodowych, danych genetycznych, danych biometrycznych przetwarzanych

w celu jednoznacznego zidentyfikowania osoby fizycznej, danych dotyczących zdrowia,

seksualności lub orientacji seksualnej,

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat trzech.

Kto udaremnia lub utrudnia kontrolującemu prowadzenie kontroli przestrzegania przepisów

o ochronie danych osobowych,

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat dwóch.

1.

Jeżeli jest to niezbędne do zapewnienia bezpieczeństwa uczniów i pracowników lub ochrony

mienia dyrektor szkoły lub placówki, w uzgodnieniu z organem prowadzącym szkołę lub

placówkę oraz po przeprowadzeniu konsultacji z radą pedagogiczną, radą rodziców i

samorządem uczniowskim, może wprowadzić szczególny nadzór nad pomieszczeniami szkoły

lub placówki lub terenem wokół szkoły lub placówki w postaci środków technicznych

umożliwiających rejestrację obrazu (monitoring).

2.

Monitoring nie powinien stanowić środka nadzoru nad jakością wykonywania pracy przez

pracowników szkoły lub placówki.

3.

Monitoring nie obejmuje pomieszczeń, w których odbywają się zajęcia dydaktyczne, wychowawcze

i opiekuńcze, pomieszczeń, w których uczniom jest udzielana pomoc psychologiczno-pedagogiczna,

pomieszczeń przeznaczonych do odpoczynku i rekreacji pracowników, pomieszczeń sanitarnohigienicznych,

gabinetu profilaktyki zdrowotnej, szatni i przebieralni, chyba że stosowanie monitoringu

w tych pomieszczeniach jest niezbędne ze względu na istniejące zagrożenie dla realizacji

celu określonego w ust. 1 i nie naruszy to godności oraz innych dóbr osobistych uczniów,

pracowników i innych osób, w szczególności zostaną zastosowane techniki uniemożliwiające

rozpoznanie przebywających w tych pomieszczeniach osób.

4.

Nagrania obrazu zawierające dane osobowe uczniów, pracowników i innych osób, których

w wyniku tych nagrań można zidentyfikować, szkoła lub placówka przetwarza wyłącznie

do celów, dla których zostały zebrane, i przechowuje przez okres nie dłuższy niż 3

miesiące od dnia nagrania.

5.

Po upływie okresu, o którym mowa w ust. 4, uzyskane w wyniku monitoringu nagrania

obrazu zawierające dane osobowe uczniów, pracowników i innych osób, których w wyniku

tych nagrań można zidentyfikować, podlegają zniszczeniu, o ile przepisy odrębne nie

stanowią inaczej.

6.

Dyrektor szkoły lub placówki informuje uczniów i pracowników szkoły lub placówki o

wprowadzeniu monitoringu, w sposób przyjęty w danej szkole lub placówce, nie później

niż 14 dni przed uruchomieniem monitoringu.

7.

Dyrektor szkoły lub placówki przed dopuszczeniem osoby do wykonywania obowiązków służbowych

informuje ją na piśmie o stosowaniu monitoringu.

8.

W przypadku wprowadzenia monitoringu dyrektor szkoły lub placówki oznacza pomieszczenia

i teren monitorowany w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub

ogłoszeń dźwiękowych, nie później niż dzień przed jego uruchomieniem.

9.

Dyrektor szkoły lub placówki uzgadnia z organem prowadzącym szkołę lub placówkę odpowiednie

środki techniczne i organizacyjne w celu ochrony przechowywanych nagrań obrazu oraz

danych osobowych uczniów, pracowników i innych osób, których w wyniku tych nagrań

można zidentyfikować, uzyskanych w wyniku monitoringu.

W ustawie z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego

(Dz. U. z 2018 r. poz. 155, z późn. zm. w art. 17 w pkt 4

„

4

o roszczenia wynikające z naruszenia praw przysługujących na mocy przepisów o ochronie

danych osobowych.

”

.

W ustawie z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji

(Dz. U. z 2017 r. poz. 1201, 1475, 1954 i 2491 oraz z 2018 r. poz. 138 i 398) wprowadza się następujące zmiany

1)

użyte w art. 2 w § 1 w pkt 12 i w art. 20 w § 2 w różnym przypadku wyrazy „Generalny Inspektor Ochrony Danych Osobowych” zastępuje się użytymi w odpowiednim przypadku wyrazami „Prezes Urzędu Ochrony Danych Osobowych”;

2)

w art. 18i § 12 otrzymuje brzmienie

„

§ 12.

Postępowanie w sprawie sprzeciwu nie wyłącza odpowiedzialności za naruszenie obowiązków

wynikających z przepisów o ochronie danych osobowych.

”

.

W ustawie z dnia 26 czerwca 1974 r. - Kodeks pracy

(Dz. U. z 2018 r. poz. 917) po art. 22

„

Art. 22

§ 1.

Jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pracowników lub ochrony mienia

lub kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby

narazić pracodawcę na szkodę, pracodawca może wprowadzić szczególny nadzór nad terenem

zakładu pracy lub terenem wokół zakładu pracy w postaci środków technicznych umożliwiających

rejestrację obrazu (monitoring).

§ 2.

Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek oraz palarni lub

pomieszczeń udostępnianych zakładowej organizacji związkowej, chyba że stosowanie

monitoringu w tych pomieszczeniach jest niezbędne do realizacji celu określonego w

§ 1 i nie naruszy to godności oraz innych dóbr osobistych pracownika, a także zasady

wolności i niezależności związków zawodowych, w szczególności poprzez zastosowanie

technik uniemożliwiających rozpoznanie przebywających w tych pomieszczeniach osób.

§ 3.

Nagrania obrazu pracodawca przetwarza wyłącznie do celów, dla których zostały zebrane,

i przechowuje przez okres nieprzekraczający 3 miesięcy od dnia nagrania.

§ 4.

W przypadku, w którym nagrania obrazu stanowią dowód w postępowaniu prowadzonym na

podstawie prawa lub pracodawca powziął wiadomość, iż mogą one stanowić dowód w postępowaniu,

termin określony w § 3 ulega przedłużeniu do czasu prawomocnego zakończenia postępowania.

§ 5.

Po upływie okresów, o których mowa w § 3 lub 4, uzyskane w wyniku monitoringu nagrania

obrazu zawierające dane osobowe podlegają zniszczeniu, o ile przepisy odrębne nie

stanowią inaczej.

§ 6.

Cele, zakres oraz sposób zastosowania monitoringu ustala się w układzie zbiorowym

pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty

układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy.

§ 7.

Pracodawca informuje pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego

pracodawcy, nie później niż 2 tygodnie przed jego uruchomieniem.

§ 8.

Pracodawca przed dopuszczeniem pracownika do pracy przekazuje mu na piśmie informacje,

o których mowa w § 6.

§ 9.

W przypadku wprowadzenia monitoringu pracodawca oznacza pomieszczenia i teren monitorowany

w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych,

nie później niż jeden dzień przed jego uruchomieniem.

§ 10.

Przepis § 9 nie narusza przepisów art. 12 i art. 13 rozporządzenia Parlamentu Europejskiego

i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych

w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich

danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)

(Dz. Urz. UE L 119 z 04.05.2016, str. 1).

Art. 22

§ 1.

Jeżeli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie

czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy,

pracodawca może wprowadzić kontrolę służbowej poczty elektronicznej pracownika (monitoring

poczty elektronicznej).

§ 2.

Monitoring poczty elektronicznej nie może naruszać tajemnicy korespondencji oraz innych

dóbr osobistych pracownika.

§ 3.

Przepisy art. 22

§ 4.

Przepisy § 1-3 stosuje się odpowiednio do innych form monitoringu niż określone w

§ 1, jeśli ich zastosowanie jest konieczne do realizacji celów określonych w § 1.

”

.

W ustawie z dnia 31 lipca 1981 r. o wynagrodzeniu osób zajmujących kierownicze stanowiska

państwowe

(Dz. U. z 2017 r. poz. 1998 oraz z 2018 r. poz. 650) użyte w art. 2 w pkt 2 i 4 wyrazy „Generalnego Inspektora Ochrony Danych Osobowych” zastępuje się wyrazami „Prezesa Urzędu Ochrony Danych Osobowych”.

W ustawie z dnia 16 września 1982 r. o pracownikach urzędów państwowych

(Dz. U. z 2017 r. poz. 2142 i 2203 oraz z 2018 r. poz. 106 i 650) użyte w art. 1 w ust. 1 w pkt 13, w art. 36 w ust. 5 w pkt 1 oraz art. 48 w ust.

2, w różnym przypadku, wyrazy „Biuro Generalnego Inspektora Ochrony Danych Osobowych” zastępuje się użytymi w odpowiednim przypadku wyrazami „Urząd Ochrony Danych Osobowych”.

W ustawie z dnia 8 marca 1990 r. o samorządzie gminnym

(Dz. U. z 2018 r. poz. 994) wprowadza się następujące zmiany

1)

po art. 9 dodaje się art. 9a w brzmieniu

„

Art. 9a.

1.

Gmina w celu zapewnienia porządku publicznego i bezpieczeństwa obywateli oraz ochrony

przeciwpożarowej i przeciwpowodziowej może stosować środki techniczne umożliwiające

rejestrację obrazu (monitoring) w obszarze przestrzeni publicznej, za zgodą zarządzającego

tym obszarem lub podmiotu posiadającego tytuł prawny do tego obszaru lub na terenie

nieruchomości i w obiektach budowlanych stanowiących mienie gminy lub jednostek organizacyjnych

gminy, a także na terenie wokół takich nieruchomości i obiektów budowlanych, jeżeli

jest to konieczne do zapewnienia porządku publicznego i bezpieczeństwa obywateli lub

ochrony przeciwpożarowej i przeciwpowodziowej.

2.

Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek, palarni oraz obiektów

socjalnych.

3.

Nagrania obrazu zawierające dane osobowe przetwarza się wyłącznie do celów, dla których

zostały zebrane, i przechowuje przez okres nieprzekraczający 3 miesięcy od dnia nagrania,

o ile przepisy odrębne nie stanowią inaczej.

4.

Po upływie okresu, o którym mowa w ust. 3, uzyskane w wyniku monitoringu nagrania

obrazu zawierające dane osobowe, podlegają zniszczeniu, z wyjątkiem sytuacji, w których

nagrania zostały zabezpieczone, zgodnie z odrębnymi przepisami.

5.

Nieruchomości i obiekty budowlane objęte monitoringiem oznacza się w sposób widoczny

i czytelny informacją o monitoringu, w szczególności za pomocą odpowiednich znaków.

6.

Monitoring, w ramach którego dochodzi do przetwarzania danych osobowych, wymaga stosowania

środków zabezpieczających przetwarzanie tych danych, w szczególności uniemożliwiających

ich utratę lub bezprawne rozpowszechnienie, a także uniemożliwienie dostępu do danych

osobom nieuprawnionym.

”

;

2)

w art. 50 dotychczasową treść oznacza się jako ust. 1 i dodaje się ust. 2 w brzmieniu

„

2.

Ochrona mienia obejmuje w szczególności monitoring na terenie nieruchomości i w obiektach

budowlanych stanowiących mienie gminy i na terenie wokół takich nieruchomości i obiektów

budowlanych. Przepisy art. 9a ust. 2-6 stosuje się odpowiednio.

”

.

W ustawie z dnia 23 grudnia 1994 r. o Najwyższej Izbie Kontroli

(Dz. U. z 2017 r. poz. 524) wprowadza się następujące zmiany

1)

użyte w art. 4 w ust. 1 i 2 wyrazy „Generalnego Inspektora Ochrony Danych Osobowych” zastępuje się wyrazami „Prezesa Urzędu Ochrony Danych Osobowych”;

2)

w art. 29 w ust. 1 w pkt 2 lit. i otrzymuje brzmienie

„

i)

przetwarzania danych osobowych, z wyjątkiem danych ujawniających poglądy polityczne,

przekonania religijne lub światopoglądowe, jak również danych genetycznych, o nałogach,

o seksualności lub o orientacji seksualnej.

”

.

W ustawie z dnia 29 czerwca 1995 r. o statystyce publicznej

(Dz. U. z 2018 r. poz. 997) użyte w art. 44 w ust. 2 w pkt 2 wyrazy „Generalnemu Inspektorowi Ochrony Danych Osobowych” zastępuje się wyrazami „Prezesowi Urzędu Ochrony Danych Osobowych”.

W ustawie z dnia 10 kwietnia 1997 r. - Prawo energetyczne

(Dz. U. z 2018 r. poz. 755, 650, 685 i 771) w art. 9c ust. 5a otrzymuje brzmienie

„

5a.

Operatorzy systemów dystrybucyjnych instalujący u odbiorców końcowych przyłączonych

do ich sieci liczniki zdalnego odczytu są obowiązani chronić dane pomiarowe dotyczące

tych odbiorców na zasadach określonych w przepisach o ochronie danych osobowych.

”

.

W ustawie z dnia 21 sierpnia 1997 r. o gospodarce nieruchomościami

(Dz. U. z 2018 r. poz. 121, 50 i 650) użyte w art. 60 w ust. 1 w pkt 1 wyrazy „Generalnego Inspektora Ochrony Danych Osobowych” zastępuje się wyrazami „Prezesa Urzędu Ochrony Danych Osobowych”.

W ustawie z dnia 27 sierpnia 1997 r. o rehabilitacji zawodowej i społecznej oraz zatrudnianiu

osób niepełnosprawnych

(Dz. U. z 2018 r. poz. 511) w art. 6d ust. 4b otrzymuje brzmienie

„

4b.

Podmioty wymienione w ust. 4a przetwarzają dane udostępnione z systemu w celu, w którym

te dane zostały im udostępnione, na zasadach określonych w przepisach o ochronie danych

osobowych.

”

.

W ustawie z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa

(Dz. U. z 2018 r. poz. 800, 650, 723 i 771) wprowadza się następujące zmiany

1)

w art. 14 § 4 otrzymuje brzmienie

„

§ 4.

Minister właściwy do spraw finansów publicznych zapewnia funkcjonowanie portalu podatkowego

i jest administratorem danych podatników, płatników, inkasentów, ich następców prawnych

oraz osób trzecich korzystających z tego portalu.

”

;

2)

w art. 119zt pkt 4 otrzymuje brzmienie

„

4)

Prezesa Urzędu Ochrony Danych Osobowych - w zakresie niezbędnym do realizacji ustawowych

zadań określonych w przepisach o ochronie danych osobowych;

”

;

3)

w art. 119zzg wyrazy „Generalny Inspektor Ochrony Danych Osobowych” zastępuje się wyrazami „Prezes Urzędu Ochrony Danych Osobowych”.

W ustawie z dnia 29 sierpnia 1997 r. - Prawo bankowe

(Dz. U. z 2017 r. poz. 1876, z późn. zm. w art. 105 w ust. 1 w pkt 2 lit. n otrzymuje brzmienie

„

n)

Prezesa Urzędu Ochrony Danych Osobowych w zakresie niezbędnym do realizacji ustawowych

zadań,

”

.

W ustawie z dnia 5 czerwca 1998 r. o samorządzie województwa

(Dz. U. z 2018 r. poz. 913) po art. 60 dodaje się art. 60a w brzmieniu

„

Art. 60a.

1.

Obowiązkiem osób uczestniczących w zarządzaniu mieniem województwa jest zachowanie

szczególnej staranności przy wykonywaniu zarządu zgodnie z przeznaczeniem tego mienia

i jego ochrona.

2.

Ochrona mienia obejmuje w szczególności możliwość korzystania ze środków technicznych

umożliwiających rejestrację obrazu (monitoring) na terenie nieruchomości i w obiektach

budowlanych stanowiących mienie województwa, a także na terenie wokół takich nieruchomości

i obiektów budowlanych.

3.

Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek, palarni oraz obiektów

socjalnych.

4.

Nagrania obrazu zawierające dane osobowe przetwarza się wyłącznie do celów, dla których

zostały zebrane, i przechowuje przez okres nieprzekraczający 3 miesięcy od dnia nagrania,

o ile przepisy odrębne nie stanowią inaczej.

5.

Po upływie okresu, o którym mowa w ust. 4, uzyskane w wyniku monitoringu nagrania

obrazu zawierające dane osobowe podlegają zniszczeniu, z wyjątkiem sytuacji, w których

nagrania zostały zabezpieczone, zgodnie z odrębnymi przepisami.

6.

Nieruchomości i obiekty budowlane objęte monitoringiem oznacza się w sposób widoczny

i czytelny informacją o monitoringu, w szczególności za pomocą odpowiednich znaków.

7.

Monitoring, w ramach którego dochodzi do przetwarzania danych osobowych, wymaga stosowania

środków zabezpieczających przetwarzanie tych danych, w szczególności uniemożliwiających

ich utratę lub bezprawne rozpowszechnienie, a także uniemożliwienie dostępu do danych

osobom nieuprawnionym.

”

.

W ustawie z dnia 5 czerwca 1998 r. o samorządzie powiatowym

(Dz. U. z 2018 r. poz. 995) wprowadza się następujące zmiany

1)

po art. 4a dodaje się art. 4b w brzmieniu

„

Art. 4b.

1.

Powiat w celu zapewnienia porządku publicznego i bezpieczeństwa obywateli oraz ochrony

przeciwpożarowej i przeciwpowodziowej może stosować środki techniczne umożliwiające

rejestrację obrazu (monitoring) w obszarze przestrzeni publicznej, za zgodą zarządzającego

tym obszarem lub podmiotu posiadającego tytuł prawny do tego obszaru lub na terenie

nieruchomości i w obiektach budowlanych stanowiących mienie powiatu lub jednostek

organizacyjnych powiatu, a także na terenie wokół takich nieruchomości i obiektów

budowlanych, jeżeli jest to konieczne do zapewnienia porządku publicznego i bezpieczeństwa

obywateli lub ochrony przeciwpożarowej i przeciwpowodziowej.

2.

Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek, palarni oraz obiektów

socjalnych.

3.

Nagrania obrazu zawierające dane osobowe przetwarza się wyłącznie do celów, dla których

zostały zebrane, i przechowuje przez okres nieprzekraczający 3 miesięcy od dnia nagrania,

o ile przepisy odrębne nie stanowią inaczej.

4.

Po upływie okresu, o którym mowa w ust. 3, uzyskane w wyniku monitoringu nagrania

obrazu zawierające dane osobowe podlegają zniszczeniu, z wyjątkiem sytuacji, w których

nagrania zostały zabezpieczone, zgodnie z odrębnymi przepisami.

5.

Nieruchomości i obiekty budowlane objęte monitoringiem oznacza się w sposób widoczny

i czytelny informacją o monitoringu, w szczególności za pomocą odpowiednich znaków.

6.

Monitoring, w ramach którego dochodzi do przetwarzania danych osobowych, wymaga stosowania

środków zabezpieczających przetwarzanie tych danych, w szczególności uniemożliwiających

ich utratę lub bezprawne rozpowszechnienie, a także uniemożliwienie dostępu do danych

osobom nieuprawnionym.

”

;

2)

w art. 50 dotychczasową treść oznacza się jako ust. 1 i dodaje się ust. 2 w brzmieniu

„

2.

Ochrona mienia obejmuje w szczególności monitoring na terenie nieruchomości i w obiektach

budowlanych stanowiących mienie powiatu i na terenie wokół takich nieruchomości i

obiektów budowlanych. Przepisy art. 4b ust. 2-6 stosuje się odpowiednio.

”

.

W ustawie z dnia 18 grudnia 1998 r. o Instytucie Pamięci Narodowej - Komisji Ścigania

Zbrodni przeciwko Narodowi Polskiemu

(Dz. U. z 2016 r. poz. 1575 oraz z 2018 r. poz. 5 i 369) wprowadza się następujące zmiany

1)

w art. 53f ust. 1 otrzymuje brzmienie

„

1.

W celu prowadzenia prac poszukiwawczych oraz identyfikacji tożsamości osób, o których

mowa w art. 53b, w Instytucie Pamięci tworzy się Bazę Materiału Genetycznego, zwaną

dalej „Bazą”, której administratorem jest Prezes Instytutu Pamięci.

”

;

2)

w art. 53h ust. 3 otrzymuje brzmienie

„

3.

Podmiot, o którym mowa w ust. 1, przekazuje do Instytutu Pamięci informacje i dane,

o których mowa w ust. 1, oraz posiadane próbki materiału genetycznego i biologicznego

w przypadku zakończenia działalności związanej z identyfikacją tożsamości osób, o

których mowa w art. 53b.

”

;

3)

art. 71 otrzymuje brzmienie

„

Art. 71.

W działalności Instytutu Pamięci określonej w art. 1 przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.

w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w

sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne

rozporządzenie o ochronie danych)

(Dz. Urz. UE L 119 z 04.05.2016, str. 1) stosuje się do prowadzenia Bazy.

”

.

W ustawie z dnia 9 listopada 2000 r. o utworzeniu Polskiej Agencji Rozwoju Przedsiębiorczości

(Dz. U. z 2018 r. poz. 110 i 650) w art. 6aa ust. 5 otrzymuje brzmienie

„

5.

Agencja pełni funkcję administratora danych, o których mowa w ust. 2 i 3.

”

.

W ustawie z dnia 8 czerwca 2001 r. o zawodzie psychologa i samorządzie zawodowym psychologów

(Dz. U. poz. 763 i 1798 oraz z 2009 r. poz. 120 i 753) w art. 13 ust. 2 otrzymuje brzmienie

„

2.

Jeżeli wyniki badań mają służyć nie tylko do informacji klienta, stosuje się przepisy

o ochronie danych osobowych.

”

.

W ustawie z dnia 27 lipca 2001 r. - Prawo o ustroju sądów powszechnych

(Dz. U. z 2018 r. poz. 23, z późn. zm. wprowadza się następujące zmiany

1)

w art. 175a uchyla się § 2;

2)

w art. 175c w § 1 uchyla się zdanie drugie.

W ustawie z dnia 28 listopada 2003 r. o świadczeniach rodzinnych

(Dz. U. z 2017 r. poz. 1952 oraz z 2018 r. poz. 107, 138, 650, 730 i 912) w art. 23 ust. 9 otrzymuje brzmienie

„

9.

Informacje, o których mowa w ust. 8, mogą być przetwarzane przez ministra właściwego

do spraw rodziny i wojewodę w celu monitorowania realizacji świadczeń rodzinnych oraz

w celu umożliwienia organom właściwym i wojewodzie weryfikacji prawa do świadczeń

rodzinnych oraz przez podmioty wymienione w ust. 10 w celu, w którym informacje te

zostały im udostępnione, na zasadach określonych w przepisach o ochronie danych osobowych.

Organy właściwe i wojewoda przekazują dane do rejestru centralnego, wykorzystując

oprogramowanie, o którym mowa w ust. 7.

”

.

W ustawie z dnia 27 maja 2004 r. o funduszach inwestycyjnych i zarządzaniu alternatywnymi

funduszami inwestycyjnymi

(Dz. U. z 2018 r. poz. 56, z późn. zm. w art. 286b ust. 16 otrzymuje brzmienie

„

16.

Komisja może przekazać organowi nadzoru państwa trzeciego informacje dotyczące sprawy

indywidualnej prowadzonej przez Komisję, jeżeli spełnione są warunki, o których mowa

w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.

w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w

sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne

rozporządzenie o ochronie danych)

(Dz. Urz. UE L 119 z 04.05.2016, str. 1) - w przypadku danych osobowych, oraz jeżeli ich przekazanie jest niezbędne dla realizacji

zadań określonych ustawą. Komisja może w takim przypadku wyrazić zgodę na dalsze przekazanie

tych informacji organowi nadzoru innego państwa trzeciego.

”

.

W ustawie z dnia 17 grudnia 2004 r. o odpowiedzialności za naruszenie dyscypliny finansów

publicznych

(Dz. U. z 2017 r. poz. 1311 i 2110) użyte w art. 47 w ust. 1 w pkt 11 i w art. 52 w pkt 8, w różnym przypadku, wyrazy

„Generalny Inspektor Ochrony Danych Osobowych” zastępuje się użytymi w odpowiednim przypadku wyrazami „Prezes Urzędu Ochrony Danych Osobowych”.

W ustawie z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących

zadania publiczne

(Dz. U. z 2017 r. poz. 570) wprowadza się następujące zmiany

1)

w art. 2 w ust. 4 wyrazy „Generalnego Inspektora Ochrony Danych Osobowych” zastępuje się wyrazami „Prezesa Urzędu Ochrony Danych Osobowych”;

2)

w art. 4 pkt 1 otrzymuje brzmienie

„

1)

przepisów o ochronie danych osobowych;

”

;

3)

w art. 19a ust. 2 otrzymuje brzmienie

„

2.

Minister właściwy do spraw informatyzacji jest administratorem danych użytkowników

ePUAP.

”

.

W ustawie z dnia 27 lipca 2005 r. - Prawo o szkolnictwie wyższym

(Dz. U. z 2017 r. poz. 2183, z późn. zm. w art. 88 uchyla się ust. 5.

W ustawie z dnia 18 października 2006 r. o ujawnianiu informacji o dokumentach organów

bezpieczeństwa państwa z lat 1944-1990 oraz treści tych dokumentów

(Dz. U. z 2017 r. poz. 2186 oraz z 2018 r. poz. 538, 650, 651 i 730) w art. 22 w ust. 1 w pkt 8c wyrazy „Generalnego Inspektora Ochrony Danych Osobowych” zastępuje się wyrazami „Prezesa Urzędu Ochrony Danych Osobowych”.

W ustawie z dnia 7 września 2007 r. o pomocy osobom uprawnionym do alimentów

(Dz. U. z 2018 r. poz. 554 i 650) w art. 15 ust. 8b otrzymuje brzmienie

„

8b.

Informacje zawarte w rejestrze centralnym, o którym mowa w ust. 8a, mogą być przetwarzane

przez ministra właściwego do spraw rodziny i wojewodę w celu monitorowania realizacji

świadczeń z funduszu alimentacyjnego oraz w celu umożliwienia organom właściwym dłużnika

i organom właściwym wierzyciela weryfikacji prawa do świadczeń z funduszu alimentacyjnego

oraz przez podmioty wymienione w ust. 8c w celu, w którym informacje te zostały im

udostępnione, na zasadach określonych w przepisach o ochronie danych osobowych. Organy

właściwe wierzyciela oraz organy właściwe dłużnika przekazują dane do rejestru centralnego,

wykorzystując oprogramowanie, o którym mowa w ust. 8.

”

.

W ustawie z dnia 27 sierpnia 2009 r. o finansach publicznych

(Dz. U. z 2017 r. poz. 2077 oraz z 2018 r. poz. 62) w art. 139 w ust. 2 wyrazy „Generalnego Inspektora Ochrony Danych Osobowych” zastępuje się wyrazami „Prezesa Urzędu Ochrony Danych Osobowych”.

W ustawie z dnia 5 listopada 2009 r. o spółdzielczych kasach oszczędnościowo-kredytowych

(Dz. U. z 2017 r. poz. 2065, z późn. zm. w art. 9f w ust. 1 pkt 18 otrzymuje brzmienie

„

18)

na żądanie Prezesa Urzędu Ochrony Danych Osobowych, w zakresie wykonywania przez niego

zadań określonych w przepisach o ochronie danych osobowych;

”

.

W ustawie z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie

danych gospodarczych

(Dz. U. z 2018 r. poz. 470, 650, 723, 730 i 771) w art. 11 w ust. 2 wyrazy „Generalnego Inspektora Ochrony Danych Osobowych” zastępuje się wyrazami „Prezesa Urzędu Ochrony Danych Osobowych”.

W ustawie z dnia 9 kwietnia 2010 r. o Służbie Więziennej

(Dz. U. z 2017 r. poz. 631 i 1321 oraz z 2018 r. poz. 138, 730 i 912) w art. 18 w ust. 2 pkt 6 otrzymuje brzmienie

„

6)

Prezes Urzędu Ochrony Danych Osobowych;

”

.

W ustawie z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych

(Dz. U. z 2018 r. poz. 412 i 650) w art. 34 w ust. 10 pkt 9 otrzymuje brzmienie

„

9)

Prezesa Urzędu Ochrony Danych Osobowych;

”

.

W ustawie z dnia 5 stycznia 2011 r. - Kodeks wyborczy

(Dz. U. z 2018 r. poz. 754) w art. 143 § 4 otrzymuje brzmienie

„

§ 4.

Wykaz wpłat obywateli polskich na rzecz komitetu wyborczego organizacji i komitetu

wyborczego wyborców Państwowa Komisja Wyborcza i komisarz wyborczy udostępniają do

wglądu na wniosek, w trybie i na zasadach określonych w przepisach o ochronie danych

osobowych.

”

.

W ustawie z dnia 15 lipca 2011 r. o zawodach pielęgniarki i położnej

(Dz. U. z 2018 r. poz. 123 i 650) w art. 27 ust. 9 otrzymuje brzmienie

„

9.

Postępowanie w sprawach określonych w ust. 1-6 jest poufne i odbywa się z zachowaniem

przepisów o ochronie danych osobowych.

”

.

W ustawie z dnia 19 sierpnia 2011 r. o usługach płatniczych

(Dz. U. z 2017 r. poz. 2003 oraz z 2018 r. poz. 62, 650, 723 i 864) art. 10 otrzymuje brzmienie

„

Art. 10.

Dostawcy i podmioty prowadzące systemy płatności mogą przetwarzać dane osobowe w zakresie

niezbędnym do zapobiegania oszustwom związanym z wykonywanymi usługami płatniczymi

lub prowadzeniem systemu płatności oraz dochodzenia i wykrywania tego rodzaju oszustw

przez właściwe organy, z wyjątkiem danych, o których mowa w art. 9 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia

27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych

osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy

95/46/WE (ogólne rozporządzenie o ochronie danych)

(Dz. Urz. UE L 119 z 04.05.2016, str. 1).

”

.

W ustawie z dnia 14 grudnia 2012 r. o odpadach

(Dz. U. z 2018 r. poz. 992) w art. 80 w ust. 1 pkt 3 otrzymuje brzmienie

„

3)

zapewnia bezpieczeństwo przetwarzanych danych, informacji oraz dokumentów, które otrzymał

w związku z prowadzeniem BDO, zgodnie z przepisami o ochronie danych osobowych.

”

.

W ustawie z dnia 20 lutego 2015 r. o odnawialnych źródłach energii

(Dz. U. z 2017 r. poz. 1148, 1213 i 1593 oraz z 2018 r. poz. 9 i 650) w art. 159 ust. 1 otrzymuje brzmienie

„

1.

Prezes UDT administruje i przetwarza dane zawarte w rejestrach, o których mowa w art.

158 ust. 1, zgodnie z przepisami o ochronie danych osobowych.

”

.

W ustawie z dnia 24 lipca 2015 r. - Prawo o zgromadzeniach

(Dz. U. z 2018 r. poz. 408) w art. 15 ust. 3 otrzymuje brzmienie

„

3.

Decyzję o zakazie zgromadzenia udostępnia się w Biuletynie Informacji Publicznej z

uwzględnieniem przepisów o ochronie danych osobowych przez 3 miesiące od dnia jej

wydania.

”

.

W ustawie z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej

(Dz. U. z 2018 r. poz. 999) w art. 35 w ust. 2 pkt 10 otrzymuje brzmienie

„

10)

Prezesa Urzędu Ochrony Danych Osobowych, w zakresie wykonywania przez niego zadań

określonych w przepisach o ochronie danych osobowych;

”

.

W ustawie z dnia 25 września 2015 r. o zawodzie fizjoterapeuty

(Dz. U. z 2018 r. poz. 505) w art. 12 ust. 9 otrzymuje brzmienie

„

9.

Postępowanie w sprawach określonych w ust. 1-7 jest poufne i odbywa się z zachowaniem

przepisów o ochronie danych osobowych.

”

.

W ustawie z dnia 9 października 2015 r. o produktach biobójczych

(Dz. U. z 2018 r. poz. 122, 138 i 650) w art. 42 ust. 2 otrzymuje brzmienie

„

2.

Raport oraz dane, o których mowa w ust. 1, nie mogą obejmować danych podlegających

ochronie na podstawie przepisów o ochronie danych osobowych.

”

.

W ustawie z dnia 28 stycznia 2016 r. - Prawo o prokuraturze

(Dz. U. z 2017 r. poz. 1767 oraz z 2018 r. poz. 5) wprowadza się następujące zmiany

1)

w art. 13

a)

§ 5 otrzymuje brzmienie

„

§ 5.

Prokuratura Krajowa jest administratorem danych przetwarzanych w ogólnokrajowych systemach

teleinformatycznych powszechnych jednostek organizacyjnych prokuratury.

”

,

b)

dodaje się § 6 i 7 w brzmieniu

„

§ 6.

Powszechne jednostki organizacyjne prokuratury są administratorami danych przetwarzanych

w ramach realizowanych zadań, z wyłączeniem danych, o których mowa w § 5.

§ 7.

Do przetwarzania danych osobowych w postępowaniach lub systemach teleinformatycznych

w ramach realizacji zadań, o których mowa w art. 2, przepisów art. 12-16, art. 18-22 rozporządzenia Parlamentu Europejskiego i

Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w

związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich

danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)

(Dz. Urz. UE L 119 z 04.05.2016, str. 1) nie stosuje się.

”

;

2)

w art. 191 uchyla się § 2.

W ustawie z dnia 11 lutego 2016 r. o pomocy państwa w wychowywaniu dzieci

(Dz. U. z 2017 r. poz. 1851 oraz z 2018 r. poz. 107, 138 i 650) w art. 14 ust. 3 otrzymuje brzmienie

„

3.

Informacje, o których mowa w ust. 2, mogą być przetwarzane przez ministra właściwego

do spraw rodziny i wojewodę w celu monitorowania realizacji świadczeń wychowawczych

oraz w celu umożliwienia organom właściwym i wojewodom weryfikacji prawa do świadczeń

wychowawczych oraz przez podmioty wymienione w ust. 4 w celu, w jakim informacje te

zostały im udostępnione, na zasadach określonych w przepisach o ochronie danych osobowych.

Organy właściwe i wojewodowie przekazują dane do rejestru centralnego, wykorzystując

systemy teleinformatyczne, o których mowa w ust. 1.

”

.

W ustawie z dnia 25 lutego 2016 r. o ponownym wykorzystywaniu informacji sektora publicznego

(Dz. U. poz. 352 oraz z 2017 r. poz. 60) w art. 7 ust. 2 otrzymuje brzmienie

„

2.

Przepisy ustawy nie naruszają przepisów o ochronie danych osobowych.

”

.

W ustawie z dnia 13 kwietnia 2016 r. o bezpieczeństwie obrotu prekursorami materiałów

wybuchowych

(Dz. U. z 2018 r. poz. 410) art. 9 otrzymuje brzmienie

„

Art. 9.

Do danych osobowych zgromadzonych w systemie zgłaszania stosuje się przepisy o ochronie

danych osobowych.

”

.

W ustawie z dnia 16 listopada 2016 r. o Krajowej Administracji Skarbowej

(Dz. U. z 2018 r. poz. 508, 650 i 723) w art. 45 ust. 1 otrzymuje brzmienie

„

1.

Organy KAS, w celu realizacji ustawowych zadań w zakresie, o którym mowa w art. 2

ust. 1 pkt 1, 2, 6 i 8, mogą zbierać i wykorzystywać informacje, w tym dane osobowe,

od osób prawnych, jednostek organizacyjnych niemających osobowości prawnej oraz osób

fizycznych prowadzących działalność gospodarczą, o zdarzeniach mających bezpośredni

wpływ na powstanie lub wysokość zobowiązania podatkowego lub należności celnych oraz

przetwarzać je, a także występować do tych podmiotów o udostępnienie dokumentów zawierających

informacje, w tym dane osobowe, także bez wiedzy i zgody osoby, której dane te dotyczą.

”

.

W ustawie z dnia 14 grudnia 2016 r. - Prawo oświatowe

(Dz. U. z 2018 r. poz. 996) po art. 108 dodaje się art. 108a w brzmieniu

„

Art. 108a.

1.

Jeżeli jest to niezbędne do zapewnienia bezpieczeństwa uczniów i pracowników lub ochrony

mienia dyrektor szkoły lub placówki, w uzgodnieniu z organem prowadzącym szkołę lub

placówkę oraz po przeprowadzeniu konsultacji z radą pedagogiczną, radą rodziców i

samorządem uczniowskim, może wprowadzić szczególny nadzór nad pomieszczeniami szkoły

lub placówki lub terenem wokół szkoły lub placówki w postaci środków technicznych

umożliwiających rejestrację obrazu (monitoring).

2.

Monitoring nie powinien stanowić środka nadzoru nad jakością wykonywania pracy przez

pracowników szkoły lub placówki.

3.

Monitoring nie obejmuje pomieszczeń, w których odbywają się zajęcia dydaktyczne, wychowawcze

i opiekuńcze, pomieszczeń, w których uczniom jest udzielana pomoc psychologiczno-pedagogiczna,

pomieszczeń przeznaczonych do odpoczynku i rekreacji pracowników, pomieszczeń sanitarnohigienicznych,

gabinetu profilaktyki zdrowotnej, szatni i przebieralni, chyba że stosowanie monitoringu

w tych pomieszczeniach jest niezbędne ze względu na istniejące zagrożenie dla realizacji

celu określonego w ust. 1 i nie naruszy to godności oraz innych dóbr osobistych uczniów,

pracowników i innych osób, w szczególności zostaną zastosowane techniki uniemożliwiające

rozpoznanie przebywających w tych pomieszczeniach osób.

4.

Nagrania obrazu zawierające dane osobowe uczniów, pracowników i innych osób, których

w wyniku tych nagrań można zidentyfikować, szkoła lub placówka przetwarza wyłącznie

do celów, dla których zostały zebrane, i przechowuje przez okres nie dłuższy niż 3

miesiące od dnia nagrania.

5.

Po upływie okresu, o którym mowa w ust. 4, uzyskane w wyniku monitoringu nagrania

obrazu zawierające dane osobowe uczniów, pracowników i innych osób, których w wyniku

tych nagrań można zidentyfikować, podlegają zniszczeniu, o ile przepisy odrębne nie

stanowią inaczej.

6.

Dyrektor szkoły lub placówki informuje uczniów i pracowników szkoły lub placówki o

wprowadzeniu monitoringu, w sposób przyjęty w danej szkole lub placówce, nie później

niż 14 dni przed uruchomieniem monitoringu.

7.

Dyrektor szkoły lub placówki przed dopuszczeniem osoby do wykonywania obowiązków służbowych

informuje ją na piśmie o stosowaniu monitoringu.

8.

W przypadku wprowadzenia monitoringu dyrektor szkoły lub placówki oznacza pomieszczenia

i teren monitorowany w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub

ogłoszeń dźwiękowych, nie później niż dzień przed jego uruchomieniem.

9.

Dyrektor szkoły lub placówki uzgadnia z organem prowadzącym szkołę lub placówkę odpowiednie

środki techniczne i organizacyjne w celu ochrony przechowywanych nagrań obrazu oraz

danych osobowych uczniów, pracowników i innych osób, których w wyniku tych nagrań

można zidentyfikować, uzyskanych w wyniku monitoringu.

”

.

W ustawie z dnia 16 grudnia 2016 r. o zasadach zarządzania mieniem państwowym

(Dz. U. poz. 2259, z 2017 r. poz. 624, 1491 i 1529 oraz z 2018 r. poz. 538 i 702) po art. 5 dodaje się art. 5a w brzmieniu

„

Art. 5a.

1.

Zarządzanie mieniem państwowym obejmuje także zapewnienie bezpieczeństwa mienia, w

ramach którego możliwe jest stosowanie zabezpieczeń, w tym zabezpieczeń fizycznych

oraz środków technicznych umożliwiających rejestrację obrazu (monitoring) na terenie

nieruchomości i w obiektach budowlanych stanowiących mienie państwowe, a także na

terenie wokół takich nieruchomości i obiektów, jeżeli jest to konieczne do zapewnienia

bezpieczeństwa zarządzanym mieniem państwowym.

2.

Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek, palarni oraz obiektów

socjalnych.

3.

Nagrania obrazu zawierające dane osobowe przetwarza się wyłącznie do celów, dla których

zostały zebrane, i przechowuje przez okres nieprzekraczający 3 miesięcy od dnia nagrania,

o ile przepisy odrębne nie stanowią inaczej.

4.

Po upływie okresu, o którym mowa w ust. 3, uzyskane w wyniku monitoringu nagrania

obrazu zawierające dane osobowe podlegają zniszczeniu, z wyjątkiem sytuacji, w których

nagrania zostały zabezpieczone, zgodnie z odrębnymi przepisami.

5.

Nieruchomości i obiekty budowlane objęte monitoringiem oznacza się w sposób widoczny

i czytelny informacją o monitoringu, w szczególności za pomocą odpowiednich znaków.

6.

Monitoring, w ramach którego dochodzi do przetwarzania danych osobowych, wymaga stosowania

środków zabezpieczających przetwarzanie tych danych, w szczególności uniemożliwiających

ich utratę lub bezprawne rozpowszechnienie, a także uniemożliwienie dostępu do danych

osobom nieuprawnionym.

”

.

W ustawie z dnia 9 marca 2017 r. o systemie monitorowania drogowego przewozu towarów

(Dz. U. poz. 708 oraz z 2018 r. poz. 138) w art. 4 ust. 3 otrzymuje brzmienie

„

3.

Rejestr prowadzi Szef Krajowej Administracji Skarbowej, który jest administratorem

danych przetwarzanych w rejestrze.

”

.

W ustawie z dnia 27 października 2017 r. o podstawowej opiece zdrowotnej

(Dz. U. poz. 2217) w art. 10 ust. 5 otrzymuje brzmienie

„

5.

Wypełnione deklaracje wyboru, o których mowa w ust. 1 pkt 1, świadczeniodawca przechowuje

w swojej siedzibie albo w miejscu udzielania świadczeń z zakresu podstawowej opieki

zdrowotnej, zapewniając ich dostępność świadczeniobiorcom, którzy je złożyli, z zachowaniem

wymagań wynikających z przepisów o ochronie danych osobowych.

”

.

1.

Osoba pełniąca w dniu 24 maja 2018 r. funkcję administratora bezpieczeństwa informacji,

o którym mowa w ustawie uchylanej w art. 175, staje się inspektorem ochrony danych

i pełni swoją funkcję do dnia 1 września 2018 r., chyba że przed tym dniem administrator

zawiadomi Prezesa Urzędu o wyznaczeniu innej osoby na inspektora ochrony danych, w

sposób określony w art. 10 ust. 1.

2.

Osoba, która stała się inspektorem ochrony danych na podstawie ust. 1, pełni swoją

funkcję także po dniu 1 września 2018 r., jeżeli do tego dnia administrator zawiadomi

Prezesa Urzędu o jej wyznaczeniu w sposób określony w art. 10 ust. 1.

3.

Osoba, o której mowa w ust. 1, może zostać odwołana przez administratora bez zawiadomienia

Prezesa Urzędu o wyznaczeniu innej osoby na inspektora ochrony danych, w przypadku

gdy administrator nie jest obowiązany do wyznaczenia inspektora ochrony danych.

4.

Administrator, który przed dniem wejścia w życie niniejszej ustawy nie powołał administratora

bezpieczeństwa informacji, o którym mowa w ustawie uchylanej w art. 175, jest obowiązany

do wyznaczenia inspektora ochrony danych na podstawie art. 37 rozporządzenia 2016/679

i zawiadomienia Prezesa Urzędu o jego wyznaczeniu, w terminie do dnia 31 lipca 2018 r.

5.

Podmiot przetwarzający, obowiązany do wyznaczenia inspektora ochrony danych na podstawie

art. 37 rozporządzenia 2016/679, wyznacza inspektora ochrony danych i zawiadamia Prezesa

Urzędu o jego wyznaczeniu, w sposób określony w art. 10 ust. 1, w terminie do dnia

31 lipca 2018 r.

1.

Do kontroli wszczętych na podstawie ustawy uchylanej w art. 175 i niezakończonych

przed dniem wejścia w życie niniejszej ustawy stosuje się przepisy dotychczasowe.

2.

Upoważnienia oraz legitymacje służbowe wydane przed dniem wejścia w życie niniejszej

ustawy zachowują ważność do czasu zakończenia kontroli, o których mowa w ust. 1.

1.

Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte

i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez

Prezesa Urzędu.

2.

Postępowania, o których mowa w ust. 1, prowadzi się na podstawie ustawy uchylanej

w art. 175, zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego

(Dz. U. z 2017 r. poz. 1257 oraz z 2018 r. poz. 149 i 650).

3.

Czynności dokonane w postępowaniach, o których mowa w ust. 1, pozostają skuteczne.

4.

Postępowania prowadzone na podstawie rozdziału 6 ustawy uchylanej w art. 175 umarza

się. Decyzji o umorzeniu postępowania nie wydaje się.

Podmiot, do którego przed dniem wejścia w życie niniejszej ustawy zostało skierowane

wystąpienie lub wniosek, o którym mowa w art. 19a ustawy uchylanej w art. 175, jest

obowiązany przekazać Prezesowi Urzędu odpowiedź na wystąpienie lub wniosek w terminie

30 dni od dnia wejścia w życie niniejszej ustawy.

1.

W przypadku postępowań egzekucyjnych prowadzonych na podstawie tytułu wykonawczego

wystawionego przez Generalnego Inspektora Ochrony Danych Osobowych przed dniem wejścia

w życie niniejszej ustawy i niezakończonych przed dniem wejścia w życie niniejszej

ustawy, wierzycielem staje się Prezes Urzędu.

2.

Czynności dokonane przez Generalnego Inspektora Ochrony Danych Osobowych w postępowaniu,

o którym mowa w ust. 1, pozostają skuteczne.

W postępowaniach egzekucyjnych wszczętych na podstawie przepisów ustawy zmienianej

w art. 110 i niezakończonych przed dniem wejścia w życie niniejszej ustawy, wysłane

upomnienia, tytuły wykonawcze, postanowienia zawierające stanowisko Generalnego Inspektora

Ochrony Danych Osobowych oraz inne czynności dokonane przez Generalnego Inspektora

Ochrony Danych Osobowych, jako wierzyciela, pozostają skuteczne.

Postępowania w sprawie stanowiska Generalnego Inspektora Ochrony Danych Osobowych,

jako wierzyciela, wszczęte na podstawie art. 34 ustawy zmienianej w art. 110 i niezakończone

przed dniem wejścia w życie niniejszej ustawy są prowadzone przez Prezesa Urzędu.

Dotychczasowe przepisy wykonawcze wydane na podstawie art. 22a ustawy uchylanej w

art. 175 zachowują moc do dnia wejścia w życie przepisów wykonawczych wydanych na

podstawie art. 47 niniejszej ustawy, jednak nie dłużej niż 12 miesięcy od dnia jej

wejścia w życie.

1.

Z dniem wejścia w życie niniejszej ustawy Generalny Inspektor Ochrony Danych Osobowych

staje się Prezesem Urzędu.

2.

Osoba, która została powołana na stanowisko Generalnego Inspektora Ochrony Danych

Osobowych, na podstawie ustawy uchylanej w art. 175, pozostaje na stanowisku do czasu

upływu kadencji, na którą została powołana.

3.

Zastępca Generalnego Inspektora Ochrony Danych Osobowych powołany przed dniem wejścia

w życie niniejszej ustawy staje się z dniem wejścia w życie niniejszej ustawy zastępcą

Prezesa Urzędu, o którym mowa w art. 36 ust. 1.

1.

Z dniem wejścia w życie niniejszej ustawy Biuro Generalnego Inspektora Ochrony Danych

Osobowych staje się Urzędem.

2.

Z dniem wejścia w życie niniejszej ustawy pracownicy zatrudnieni w Biurze Generalnego

Inspektora Ochrony Danych Osobowych stają się pracownikami Urzędu. Przepis art. 23

(Dz. U. z 2018 r. poz. 917 i 1000) stosuje się odpowiednio.

Z dniem wejścia w życie niniejszej ustawy mienie Skarbu Państwa będące we władaniu

Biura Generalnego Inspektora Ochrony Danych Osobowych staje się mieniem będącym we

władaniu Urzędu.

Należności i zobowiązania Biura Generalnego Inspektora Ochrony Danych Osobowych z

dniem wejścia w życie niniejszej ustawy stają się należnościami i zobowiązaniami Urzędu.

W przypadku gdy Generalny Inspektor Ochrony Danych Osobowych do dnia wejścia w życie

niniejszej ustawy nie złoży sprawozdania, o którym mowa w art. 20 ustawy uchylanej

w art. 175, sprawozdanie składa Prezes Urzędu w terminie do dnia 31 lipca 2018 r.

1.

W sprawach sądowych, sądowoadministracyjnych lub administracyjnych, wszczętych i niezakończonych

przed dniem wejścia w życie niniejszej ustawy, w których stroną lub uczestnikiem był

Generalny Inspektor Ochrony Danych Osobowych, z dniem wejścia w życie niniejszej ustawy

stroną lub uczestnikiem staje się Prezes Urzędu.

2.

W sprawach sądowych, sądowoadministracyjnych lub administracyjnych, wszczętych i niezakończonych

przed dniem wejścia w życie niniejszej ustawy, w których stroną lub uczestnikiem było

Biuro Generalnego Inspektora Ochrony Danych Osobowych, z dniem wejścia w życie niniejszej

ustawy stroną lub uczestnikiem staje się Urząd.

Prezes Urzędu wyda pierwszy komunikat, o którym mowa w art. 54 ust. 1 pkt 1, w terminie

3 miesięcy od dnia wejścia w życie niniejszej ustawy.

Tworzy się Radę.

1.

Maksymalny limit wydatków z budżetu państwa przeznaczonych na wykonywanie zadań wynikających

z niniejszej ustawy wynosi w roku

1)

2018 - 19 639 000 złotych;

2)

2019 - 13 541 000 złotych;

3)

2020 - 13 860 000 złotych;

4)

2021 - 13 860 000 złotych;

5)

2022 - 13 860 000 złotych;

6)

2023 - 13 860 000 złotych;

7)

2024 - 13 860 000 złotych;

8)

2025 - 13 860 000 złotych;

9)

2026 - 13 860 000 złotych;

10)

2027 - 13 860 000 złotych.

2.

Prezes Urzędu monitoruje wykorzystanie limitu wydatków, o których mowa w ust. 1, i

dokonuje oceny wykorzystania tego limitu według stanu na koniec każdego kwartału.

3.

W przypadku przekroczenia lub zagrożenia przekroczeniem przyjętego na dany rok budżetowy

maksymalnego limitu wydatków określonego w ust. 1 oraz w przypadku, gdy w okresie

od początku roku kalendarzowego do dnia dokonania ostatniej oceny, o której mowa w

ust. 2, część limitu rocznego przypadającego proporcjonalnie na ten okres zostanie

przekroczona co najmniej o 10%, stosuje się mechanizm korygujący polegający na zmniejszeniu

wydatków budżetu państwa będących skutkiem finansowym niniejszej ustawy.

4.

Organem właściwym do wdrożenia mechanizmu korygującego, o którym mowa w ust. 3, jest

Prezes Urzędu.

Traci moc ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych

(Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138 i 723) z wyjątkiem art. 1, art. 2, art. 3 ust. 1, art. 4-7, art. 14-22, art. 23-28, art.

31 oraz rozdziałów 4, 5 i 7, które zachowują moc w odniesieniu do przetwarzania danych

osobowych w celu rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych,

prowadzenia postępowań w sprawach dotyczących tych czynów oraz wykonywania orzeczeń

w nich wydanych, kar porządkowych i środków przymusu w zakresie określonym w przepisach

stanowiących podstawę działania służb i organów uprawnionych do realizacji zadań w

tym zakresie, w terminie do dnia wejścia w życie przepisów wdrażających dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r.

w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez

właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych,

wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego

przepływu takich danych oraz uchylającą decyzję ramową Rady 2008/977/WSiSW

(Dz. Urz. UE L 119 z 04.05.2016, str. 89).

Ustawa wchodzi w życie z dniem 25 maja 2018 r.