Ustawa dostosowawcza do przepisów RODO - jakie zmiany wprowadza?

Nowy etap wdrażania RODO

3 kwietnia 2019 r. Prezydent RP podpisał tzw. ustawę dostosowawczą do przepisów RODO[1]. Reguluje ona kwestie przetwarzania danych osobowych, wprowadzając zmiany do ponad 160 obowiązujących obecnie aktów prawnych. Nowe przepisy dostosowujące krajowe realia do wymogów Ogólnego Rozporządzenia o Ochronie Danych weszły w życie w większości z dniem 4 maja 2019 r.

Obszerna nowela dokonuje istotnych zmian m.in. w zakresie:

• realizacji obowiązku informacyjnego przez organy administracji publicznej oraz zasad prowadzenia przez nie postępowań;
• katalogu danych osobowych, w tym danych biometrycznych, których pracodawca może domagać się od kandydata do pracy i pracownika bez jego zgody;
• zasad przetwarzania danych w związku z prowadzeniem Zakładowego Funduszu Świadczeń Socjalnych;
• ograniczenia stosowania RODO w zakresie objętym tajemnicą zawodową oraz dostępem do informacji publicznej;
• uregulowania katalogu przetwarzanych danych osobowych w związku z realizacją zadań przez administratorów poszczególnych branż i organów publicznych.

Polecamy: Serwis Inforlex RODO 3 m-ce + książka RODO dla kadrowych i HR

Wymóg pisemnych upoważnień

Jedną z bardziej znaczących zmian dotyczącą wszystkich administratorów danych jest obowiązek pisemnego upoważnienia osób przetwarzających w ich imieniu dane osobowe. Jest to rozwiązanie idące dalej niż dotychczasowe wymogi wynikające z RODO. Jak zaznacza się – dochowanie tej formy nie wymaga sporządzenia indywidualnego dokumentu upoważnienia w formie papierowej. Wystarczającym ma być dokument elektroniczny, email, bądź upoważnienie wynikające z regulaminu, zarządzenia, bądź zakresu czynności, dostępnych w siedzibie administratora, czy na jego stronie internetowej.

Ułatwienie dla mikro przedsiębiorców

Istotnym ułatwieniem dla mikroprzedsiębiorców jest przyjęte rozwiązanie, zgodnie z którym realizacja przez nich obowiązku informacyjnego w stosunku do klientów będących konsumentami odbywać się może przez wywieszenie w widocznym miejscu w lokalu przedsiębiorstwa lub udostępnienie na swojej stronie internetowej stosownych informacji. Warunkiem uznania obowiązku informacyjnego za spełniony ma być faktyczna możliwość zapoznania się z klauzulą przez osobę, której dane dotyczą (co oznaczać ma, że klauzula ta nie może znajdować się w szczególności w miejscu niedostępnym dla klienta zakładu lub w zakładce strony www o płatnym dostępie). Ułatwienie to nie będzie dotyczyć mikoprzedsiębiorców przetwarzających oraz udostępniających dane wrażliwe innym podmiotom.

Grożenie RODO stanie się karalne

Co istotne, podpisana ustawa rozszerza również pojęcie karalnej groźby bezprawnej (art. 115 § 12 KK). Obejmować będzie ono również przypadki groźby spowodowania postępowania, w którym może zostać nałożona administracyjna kara pieniężna – a więc właśnie postępowania grożącego za nie przestrzeganie przepisów o ochronie danych osobowych. Nie będzie ona oczywiście dotyczyć sytuacji, w których zapowiedź takiego postępowania będzie miała jedynie na celu ochronę prawa naruszonego zachowaniem zagrożonym ww. karą administracyjną.

RODO nie zawsze znajdzie zastosowanie

Obszerna regulacja wprowadzona ustawą wymienia nie tylko nowe obowiązki (głównie informacyjne) po stronie administratorów oraz związane z tym prawa osób, których dane dotyczą. Co ważne wskazuje ona również wprost, jakich dziedzin działalności niektóre - szczegółowo wymienione reguły wynikające z unijnego rozporządzenia - nie dotyczą. Dotyczy to w szczególności danych osobowych objętych tajemnicą zawodową adwokatów i radców prawnych, notariuszy, danych przetwarzanych w ramach działalności detektywistycznej, czy też danych znajdujących się w Rejestrze Beneficjentów Rzeczywistych prowadzonym na podstawie przepisów o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu.

Co ważne, w zakresie nie objętym wyłączeniem zastosowanie znajdą ogólne zasady przetwarzania danych wynikające RODO oraz przepisów krajowych.

Kogo dotyka nowa regulacja?

Zakres obowiązywania wprowadzonych przepisów dotyczy przede wszystkim uprawnień wszystkich osób fizycznych, których dane przetwarzane są na podstawie znowelizowanych ustaw. W odniesieniu zaś do administratorów danych dotykają one co do zasady w zdecydowanej większości aspektów funkcjonowania organów i podmiotów publicznych. Rozwiązania dotykające bezwzględnie wszystkich administratorów dotyczą zaś przede wszystkim katalogu danych związanych z rekrutacją i zatrudnieniem pracowników oraz obowiązkiem stosowania pisemnych upoważnień do przetwarzania danych.

[1] Ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Dz.U. z 2019 r. poz. 730.

Polecamy serwis: Prawa konsumenta