Ochrona danych osobowych – ustawa

Nieobowiązująca już ustawa o ochronie danych osobowych z 1997 r. została uchwalona w celu wdrożenia dyrektywy 95/46/WE i była głównym aktem prawnym, do którego sięgaliśmy. W odróżnieniu od dyrektywy, europejskie rozporządzenie o ochronie danych (RODO) stosuje się bezpośrednio, a więc teraz sięgamy przede wszystkim do rozporządzenia, a nie ustawy. Jaka jest zatem jej funkcja?

W dotychczasowych ramach prawnych dla ochrony danych osobowych, ustawa obejmowała odpowiedzi na najważniejsze pytania: o zasady przetwarzania danych, o podstawy prawne, o obowiązek informacyjny, o powierzenie przetwarzania, o administratora bezpieczeństwa informacji, oraz o kompetencje Generalnego Inspektora Ochrony Danych Osobowych (GIODO).

Po reformie ochrony danych osobowych, ustawa z dnia 10 maja 2018 r. przyjęła funkcję uzupełniającą w stosunku do RODO. RODO jest stosowane bezpośrednio w każdym państwie członkowskim Unii Europejskiej i odpowiada na wszystkie powyższe pytania, przy czym administrator bezpieczeństwa informacji stał się inspektorem ochrony danych (IOD), zaś GIODO – organem nadzorczym. 

Aby w pełni odpowiedzieć na pytanie, jak powinna w naszej organizacji wyglądać ochrona danych osobowych, ustawa z dnia 10 maja 2018 r. jest jednak niezbędna:

• Po pierwsze, ustawa doprecyzowuje, w jaki sposób powołać IOD, zgłosić jego powołanie Prezesowi Urzędu Ochrony Danych Osobowych (UODO), a także upublicznić jego dane (art. 8-11).
• Po drugie, ustawa reguluje kwestie certyfikacji – w jaki sposób zostać podmiotem certyfikującym, a także jak złożyć wniosek i poddać swoją organizację certyfikacji mającej świadczyć o zgodności z przepisami o ochronie danych osobowych – ustawą i rozporządzeniem (art. 12-26).
• Po trzecie, zgodność z RODO łatwiej osiągnąć dzięki branżowym kodeksom postępowania – warunki ich opracowania, opiniowania i zatwierdzania, a także monitorowania przestrzegania, określają art. 27-33 ustawy o ochronie danych osobowych.
• Po czwarte, bez przejrzystych ram prawnych dla organu nadzorczego, trudno oczekiwać przestrzegania zasad ochrony danych osobowych – ustawa określa więc status Prezesa UODO (art. 34-59), ale także zasady postępowania w sprawie naruszeń (art. 60-74), jak również kontroli prowadzonej przez organ nadzorczy (art. 78-91).
• Po piąte, jest wiele aktów prawnych, w których rolę odgrywa ochrona danych osobowych – ustawa z dnia 10 maja 2018 r. zawiera kilkadziesiąt przepisów dostosowujących je do RODO, przy czym w dalszym ciągu wiele ustaw jest nieaktualnych.