Ustawa o ochronie danych osobowych

Ustawa o ochronie danych osobowych – polski akt prawny regulujący zasady przetwarzania danych osobowych oraz ochronę praw osób, których dane te dotyczą. Uchwalona po raz pierwszy w 1997 roku, była kilkukrotnie nowelizowana, m.in. w związku z przyjęciem ogólnego rozporządzenia o ochronie danych (RODO) w Unii Europejskiej.

Historia

Podstawy prawne ochrony danych w Polsce sięgają jeszcze lat 1995, jednak pierwsza kompleksowa ustawa została przyjęta w 1997 roku. W kolejnych latach wprowadzano nowelizacje dostosowujące prawo krajowe do zmian europejskich, w szczególności do rozporządzenia (UE) 2016/679 z 2018 roku, które zastąpiło dotychczasowe regulacje.

Zakres i definicje

Ustawa obejmuje wszystkie podmioty przetwarzające dane osobowe na terenie Polski, zarówno sektora publicznego, jak i prywatnego. Kluczowe pojęcia w ustawie to:

Dane osobowe – informacje umożliwiające identyfikację osoby fizycznej, bezpośrednio lub pośrednio.
Przetwarzanie – każda operacja wykonywana na danych osobowych, w tym ich zbieranie, przechowywanie, modyfikacja, udostępnianie czy usuwanie.
Administrator danych – podmiot określający cele i sposoby przetwarzania danych.
Podmiot przetwarzający – podmiot działający na rzecz administratora w zakresie przetwarzania danych.
Zgoda – dobrowolna, świadoma i jednoznaczna wyrażona wola osoby, której dane dotyczą, na przetwarzanie jej danych osobowych.

Podstawowe zasady ochrony danych

Ustawa wyznacza szereg zasad, które muszą być przestrzegane przy przetwarzaniu danych osobowych:

Zasada legalności, rzetelności i przejrzystości – przetwarzanie musi mieć podstawę prawną i być przejrzyste dla osób, których dane dotyczą.
Zasada ograniczenia celu – dane mogą być zbierane tylko w konkretnych, wyraźnych i prawnie uzasadnionych celach.
Zasada minimalizacji danych – należy przetwarzać jedynie te dane, które są niezbędne do realizacji celu.
Zasada prawidłowości – dane muszą być dokładne i, w razie potrzeby, uaktualniane.
Zasada ograniczenia przechowywania – dane nie mogą być przechowywane dłużej niż jest to potrzebne.
Zasada integralności i poufności – wymagana jest ochrona danych przed nieuprawnionym dostępem, utratą lub uszkodzeniem.
Zasada rozliczalności – administrator musi być w stanie wykazać zgodność z zasadami ustawy.

Organ nadzorczy

W Polsce organem nadzorczym odpowiedzialnym za egzekwowanie ustawy jest Urząd Ochrony Danych Osobowych (UODO). Do jego kompetencji należy:

Monitorowanie i kontrola przestrzegania przepisów.
Rozpatrywanie skarg osób, których dane dotyczą.
Wydawanie zaleceń i nakazów dotyczących działań poprawczych.
Nałożenie kar administracyjnych w przypadku naruszeń.

Relacja z RODO

Po wejściu w życie RODO, polska ustawa została zharmonizowana z przepisami unijnymi. Ustawa pełni funkcję uzupełniającą, wprowadzając dodatkowe regulacje, które nie są szczegółowo opisane w RODO, np.:

Specyficzne wymogi dotyczące przetwarzania danych w sektorze służb publicznych.
Kary finansowe i administracyjne określone w polskim prawie.
Procedury współpracy z organem nadzorczym.

Postępowanie w razie naruszenia

W przypadku stwierdzenia naruszenia ochrony danych osobowych administrator ma obowiązek:

Niezwłocznie, nie później niż w ciągu 72 godzin od wykrycia naruszenia, powiadomić UODO (jeśli naruszenie może skutkować ryzykiem dla praw i wolności osób).
Poinformować osoby, których dane dotyczą, o naruszeniu, jeżeli istnieje wysokie ryzyko ich szkody.
Dokonać analizy przyczyn naruszenia i wdrożyć środki naprawcze.
Dokumentować wszystkie podjęte kroki w ramach tzw. rejestru naruszeń.

Wykładnia i praktyka

Interpretacje przepisów ustawy oraz wytyczne organu nadzorczego są publikowane w formie wytycznych i orzecznictwa. Praktyka pokazuje rosnącą liczbę kontrol i nakładanych kar, co zwiększa świadomość przedsiębiorstw i instytucji co do konieczności wdrażania systemów zarządzania bezpieczeństwem informacji.

Zobacz także

Bibliografia

Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018), tekst jednolity.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (RODO).
Wytyczne Prezesa UODO z dnia 24 lutego 2020 r. dotyczące zgłaszania naruszeń ochrony danych osobowych.