Ustawa o ochronie danych osobowych z 2018 roku
Ustawa z dnia o ochronie danych osobowych (Dz.U. 2018 poz. 1000) jest polskim aktem prawnym, który implementuje rozporządzenie (UE) 2016/679 z dnia 27 kwietnia 2016 r. – znane jako RODO – w krajowym systemie prawnym. Celem ustawy jest zapewnienie ochrony praw podstawowych i wolności osób fizycznych w związku z przetwarzaniem ich danych osobowych oraz ujednolicenie zasad przetwarzania danych w całej Unii Europejskiej.
Geneza i kontekst prawny
Wdrożenie RODO wymagało od państw członkowskich przyjęcia odpowiednich przepisów krajowych. W Polsce poprzednia regulacja – Ustawa o ochronie danych osobowych z 1997 r. – została całkowicie zastąpiona nowym aktem. Przyjęcie ustawy w 2018 r. wiązało się z licznymi konsultacjami społecznymi oraz współpracą z Prawem Unii Europejskiej.
Implementacja RODO
Ustawa precyzuje m.in.:
- definicje pojęć używanych w RODO, takich jak przetwarzanie danych, dane osobowe, dane szczególnej kategorii;
- zasady legalności, rzetelności i przejrzystości w przetwarzaniu;
- prawa osoby, której dane dotyczą, w tym prawo do bycia poinformowanym, dostępu, sprostowania, usunięcia (tzw. prawo do bycia zapomnianym), ograniczenia przetwarzania oraz przenoszenia danych;
- obowiązki administratorów i podmiotów przetwarzających, w tym obowiązek wyznaczenia inspektora ochrony danych w niektórych sytuacjach.
Zakres stosowania
Ustawa ma zastosowanie do przetwarzania danych osobowych zarówno w sektorze administracji publicznej, jak i w podmiotach prywatnych, w tym przedsiębiorstwach, organizacjach non‑profit oraz jednostkach samorządu terytorialnego. Wyjątki obejmują jedynie działalność wyłącznie prywatną osoby fizycznej, jeśli nie jest ona prowadzona w ramach działalności zawodowej lub gospodarczej.
Główne pojęcia
- Dane osobowe – wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.
- Administrator danych – podmiot, który określa cele i sposoby przetwarzania danych osobowych.
- Podmiot przetwarzający – podmiot, który przetwarza dane w imieniu administratora.
- Zgoda – dobrowolne, świadome i jednoznaczne wyrażenie woli osoby, której dane dotyczą, na przetwarzanie jej danych osobowych (więcej o zgodzie).
- Profilowanie – wszelkie formy przetwarzania danych osobowych polegające na użyciu tych danych do oceny określonych aspektów osoby fizycznej.
Obowiązki administratorów i podmiotów przetwarzających
Do kluczowych obowiązków należą:
- prowadzenie rejestru czynności przetwarzania (rejestr czynności);
- przeprowadzanie oceny skutków ochrony danych (DPIA) w przypadkach wysokiego ryzyka;
- zapewnienie bezpieczeństwa danych poprzez wdrożenie adekwatnych środków technicznych i organizacyjnych;
- zgłaszanie naruszeń ochrony danych do Urzędu Ochrony Danych Osobowych (UODO) w terminie 72 godzin od ich wykrycia;
- przekazywanie osobom, których dane dotyczą, niezbędnych informacji w przejrzystej formie.
Prawa osób, których dane dotyczą
Ustawa gwarantuje szereg praw, w tym:
- prawo dostępu do danych;
- prawo do sprostowania nieprawidłowych danych;
- prawo do usunięcia danych (prawo do bycia zapomnianym);
- prawo do ograniczenia przetwarzania;
- prawo do przenoszenia danych;
- prawo do wniesienia sprzeciwu wobec przetwarzania, w tym profilowania;
- prawo do wniesienia skargi do UODO.
Instytucje nadzorujące
Głównym organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych, który:
- monitoruje przestrzeganie ustawy i RODO;
- wydaje zalecenia, opinie i interpretacje;
- nakłada kary administracyjne;
- prowadzi rejestry administratorów i podmiotów przetwarzających.
Kary i sankcje
Za naruszenie przepisów ustawy przewidziane są kary pieniężne do 20 milionów euro lub do 4 % rocznego światowego obrotu przedsiębiorstwa – w zależności od tego, która kwota jest wyższa. Sankcje mogą obejmować także zakazy przetwarzania danych oraz obowiązek naprawienia szkody.
Wpływ na sektor publiczny i prywatny
Ustawa wprowadziła istotne zmiany w sposobie przetwarzania danych w administracji publicznej, m.in. obowiązek publikowania rejestru zbiorów danych, a także wymóg przeprowadzania oceny skutków ochrony danych przy projektach cyfrowych. W sektorze prywatnym najważniejsze konsekwencje to:
- zwiększona odpowiedzialność za bezpieczeństwo danych klientów;
- wymóg uzyskiwania wyraźnej zgody na przetwarzanie danych w celach marketingowych;
- konieczność wdrożenia polityk prywatności zgodnych z RODO.
Powiązane akty prawne
- Ustawa o prawie telekomunikacyjnym – reguluje ochronę danych w usługach telekomunikacyjnych;
- Ustawa o dostępie do informacji publicznej – łączy prawo do informacji z ochroną danych osobowych;
- Prawo Unii Europejskiej – podstawa do wdrożenia RODO;
- Ustawa o prawie karnym – zawiera przepisy o przestępstwach przeciwko ochronie danych;
- Ustawa o prawach konsumenta – odnosi się do przetwarzania danych w handlu elektronicznym.
Historia zmian i nowelizacje
Od momentu wejścia w życie w 2018 r. ustawa była nowelizowana w związku z:
- rozwojem technologii sztucznej inteligencji i automatyzacji – wprowadzono dodatkowe wymogi odnośnie profilowania;
- zmianą przepisów unijnych dotyczących e‑przestrzeni (np. dyrektywa e‑privacy) – dopasowano regulacje Polski do nowych standardów;
- wytycznymi UODO – wprowadzono m.in. obowiązek prowadzenia ewidencji zgód.
Wybrane komentarze i literatura
Do najważniejszych opracowań i komentarzy dotyczących ustawy należą:
- K. Koczyński, Ochrona danych osobowych w praktyce, Warszawa 2020.
- A. Malinowski, RODO a prawo polskie, Wydawnictwo C.H. Beck, 2021.
- Monografia Urzędu Ochrony Danych Osobowych – coroczne raporty podsumowujące praktyki i orzeczenia.
Ustawa o ochronie danych osobowych z 2018 r. stanowi fundament ochrony prywatności w Polsce, zapewniając zgodność krajowego systemu prawnego z potrzebami cyfrowej gospodarki oraz wymogami prawa unijnego.