Ustawa z dnia 22 stycznia 2004 r. o zmianie ustawy o ochroni Art. 1

W ustawie z dnia 29 sierpnia 1997 r. 2) w systemach informatycznych, tak˝e w przy-o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, padku przetwarzania danych poza zbiorem poz. 926 i Nr 153, poz. 1271 oraz z 2004 r. Nr 25, danych.”; poz. 219) wprowadza si´ nast´pujàce zmiany: 2) art. 3 otrzymuje brzmienie:

1) w art. 2 ust. 2 otrzymuje brzmienie: „Art. 3. 1. Ustaw´ stosuje si´ do organów paƒ-stwowych, organów samorzàdu teryto-„2. Ustaw´ stosuje si´ do przetwarzania danych rialnego oraz do paƒstwowych i komu-osobowych: nalnych jednostek organizacyjnych.

1) w kartotekach, skorowidzach, ksi´gach, 2. Ustaw´ stosuje si´ równie˝ do: wykazach i w innych zbiorach ewidencyj- 1) podmiotów niepublicznych realizujà-nych, cych zadania publiczne, Dziennik Ustaw Nr 33 — 1746 — Poz. 285

2) osób fizycznych i osób prawnych „6) odbiorcy danych — rozumie si´ przez to ka˝-oraz jednostek organizacyjnych nie- dego, komu udost´pnia si´ dane osobowe, b´dàcych osobami prawnymi, je˝eli z wy∏àczeniem: przetwarzajà dane osobowe w zwiàz- a) osoby, której dane dotyczà, ku z dzia∏alnoÊcià zarobkowà, zawo-dowà lub dla realizacji celów statuto- b) osoby upowa˝nionej do przetwarzania wych danych,

— które majà siedzib´ albo miejsce za- c) przedstawiciela, o którym mowa w art. 31a, mieszkania na terytorium Rzeczypospo- d) podmiotu, o którym mowa w art. 31, litej Polskiej, albo w paƒstwie trzecim, e) organów paƒstwowych lub organów sa-o ile przetwarzajà dane osobowe przy morzàdu terytorialnego, którym dane sà wykorzystaniu Êrodków technicznych udost´pniane w zwiàzku z prowadzonym znajdujàcych si´ na terytorium Rzeczy- post´powaniem, pospolitej Polskiej.”;

7) paƒstwie trzecim — rozumie si´ przez to

3) dodaje si´ art. 3a w brzmieniu: paƒstwo nienale˝àce do Europejskiego Ob-szaru Gospodarczego.”; „Art. 3a. 1. Ustawy nie stosuje si´ do:

1) osób fizycznych, które przetwarzajà 5) dodaje si´ art. 12a w brzmieniu: dane wy∏àcznie w celach osobistych „Art. 12a. 1. Na wniosek Generalnego Inspektora lub domowych, Marsza∏ek Sejmu mo˝e powo∏aç za-

2) podmiotów majàcych siedzib´ lub st´pc´ Generalnego Inspektora. Od-miejsce zamieszkania w paƒstwie wo∏anie zast´pcy Generalnego In-trzecim, wykorzystujàcych Êrodki spektora nast´puje w tym samym try-techniczne znajdujàce si´ na tery- bie. torium Rzeczypospolitej Polskiej 2. Generalny Inspektor okreÊla zakres wy∏àcznie do przekazywania da-zadaƒ swojego zast´pcy. nych. 2. Ustawy, z wyjàtkiem przepisów 3. Zast´pca Generalnego Inspektora po-art. 14—19 i art. 36 ust. 1, nie stosuje winien spe∏niaç wymogi okreÊlone si´ równie˝ do prasowej dzia∏alnoÊci w art. 8 ust. 3 pkt 1, 2 i 4 oraz posia-dziennikarskiej w rozumieniu ustawy daç wy˝sze wykszta∏cenie i odpo-z dnia 26 stycznia 1984 r. — Prawo pra- wiednie doÊwiadczenie zawodowe.”; sowe (Dz. U. Nr 5, poz. 24, z póên.

6) w art. 13 uchyla si´ ust. 2; zm.1)) oraz do dzia∏alnoÊci literackiej lub artystycznej, chyba ˝e wolnoÊç wy- 7) art. 14 otrzymuje brzmienie: ra˝ania swoich poglàdów i rozpo-wszechniania informacji istotnie naru- „Art. 14. W celu wykonania zadaƒ, o których mo-sza prawa i wolnoÊci osoby, której da- wa w art. 12 pkt 1 i 2, Generalny Inspek-ne dotyczà.”; tor, zast´pca Generalnego Inspektora lub upowa˝nieni przez niego pracownicy

4) w art. 7: Biura, zwani dalej „inspektorami”, majà prawo:

a) pkt 4 otrzymuje brzmienie:

1) wst´pu, w godzinach od 600 do 2200, za „4) administratorze danych — rozumie si´ przez okazaniem imiennego upowa˝nienia to organ, jednostk´ organizacyjnà, podmiot i legitymacji s∏u˝bowej, do pomiesz-lub osob´, o których mowa w art. 3, decydu-czenia, w którym zlokalizowany jest jàce o celach i Êrodkach przetwarzania da-zbiór danych, oraz pomieszczenia, nych osobowych,”, w którym przetwarzane sà dane poza

b) w pkt 5 kropk´ zast´puje si´ przecinkiem i doda- zbiorem danych, i przeprowadzenia je si´ pkt 6 i 7 w brzmieniu: niezb´dnych badaƒ lub innych czyn-noÊci kontrolnych w celu oceny zgod-———————

1) Zmiany wymienionej ustawy zosta∏y og∏oszone w Dz. U. noÊci przetwarzania danych z ustawà, z 1988 r. Nr 41, poz. 324, z 1989 r. Nr 34, poz. 187, z 1990 r. 2) ˝àdaç z∏o˝enia pisemnych lub ustnych Nr 29, poz. 173, z 1991 r. Nr 100, poz. 442, z 1996 r. Nr 114, poz. 542, z 1997 r. Nr 88, poz. 554 i Nr 121, poz. 770, wyjaÊnieƒ oraz wzywaç i przes∏uchi-z 1999 r. Nr 90, poz. 999, z 2001 r. Nr 112, poz. 1198 oraz waç osoby w zakresie niezb´dnym do z 2002 r. Nr 153, poz. 1271. ustalenia stanu faktycznego, Dziennik Ustaw Nr 33 — 1747 — Poz. 285

3) wglàdu do wszelkich dokumentów lub gdy jest to niezb´dne do podj´cia dzia-i wszelkich danych majàcych bezpo- ∏aƒ przed zawarciem umowy na ˝àdanie Êredni zwiàzek z przedmiotem kontroli osoby, której dane dotyczà,”, oraz sporzàdzania ich kopii,

b) pkt 5 otrzymuje brzmienie:

4) przeprowadzania ogl´dzin urzàdzeƒ, „5) jest to niezb´dne dla wype∏nienia prawnie noÊników oraz systemów informatycz-usprawiedliwionych celów realizowanych nych s∏u˝àcych do przetwarzania da-przez administratorów danych albo odbior-nych, ców danych, a przetwarzanie nie narusza

5) zlecaç sporzàdzanie ekspertyz i opi- praw i wolnoÊci osoby, której dane doty-nii.”; czà.”;

8) w art. 15 ust. 1 otrzymuje brzmienie: 12) w art. 24 w ust. 1 pkt 3 otrzymuje brzmienie: „1. Kierownik kontrolowanej jednostki organiza- „3) prawie dost´pu do treÊci swoich danych oraz cyjnej oraz kontrolowana osoba fizyczna b´dà- ich poprawiania,”; ca administratorem danych osobowych sà obowiàzani umo˝liwiç inspektorowi przepro- 13) w art. 25: wadzenie kontroli, a w szczególnoÊci umo˝li-

a) w ust. 1 pkt 4 otrzymuje brzmienie: wiç przeprowadzenie czynnoÊci oraz spe∏niç ˝àdania, o których mowa w art. 14 pkt 1—4.”; „4) prawie dost´pu do treÊci swoich danych oraz ich poprawiania,”,

9) w art. 18 ust. 1 otrzymuje brzmienie:

b) w ust. 2: „1. W przypadku naruszenia przepisów o ochronie — uchyla si´ pkt 2 i 4, danych osobowych Generalny Inspektor z urz´du lub na wniosek osoby zainteresowa- — pkt 5 otrzymuje brzmienie: nej, w drodze decyzji administracyjnej, nakazu- „5) dane sà przetwarzane przez administra-je przywrócenie stanu zgodnego z prawem, tora, o którym mowa w art. 3 ust. 1 a w szczególnoÊci: i ust. 2 pkt 1, na podstawie przepisów

1) usuni´cie uchybieƒ, prawa,”;

2) uzupe∏nienie, uaktualnienie, sprostowanie,

14) w art. 29 ust. 1 otrzymuje brzmienie: udost´pnienie lub nieudost´pnienie danych osobowych, „1. W przypadku udost´pniania danych osobo-

3) zastosowanie dodatkowych Êrodków zabez- wych w celach innych ni˝ w∏àczenie do zbioru, pieczajàcych zgromadzone dane osobowe, administrator danych udost´pnia posiadane

4) wstrzymanie przekazywania danych osobo- w zbiorze dane osobom lub podmiotom wych do paƒstwa trzeciego, uprawnionym do ich otrzymania na mocy przepisów prawa.”;

5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 15) w art. 30 pkt 2 otrzymuje brzmienie:

6) usuni´cie danych osobowych.”; „2) zagro˝enie dla obronnoÊci lub bezpieczeƒstwa

10) dodaje si´ art. 22a w brzmieniu: paƒstwa, ˝ycia i zdrowia ludzi lub bezpieczeƒ-stwa i porzàdku publicznego,”; „Art. 22a. Minister w∏aÊciwy do spraw administra-cji publicznej okreÊli, w drodze rozpo- 16) w art. 31: rzàdzenia, wzór upowa˝nienia i legity-macji s∏u˝bowej, o których mowa a) ust. 3 otrzymuje brzmienie: w art. 14 pkt 1, uwzgl´dniajàc koniecz- „3. Podmiot, o którym mowa w ust. 1, jest obo-noÊç imiennego wskazania inspektora wiàzany przed rozpocz´ciem przetwarzania Biura Generalnego Inspektora Ochrony danych podjàç Êrodki zabezpieczajàce zbiór Danych Osobowych.”; danych, o których mowa w art. 36—39, oraz spe∏niç wymagania okreÊlone w przepisach,

11) w art. 23 w ust. 1: o których mowa w art. 39a. W zakresie prze-

a) pkt 2 i 3 otrzymujà brzmienie: strzegania tych przepisów podmiot ponosi odpowiedzialnoÊç jak administrator da-„2) jest to niezb´dne dla zrealizowania upraw-nych.”, nienia lub spe∏nienia obowiàzku wynikajà-cego z przepisu prawa, b) dodaje si´ ust. 5 w brzmieniu:

3) jest to konieczne do realizacji umowy, gdy „5. Do kontroli zgodnoÊci przetwarzania danych osoba, której dane dotyczà, jest jej stronà przez podmiot, o którym mowa w ust. 1, Dziennik Ustaw Nr 33 — 1748 — Poz. 285

z przepisami o ochronie danych osobo- Art. 38. Administrator danych jest obowiàzany za-wych stosuje si´ odpowiednio przepisy pewniç kontrol´ nad tym, jakie dane oso-art. 14—19.”; bowe, kiedy i przez kogo zosta∏y do zbioru wprowadzone oraz komu sà przekazywa-

17) w rozdziale 3 dodaje si´ art. 31a w brzmieniu: ne. „Art. 31a. W przypadku przetwarzania danych Art. 39. 1. Administrator danych prowadzi ewi-osobowych przez podmioty majàce sie- dencj´ osób upowa˝nionych do ich dzib´ albo miejsce zamieszkania w paƒ- przetwarzania, która powinna zawieraç: stwie trzecim, administrator danych jest

1) imi´ i nazwisko osoby upowa˝nionej, obowiàzany wyznaczyç swojego przed-stawiciela w Rzeczypospolitej Polskiej.”; 2) dat´ nadania i ustania oraz zakres upowa˝nienia do przetwarzania da-

18) w art. 32 w ust. 1 dodaje si´ pkt 5a w brzmieniu: nych osobowych, „5a) uzyskania informacji o przes∏ankach podj´cia 3) identyfikator, je˝eli dane sà przetwa-rozstrzygni´cia, o którym mowa w art. 26a rzane w systemie informatycznym. ust. 2,”; 2. Osoby, które zosta∏y upowa˝nione do przetwarzania danych, sà obowiàzane

19) w art. 33 w ust. 1 zdanie wst´pne otrzymuje zachowaç w tajemnicy te dane osobowe brzmienie: oraz sposoby ich zabezpieczenia. „Na wniosek osoby, której dane dotyczà, admini- Art. 39a. Minister w∏aÊciwy do spraw administra-strator danych jest obowiàzany, w terminie 30 dni, cji publicznej w porozumieniu z mini-poinformowaç o przys∏ugujàcych jej prawach oraz strem w∏aÊciwym do spraw informatyza-udzieliç, odnoÊnie jej danych osobowych, in- cji okreÊli, w drodze rozporzàdzenia, spo-formacji, o których mowa w art. 32 ust. 1 sób prowadzenia i zakres dokumentacji, pkt 1—5a, a w szczególnoÊci podaç w formie zro- o której mowa w art. 36 ust. 2, oraz pod-zumia∏ej:”; stawowe warunki techniczne i organiza-cyjne, jakim powinny odpowiadaç urzà-

20) rozdzia∏ 5 otrzymuje brzmienie: dzenia i systemy informatyczne s∏u˝àce do przetwarzania danych osobowych, „Rozdzia∏ 5 uwzgl´dniajàc zapewnienie ochrony przetwarzanych danych osobowych od-Zabezpieczenie danych osobowych powiedniej do zagro˝eƒ oraz kategorii