Rządowy projekt ustawy o wymianie informacji z organami ścigania państw członkowskich Unii Europejskiej

administratora danych lub innego organu
właściwego zgodnie z prawem krajowym.
Art. 19 2. Jeżeli dane osobowe zostały przekazane

Przepis nie
Materia dotyczy odpowiedzialności z tytułu czynów niedozwolonych

ust. 2
przez właściwy organ innego państwa
N
wymaga
uregulowaną w tytule VI Kodeksu cywilnego – art. 416 i następne.
członkowskiego, odbiorca, ponosząc
implementacji
zgodnie z prawem krajowym
odpowiedzialność wobec poszkodowanego,
nie może na swoją obronę powoływać się na
zarzut nieścisłości otrzymanych danych.
Jeżeli odbiorca wypłaci odszkodowanie za
szkodę spowodowaną korzystaniem z
nieprawidłowo przekazanych danych,
właściwy organ, które dane te przekazał,
zwraca odbiorcy kwotę wypłaconego
odszkodowania, uwzględniając ewentualne
błędy leżące po stronie odbiorcy.
Art. 20
rodki odwoławcze

Przepis nie
Przepis obejmuje prawa jednostki związane z dochodzeniem roszczeń z
Bez uszczerbku dla możliwości skorzystania z
N
wymaga
tytułu odpowiedzialności cywilnej za naruszenie dóbr osobistych oraz z
administracyjnych środków odwoławczych,
implementacji
tytułu odpowiedzialności za czyny niedozwolone dochodzonych na
jakie mogą być przewidziane przed
podstawie przepisów kodeksu postępowania cywilnego. Roszczenia te
skierowaniem sprawy do organu sądowego,
mogą być dochodzone niezależnie od postępowania administracyjnego w
osoba, której dotyczą dane, ma prawo do
związku żądaniem sprostowania, usunięcia lub zaniechania
skorzystania ze środka odwoławczego w
przetwarzania danych przez dany podmiot.
przypadku naruszenia jej praw
zagwarantowanych obowiązującym prawem
krajowym.
Art. 21 Poufność przetwarzania danych

Przepis nie
Materia uregulowana w przepisach ustawy ODO:

ust. 1
1. Każda osoba, które ma dostęp do danych
N
wymaga
Art. 37. Do przetwarzania danych mogą być dopuszczone wyłącznie

osobowych objętych zakresem stosowania
implementacji w
osoby posiadające upoważnienie nadane przez administratora danych.

niniejszej decyzji ramowej, może przetwarzać
związku z
Art. 38. Administrator danych jest obowiązany zapewnić kontrolę nad

te dane tylko wtedy, gdy jest pracownikiem
uregulowaniami
tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru

właściwego organu lub gdy działa na jego
art. 37, 38 i 39 ust. wprowadzone oraz komu są przekazywane.

polecenie, chyba że obowiązek przetwarzania
1 ustawy ODO
Art. 39. 1. Administrator danych prowadzi ewidencję osób

wynika z mocy prawa.
upoważnionych do ich przetwarzania, która powinna zawierać:

1) imię i nazwisko osoby upoważnionej,

2) datę nadania i ustania oraz zakres upoważnienia do przetwarzania

danych osobowych,

3) identyfikator, jeżeli dane są przetwarzane w systemie informatycznym.

Art. 21 2. Osoby pracujące we właściwym organie

Przepis nie
Materia uregulowana w przepisach ustawy ODO:

ust. 2
państwa członkowskiego podlegają
N
wymaga
Art. 39. 2. Osoby, które zostały upoważnione do przetwarzania danych, są
wszystkim przepisom o ochronie danych,
implementacji w
obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich
które obowiązują dany właściwy organ.
związku z
zabezpieczenia.
uregulowaniami

27
art. 39 ustawy
ODO
Art. 22 Bezpieczeństwo przetwarzania danych

Przepis nie
Materia uregulowana w przepisach ustawy ODO:

ust. 1
1. Państwa członkowskie określają, że
N
wymaga
Art. 36. 1. 1. Administrator danych jest obowiązany zastosować środki

właściwe organy muszą wdrożyć odpowiednie
implementacji w
techniczne i organizacyjne zapewniające ochronę przetwarzanych danych
środki techniczne i organizacyjne w celu
związku z
osobowych odpowiednią do zagrożeń oraz kategorii danych objętych
ochrony danych osobowych przed ich
uregulowaniami
ochroną, a w szczególności powinien zabezpieczyć dane przed ich
przypadkowym lub nielegalnym zniszczeniem,
art. 36 ust. 1 i 2
udostępnieniem osobom nieupoważnionym, zabraniem przez osobę
przypadkową utratą, modyfikacją,
ustawy ODO
nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą,
nieuprawnionym ujawnieniem lub dostępem do
utratą, uszkodzeniem lub zniszczeniem.
nich — w szczególności gdy przetwarzanie
2. Administrator danych prowadzi dokumentację opisującą sposób
wiąże się z przekazywaniem danych za pomocą
przetwarzania danych oraz środki, o których mowa w ust. 1.
sieci lub z udostępnianiem ich przez udzielenie
bezpośredniego zautomatyzowanego dostępu
do nich — oraz przed wszelkimi innymi
niedozwolonymi formami przetwarzania;
należy przy tym uwzględnić zwłaszcza ryzyko
wiążące się z przetwarzaniem i charakterem
danych podlegających ochronie. Biorąc pod
uwagę poziom rozwoju techniki i koszty ich
wdrożenia, środki takie muszą zapewniać
poziom bezpieczeństwa odpowiadający ryzyku
związanemu z przetwarzaniem i charakterem
danych podlegających ochronie.
Art. 22 2. W zakresie zautomatyzowanego

Przepis nie
Materia uregulowana w przepisach art. 36 – 39a ustawy ODO oraz
ust. 2
przetwarzania danych każde państwo
N
wymaga
szczegółowo w przepisach rozporządzenia Ministra Spraw Wewnętrznych

członkowskie wdraża środki przeznaczone
implementacji w
i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji

do:
związku z
przetwarzania danych osobowych oraz warunków technicznych i

a) uniemożliwienia osobom
uregulowaniami
organizacyjnych, jakim powinny odpowiada urządzenia i systemy

nieuprawnionym dostępu do infrastruktury
rozdziału 5
informatyczne służące do przetwarzania danych osobowych (Dz. U. z

przetwarzania danych, wykorzystywanej do
„Zabezpieczenie
2004 r. Nr 100, poz. 1024).

przetwarzania danych osobowych (kontrola
danych
Przepisy te dostosowują prawo wewnętrzne RP i stanowią wykonanie

dostępu do infrastruktury);
osobowych”
postanowień obowiązującej Konwencji Nr 108 rady Europy o ochronie

b) zabezpieczenia przed nieuprawnionym
ustawy ODO oraz
osób w związku z automatycznym przetwarzaniem danych osobowych

odczytem, kopiowaniem, modyfikowaniem
przepisami
podpisanej w Strasburgu dn. 28 stycznia 1981 r. (Ogłoszona D.n. 85-

lub usuwaniem nośników danych (kontrola
rozporządzenia
1203, 15 list. 1985.- JO 20 list. 1985.).

nośników danych);
wydanego na

c) uniemożliwienia nieuprawnionego
podstawie art. 39a

wprowadzania danych i nieuprawnionego
ustawy ODO

studiowania, zmieniania lub usuwania

przechowywanych danych osobowych

(kontrola przechowywania danych);

d) uniemożliwienia korzystania z systemów

zautomatyzowanego przetwarzania danych

28

przez osoby nieuprawnione, używające

sprzętu do przekazywania danych (kontrola

użytkowników);

e) zapewnienia, aby osoby uprawnione do

korzystania z systemu zautomatyzowanego

przetwarzania danych miały dostęp

wyłącznie do danych objętych posiadanym

przez siebie upoważnieniem (kontrola

dostępu do danych);

f) zapewnienia możliwości zweryfikowania i

stwierdzenia, jakim organom dane osobowe

zostały lub mogą zostać przesłane lub

udostępnione za pomocą sprzętu do

przekazywania danych (kontrola przesyłania

danych);

g) zapewnienia możliwości następczego

zweryfikowania i stwierdzenia, jakie dane

osobowe zostały wprowadzone do systemów

automatycznego przetwarzania danych,

kiedy i przez kogo (kontrola wprowadzania

danych);

h) przeciwdziałania nieautoryzowanemu

odczytowi, kopiowaniu, modyfikowaniu lub

usuwaniu danych osobowych podczas

przekazywania danych osobowych lub

podczas przenoszenia nośników danych

(kontrola transportu);

i) zapewnienia przywrócenia

zainstalowanego systemu w przypadku

awarii (przywracalność); oraz

j) zapewnienia wykonywania przez system

swoich funkcji i zgłaszania występujących w

nich błędów (niezawodność) oraz

zapewnienia zapobieżenia uszkodzeniom

przechowywanych danych spowodowanym

błędnym działaniem systemu (integralność).



29

Art. 22 3. Państwa członkowskie określają, że

Przepis nie
Materia uregulowana w przepisach ustawy ODO:

ust. 3
przetwarzający dane mogą zostać
N
wymaga
„Art. 31. 3. Podmiot, o którym mowa w ust. 1, jest obowiązany przed

wyznaczeni wyłącznie, jeżeli gwarantują
implementacji w
rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór

wdrożenie wymaganych środków
związku z
danych, o których mowa w art. 36-39, oraz spełnić wymagania określone

technicznych i organizacyjnych zgodnie z
uregulowaniami
w przepisach, o których mowa

ust. 1 oraz przestrzegają zasad określonych
art. 31 ust. 3 - 5
w art. 39a. W zakresie przestrzegania tych przepisów podmiot ponosi

w art. 21. Nadzór nad przetwarzającym dane
ustawy ODO
odpowiedzialność jak administrator danych.

jest sprawowany w tym względzie przez
4. W przypadkach, o których mowa w ust. 1-3, odpowiedzialność za

właściwy organ.
przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze

danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł

umowę, za przetwarzanie danych niezgodnie z tą umową.

5. Do kontroli zgodności przetwarzania danych przez podmiot, o którym

mowa w ust. 1, z przepisami o ochronie danych osobowych stosuje się
odpowiednio przepisy art. 14-19.”
Art. 22 4. Przetwarzający dane może przetwarzać

Przepis nie
Materia uregulowana w przepisach ustawy ODO:

ust. 4
dane osobowe jedynie na podstawie aktu
N
wymaga
„Art. 31. 1. Administrator danych może powierzyć innemu podmiotowi,
prawnego lub pisemnej umowy.
implementacji w
w drodze umowy zawartej na piśmie, przetwarzanie danych.
związku z
2. Podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w
uregulowaniami
zakresie i celu przewidzianym w umowie.”
art. 31 ust. 1 - 2
ustawy ODO
Art. 23 Uprzednie konsultacje

Przepis nie
Materia szczegółowo uregulowana w przepisach ustawy ODO – rozdział

Państwa członkowskie zapewniają, aby —
N
wymaga
6, w szczególności w zakresie regulacji przepisów art. 40 i 41 niniejszej

przed przetworzeniem danych osobowych,
implementacji w
ustawy:

które będą stanowić część mającego powstać
związku z
„Art. 40. Administrator danych jest obowiązany zgłosić zbiór danych do

nowego zbioru danych — przeprowadzono
uregulowaniami
rejestracji Generalnemu Inspektorowi, z wyjątkiem przypadków, o

konsultacje z właściwymi krajowymi
określonymi w
których mowa w art. 43 ust. 1.

organami nadzoru, jeżeli:
rozdziale 6
1. Zgłoszenie zbioru danych do rejestracji powinno zawierać:

a) przetwarzane mają być szczególne
„Rejestracja
1) wniosek o wpisanie zbioru do rejestru zbiorów danych osobowych,

kategorie danych, o których mowa w art. 6;
zbiorów danych
2) oznaczenie podmiotu prowadzącego zbiór i adres jego siedziby lub

lub
osobowych”
miejsca zamieszkania, w tym numer identyfikacyjny rejestru podmiotów

b) sposób przetwarzania, w szczególności
ustawy ODO
gospodarki narodowej, jeżeli został mu nadany, oraz podstawę prawną

stosowanie nowych technologii, mechanizmów
upoważniającą do prowadzenia zbioru, a w przypadku podmiotu, o

lub procedur, niesie ze sobą określone ryzyko
którym mowa w art. 31a, oznaczenie tego podmiotu i adres jego siedziby

dla podstawowych praw i wolności osoby,
lub miejsce zamieszkania,

której dotyczą dane, a zwłaszcza jej
3) cel przetwarzania danych,

prywatności.
3a) opis kategorii osób, których dane dotyczą, oraz zakres przetwarzanych

danych,

4) sposób zbierania oraz udostępniania danych,

4a) informację o odbiorcach lub kategoriach odbiorców, którym dane

mogą być przekazywane,

5) opis środków technicznych i organizacyjnych zastosowanych w celach

określonych w art. 36-39,

30

6) informację o sposobie wypełnienia warunków technicznych i

organizacyjnych, określonych w przepisach, o których mowa w art. 39a,

7) informację dotyczącą ewentualnego przekazywania danych do państwa

trzeciego.

2. Administrator danych jest obowiązany zgłaszać Generalnemu

Inspektorowi każdą zmianę informacji, o której mowa w ust. 1, w

terminie 30 dni od dnia dokonania zmiany w zbiorze danych. Do

zgłaszania zmian stosuje się odpowiednio przepisy o rejestracji zbiorów

danych.”



Art. 24 Sankcje

Przepis nie
Stosuje się przepisy Kodeksu karnego
Pozostałe kwestie

Państwa członkowskie przyjmują
T
wymaga

dotyczące

odpowiednie środki w celu zapewnienia
implementacji
odpowiedzialności

pełnego wdrożenia przepisów niniejszej

karnej uregulowane są

decyzji ramowej oraz określają w

w przepisach rozdziału

szczególności skuteczne, proporcjonalne i

8 „Przepisy karne”

odstraszające sankcje za naruszenie

ustawy ODO i znajdują

przepisów przyjmowanych zgodnie z

zastosowanie w zakresie

niniejszą decyzją ramową.
w jakim

odpowiedzialność karna
nie jest uregulowana w
przepisach ustawy o
wymianie informacji z
organami ścigania
państw członkowskich
Unii Europejskiej.
Art. 25 Krajowe organy nadzoru

art. 25
Art. 25. Wymiana informacji podlega kontroli Generalnego
ust. 1
1. Każde państwo członkowskie określa, że co
N
Inspektora Ochrony Danych Osobowych.

najmniej jeden organ władzy publicznej


odpowiada za prowadzenie doradztwa i


monitorowania w zakresie stosowania na jego

terytorium przepisów przyjętych przez państwa

członkowskie zgodnie z niniejszą decyzją

ramową. Powierzone funkcje organy te

wypełniają w sposób całkowicie niezależny.



31