Rządowy projekt ustawy o zmianie ustawy - Prawo telekomunikacyjne oraz niektórych innych ustaw

jest wymagane, jeżeli dostawca wykazał, że
wdrożył przewidziane przepisami o ochronie
danych osobowych odpowiednie techniczne i
organizacyjne
środki ochrony, które
uniemożliwiają odczytanie danych przez osoby
nieuprawnione oraz że środki te zostały
zastosowane do danych, których ochrona została
naruszona.
4. Jeżeli dostawca publicznie dostępnych usług
telekomunikacyjnych nie zawiadomił abonenta lub
użytkownika końcowego będącego osobą fizyczną
o fakcie naruszenia danych osobowych, Generalny
Inspektor Ochrony Danych Osobowych, po
rozważeniu możliwych niekorzystnych skutków
tego naruszenia, może nałożyć na dostawcę
obowiązek przekazania abonentom lub
użytkownikom końcowym, będącym osobami
fizycznymi, takiego zawiadomienia.
5. Zawiadomienie, o którym mowa w ust. 1
powinno zawierać w szczególności:
1) opis charakteru naruszenia danych
osobowych oraz zakładane ryzyko
związane z naruszeniem;
2) dane kontaktowe, gdzie można uzyskać
informacje dotyczące naruszenia ochrony
danych osobowych;
3) informacje o zalecanych środkach
mających na celu złagodzenie
ewentualnych niekorzystnych skutków
naruszenia danych osobowych;
4) informacje o działaniach podjętych przez
dostawcę publicznie dostępnych usług
telekomunikacyjnych;
5) informacje o fakcie poinformowania lub
braku poinformowania abonenta lub
użytkownika końcowego będącego osobą
fizyczną o wystąpieniu naruszenia danych
osobowych;
6) opis skutków naruszenia danych

96

osobowych;
7) opis proponowanych przez dostawcę
środków naprawczych.
5. Zawiadomienie, o którym mowa w ust. 2
powinno zawierać:
1) opis charakteru naruszenia danych
osobowych;
2) dane kontaktowe, gdzie można uzyskać
informacje dotyczące naruszenia ochrony
danych osobowych;
3) informacje o zalecanych środkach mających
na celu złagodzenie ewentualnych
niekorzystnych skutków naruszenia danych
osobowych;
4) informacje o działaniach podjętych przez
dostawcę publicznie dostępnych usług
telekomunikacyjnych;
5) opis skutków naruszenia danych osobowych;
6) opis proponowanych przez dostawcę
publicznie dostępnych usług
telekomunikacyjnych środków naprawczych.

Art. 174b. Do sprawowanej przez Generalnego
Inspektora Ochrony Danych Osobowych kontroli
wykonywania przez dostawcę publicznie
dostępnych usług telekomunikacyjnych
obowiązków, o których mowa w art. 174a, stosuje
się odpowiednio przepisy ustawy z dnia 29 sierpnia
1997 r. o ochronie danych osobowych (Dz. U. z
2002 r. Nr 101, poz. 926 z późn. zm.).

Art. 174c. Generalny Inspektor Ochrony Danych
Osobowych kierując się koniecznością
zapewnienia skutecznej ochrony danych
osobowych i uwzględniając wytyczne Komisji
Europejskiej dotyczące realizacji obowiązku
powiadomienia abonenta lub użytkownika
końcowego będącego osobą fizyczną o naruszeniu
jego danych osobowych może kierować

97

wystąpienie, o którym mowa w art. 19a ust. 1
ustawy z dnia 29 sierpnia 1997 r. o ochronie
danych osobowych do dostawcy publicznie
dostępnych usług telekomunikacyjnych wskazując
okoliczności oraz formę i sposób zawiadamiania o
naruszeniu danych osobowych. Generalny
Inspektor Ochrony Danych Osobowych może
publikować wystąpienia na swojej stronie
podmiotowej BIP, o ile nie będą one zawierać
informacji stanowiących tajemnicę
przedsiębiorstwa.

Art. 174d. 1. Dostawca publicznie dostępnych
usług telekomunikacyjnych prowadzi rejestr
naruszeń danych osobowych, w tym faktów
towarzyszących naruszeniom, ich skutków i
podjętych działań, o których mowa w art. 174a ust.
6 pkt 4 i 6. Rejestr w szczególności powinien
zawierać:
1) opis charakteru naruszenia danych
osobowych;
2) informacje o zaleconych środkach
mających na celu złagodzenie
ewentualnych niekorzystnych skutków
naruszenia danych osobowych;
3) informacje o działaniach podjętych przez
dostawcę publicznie dostępnych usług
telekomunikacyjnych;
4) informacje o fakcie poinformowania lub
braku poinformowania abonenta lub
użytkownika końcowego będącego osobą
fizyczną o wystąpieniu naruszenia danych
osobowych;
5) opis skutków naruszenia danych
osobowych;
6) opis zaproponowanych przez dostawcę
środków naprawczych.
2. Dostawca publicznie dostępnych usług
telekomunikacyjnych może powierzyć, w drodze

98

umowy, innemu przedsiębiorcy prowadzenie
rejestru, o którym mowa w ust. 1.”;
art. 4
"3. W przypadku naruszenia danych osobowych, T
Art.
po art. 174 dodaje si art. 174a – 174d w
ust. 3
dostawca publicznie dostępnych usług łączności
174a–
brzmieniu:
elektronicznej bez zbędnej zwłoki powiadamia o
174d

tym przypadku naruszenia danych osobowych
„Art. 174a. 1. W przypadku naruszenia danych
właściwy organ krajowy.
osobowych abonentów lub użytkowników
W przypadku gdy naruszenie danych osobowych
końcowych będących osobami fizycznymi,
może wywrzeć niekorzystny wpływ na dane
dostawca publicznie dostępnych usług
osobowe lub prywatność abonenta lub osoby
telekomunikacyjnych bez zbędnej zwłoki, nie
fizycznej, dostawca bez zbędnej zwłoki
później niż w terminie 3 dni od stwierdzenia
powiadamia również o takim naruszeniu abonenta
naruszenia, zawiadamia o tym fakcie Generalnego
lub osobę fizyczną.
Inspektora Ochrony Danych Osobowych. Przez
Powiadomienie danego abonenta lub osoby
naruszenie danych osobowych rozumie się
fizycznej o naruszeniu danych osobowych nie jest
naruszenie bezpieczeństwa prowadzące do
wymagane, jeżeli dostawca wykazał zgodnie z
przypadkowego lub bezprawnego zniszczenia,
wymogami właściwego organu, że wdrożył
utraty, zmiany, nieuprawnionego ujawnienia lub
odpowiednie technologiczne środki ochrony oraz
dostępu do danych osobowych przetwarzanych
że środki te zostały zastosowane do danych,
przez przedsiębiorcę telekomunikacyjnego w
których dotyczyło naruszenie bezpieczeństwa.
związku ze świadczeniem publicznie dostępnych
Tego rodzaju technologiczne środki ochrony muszą
usług telekomunikacyjnych.
sprawiać, że dane stają się nieczytelne dla każdego,
2. W przypadku, gdy naruszenie danych
kto nie jest uprawniony do dostępu do nich.
osobowych może wywrzeć niekorzystny wpływ na
Bez uszczerbku dla obowiązku powiadomienia
dane osobowe lub prywatność abonenta lub
przez dostawcę danych abonentów lub osób
użytkownika końcowego będącego osobą fizyczną,
fizycznych, jeżeli dostawca nie powiadomił jeszcze
dostawca publicznie dostępnych usług
abonenta lub osoby fizycznej o naruszeniu danych
telekomunikacyjnych bez zbędnej zwłoki, nie
osobowych, właściwy organ krajowy – po
później niż w terminie 3 dni od stwierdzenia
rozważeniu możliwych niekorzystnych skutków
naruszenia, zawiadamia również o takim
tego naruszenia – może wymagać, aby dostawca to
naruszeniu abonenta lub użytkownika końcowego
uczynił.
będącego osobą fizyczną. Przez naruszenie danych
Powiadomienie skierowane do abonenta lub osoby
osobowych, które może wywrzeć niekorzystny
fizycznej zawiera co najmniej opis charakteru
wpływ na dane osobowe lub prywatność abonenta
naruszenia danych osobowych oraz dane punktów
lub użytkownika końcowego będącego osobą
kontaktowych, w których można uzyskać więcej
fizyczną rozumie się takie naruszenie, które w
informacji; zawiera ono także informacje o
szczególności skutkować może sfałszowaniem lub
zalecanych środkach mających na celu złagodzenie
kradzieżą jego tożsamości, istotną szkodą
ewentualnych niekorzystnych skutków tego
majątkową lub osobistą, ujawnieniem tajemnicy
naruszenia danych osobowych. Powiadomienie
bankowej lub innej ustawowo chronionej

99

właściwego organu krajowego zawiera ponadto
tajemnicy zawodowej.
opis konsekwencji naruszenia danych osobowych i
3. Zawiadomienie, o którym mowa w ust. 2, nie
opis proponowanych lub podjętych przez dostawcę
jest wymagane, jeżeli dostawca wykazał, że
środków mających zaradzić naruszeniu.”
wdrożył przewidziane przepisami o ochronie
danych osobowych odpowiednie techniczne i
organizacyjne
środki ochrony, które
uniemożliwiają odczytanie danych przez osoby
nieuprawnione oraz że środki te zostały
zastosowane do danych, których ochrona została
naruszona.
4. Jeżeli dostawca publicznie dostępnych usług
telekomunikacyjnych nie zawiadomił abonenta lub
użytkownika końcowego będącego osobą fizyczną
o fakcie naruszenia danych osobowych, Generalny
Inspektor Ochrony Danych Osobowych, po
rozważeniu możliwych niekorzystnych skutków
tego naruszenia, może nałożyć na dostawcę
obowiązek przekazania abonentom lub
użytkownikom końcowym, będącym osobami
fizycznymi, takiego zawiadomienia.
5. Zawiadomienie, o którym mowa w ust. 1
powinno zawierać w szczególności:
1) opis charakteru naruszenia danych
osobowych oraz zakładane ryzyko
związane z naruszeniem;
2) dane kontaktowe, gdzie można uzyskać
informacje dotyczące naruszenia ochrony
danych osobowych;
3) informacje o zalecanych środkach
mających na celu złagodzenie
ewentualnych niekorzystnych skutków
naruszenia danych osobowych;
4) informacje o działaniach podjętych przez
dostawcę publicznie dostępnych usług
telekomunikacyjnych;
5) informacje o fakcie poinformowania lub
braku poinformowania abonenta lub
użytkownika końcowego będącego osobą
fizyczną o wystąpieniu naruszenia danych

100