8. kadencja, 62. posiedzenie, 1. dzień (08-05-2018)
1. punkt porządku dziennego:
Pierwsze czytanie rządowego projektu ustawy o ochronie danych osobowych (druk nr 2410).
Poseł Edward Siarka:
Panie Marszałku! Panie Ministrze! W imieniu klubu Prawo i Sprawiedliwość mam zaszczyt przedstawić nasze stanowisko wobec rządowego projektu ustawy o ochronie danych osobowych, zawartego w druku nr 2410.
Omawiane dziś przedłożenie rządowe dotyczy ochrony danych osobowych i wynika z konieczności stosowania od 25 maja 2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony danych osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy nr 95/46 Wspólnoty Europejskiej. Rozporządzenie jest znane bardziej jako ogóle rozporządzenie o ochronie danych osobowych, czyli tzw. RODO. Warto w tym miejscu przypomnieć, że rozporządzenie będzie obowiązywać, tak jak powiedział pan minister, na terenie wszystkich państw Unii Europejskiej i będzie wiążące dla wszystkich podmiotów, które przetwarzają dane osobowe. Rozporządzenie będzie aktem bezpośrednio stosowanym w każdym państwie członkowskim, które jest zobowiązane do skutecznego stosowania zapisów rozporządzenia w swoim porządku prawnym.
Rozporządzenie RODO ujednolica zatem zasady ochrony danych osobowych w Unii Europejskiej, a tym samym stosowania prawa przez organy ochrony danych osobowych, dlatego też rząd opracował nową ustawę o ochronie danych osobowych, która zastąpi ustawę z 1997 r. o ochronie danych osobowych. Ustanowiony będzie nowy organ właściwy w sprawach ochrony danych osobowych, którym będzie prezes Urzędu Ochrony Danych Osobowych. Prezes urzędu i jego biuro będą prawnym następcą generalnego inspektora ochrony danych osobowych. Prezesa urzędu danych osobowych będzie powoływał Sejm na okres kadencji, aby zapewnić prezesowi pełną niezależność w tym okresie. Organem wspomagającym prezesa urzędu ma być Rada do Spraw Ochrony Danych Osobowych. Szczegółowe dane dotyczące kompetencji tej rady zostały zapisane w projekcie ustawy. Nie będę tutaj szczegółowo ich przedstawiał.
Panie Marszałku! Wysoki Sejmie! Nowe przepisy o ochronie danych osobowych mówią jednoznacznie, że danymi osobowymi są dane informujące, które pozwalają zidentyfikować osobę fizyczną. Mogą to być informacje, począwszy od imienia i nazwiska, przez numer PESEL, numer IP, dane lokalizacyjne czy również dane, które ukazują historię naszych ulubionych zakupów. Wszystkie informacje zebrane na temat danej osoby, które pozwalają na ustalenie jej tożsamości, są zatem danymi osobowymi. Wobec tego omawiana dziś ustawa ma zastosowanie do danych osób fizycznych w związku z przetwarzaniem tych danych. Zwracam uwagę, że ustawa nie ma zastosowania do ochrony danych osób prawnych.
Rozporządzenie RODO określa zasady przetwarzania danych osobowych, które ciążą na podmiocie przetwarzającym dane. Podmiotami przetwarzającymi dane są instytucje, które przetwarzają je na dużą skalę. Są to zarówno podmioty publiczne, jak i podmioty dokonujące operacji przetwarzania danych, różne instytucje analityczne, które ze względu na charakter lub cel działalności wymagają monitorowania. Wszystkie te podmioty muszą posiadać wyznaczonego inspektora ochrony danych osobowych. Każdy inspektor w świetle nowych przepisów będzie podlegał notyfikacji. W ustawie nie określono jednak szczegółowych kwalifikacji, jakie powinien posiadać inspektor danych osobowych. Za wybór inspektora, a więc i za jego umiejętności będzie zawsze odpowiadał administrator, w którego interesie leży właściwe wykonywanie zadań przez inspektora. To na barkach nowych inspektorów i administratorów będzie spoczywał obowiązek przestrzegania przepisów przez podmioty i procedur pozyskiwania zgody na przetwarzanie danych osobowych.
Warto przypomnieć, że w świetle rozporządzenia RODO zgoda na przetwarzanie naszych danych osobowych musi być dobrowolna, konkretna, świadoma. To oznacza, że formularze zgody muszą być pisane jasnym językiem i w sposób zrozumiały. Każda osoba fizyczna, która wyrazi zgodę na przetwarzanie swoich danych, ma mieć świadomość, że takiej zgody udzieliła. Jeżeli takiej świadomości nie będzie miała, to właściwie taka zgoda będzie wyrażona w sposób niewłaściwy. Zgoda na przetwarzanie danych będzie musiała być odpowiednio ewidencjonowana przez każdego administratora i będzie to podlegało szczegółowym kontrolom. Każdy, kto wyraża zgodę na przetwarzanie danych, może ją w odpowiednim momencie wycofać. Ważne, abyśmy mieli taką świadomość. Rozporządzenie RODO chroni też dzieci poniżej 13. roku życia, których dane mogą być przetwarzane za zgodą rodziców.
Rozporządzenie przyznaje osobom fizycznym prawo dostępu do danych informacji, prawo żądania sprostowania i uzupełnienia danych osobowych, prawo sprzeciwu wobec przetwarzania danych, prawo do przeniesienia danych i prawo do bycia zapomnianym. To są kwestie, które są bardzo wyraźnie w tym rozporządzeniu uwypuklone. Wszystkie te prawa osób fizycznych będą podlegać kontroli prezesa urzędu danych osobowych.
Naruszenie przepisów ustawy o ochronie danych osobowych będzie procedowane na gruncie prawa polskiego zgodnie z postępowaniem administracyjnym przez prezesa urzędu. Rozstrzygnięcia będą wydawane przez prezesa urzędu jako przez organ właściwy w sprawach ochrony danych osobowych i będą podlegać zaskarżeniu do sądu administracyjnego.
W omawianym projekcie ustawy przyjęto zasadę, iż podstawowymi sankcjami za naruszenie przepisów o ochronie danych osobowych będzie nakładanie na administratora lub podmiot przetwarzający dane kar finansowych. Wysokość tych kar pan minister również przedstawił w swoim wystąpieniu. Sankcje karne przewidziano natomiast za utrudnianie przeprowadzania kontroli przez organa, które są uprawnione do kontrolowania stosowania przepisów o ochronie danych osobowych.
W omawianym projekcie ustawy rząd zaproponował, by wszystkie osoby, które na gruncie obowiązującej ustawy pełnią funkcję administratora bezpieczeństwa informacji, miały czas do 1 września 2018 r. na zarejestrowanie się jako osoby pełniące funkcję inspektora danych osobowych. Wszystkie osoby będące dziś osobami odpowiedzialnymi za bezpieczeństwo danych muszą podjąć świadomą decyzję, czy chcą pełnić funkcję inspektora danych osobowych, i złożyć zgłoszenie do prezesa urzędu.
Panie Marszałku! Wysoki Sejmie! Mając na względzie rangę projektu ustawy o ochronie danych osobowych, klub Prawo i Sprawiedliwość rekomenduje dalsze procedowanie nad tym projektem we właściwych komisjach. Dziękuję bardzo. (Oklaski)
Przebieg posiedzenia