Co zmieni się w projekcie nowej ustawy o ochronie danych osobowych

Projekt ustawy o ochronie danych osobowych opublikowany we wrześniu 2017 roku przewidywał, że certyfikacji, o której mowa w art. 42 ogólnego rozporządzenia o ochronie danych (RODO), będzie dokonywał Prezes Urzędu Ochrony Danych Osobowych (następca GIODO). Takie rozwiązanie spotkało się ze sprzeciwem wielu podmiotów. Argumentowano, że w znaczny sposób obciąży to organ nadzorczy, który i tak będzie miał wiele nowych obowiązków związanych m.in. z przyjmowaniem powiadomień o naruszeniach ochrony danych. Pojawiały się też głosy, że przedsiębiorcy nie będą chcieli korzystać z certyfikacji udzielanej przez Prezesa Urzędu, który jest organem nadzorczym, gdyż będą obawiali się, że zostaną ukarani za naruszenia wykryte przez organ w trakcie certyfikacji.

Ministerstwo Cyfryzacji wzięło pod uwagę te głosy i podczas konferencji podsumowującej jego przedstawiciele poinformowali, że do ustawy zostanie wprowadzone rozwiązanie, zgodnie z którym Polskie Centrum Akredytacji będzie podmiotem akredytującym podmioty certyfikujące. Oznacza to, że poza Prezesem Urzędu certyfikacji będą mogły udzielać także podmioty prywatne.

Ministerstwo Cyfryzacji poszło także na kompromis w kwestii powoływania zastępców Prezesa Urzędu Ochrony Danych Osobowych. Do tej pory GIODO sam wybierał sobie zastępców. Wrześniowy projekt ustawy przewiduje, że każdego z trzech zastępców Prezesa Urzędu będzie powoływał premier na wniosek jednego z trzech wskazanych w ustawie ministrów. Było to rozwiązanie krytykowane i zarzucano mu, że ograniczy uprawnienia Prezesa Urzędu w kwestii doboru swojego personelu. Przedstawiciele Ministerstwa Cyfryzacji poinformowali, że przepisy zostaną zmodyfikowane w ten sposób, że zastępców będzie powoływał Prezes Urzędu na wniosek właściwych ministrów. Nie zmienią się jednak zasady powoływania Prezesa Urzędu – powoła go Sejm za zgodą Senatu na wniosek premiera. Ministerstwo Cyfryzacji pracuje nad przepisami regulującymi zasady odwołania Prezesa Urzędu.

Ministerstwo Cyfryzacji nie zdecydowało się jednak podwyższyć maksymalnego poziomu kary finansowej przewidzianej dla podmiotów publicznych. Ma ona pozostać na poziomie do 100 tys. zł. Z krytyką części podmiotów spotkało się obniżenie granicy wieku dziecka, od którego samodzielnie będzie mogło wyrażać zgodę na przetwarzanie danych osobowych w celu korzystania z usług społeczeństwa informacyjnego, do 13. roku życia. Ministerstwo Cyfryzacji zdecydowało się jednak pozostać przy tej granicy wieku.