Nowelizacja ustawy o ochronie danych osobowych – jak interpretować zmiany?

W dniu dzisiejszym wchodzą zmiany w ustawie o ochronie danych osobowych w związku ze zmianami wynikającymi z ustawy o pomocy państwa w wychowywaniu dzieci (zwanej też ustawą 500+).

Zmieniony tekst ustawy jest już dostępny na stronach ISAP.

Co się zmieniło?

Dodano ustęp 2a do art. 23 (legalność przetwarzania danych):

Podmioty, o których mowa w art. 3 ust. 1, uważa się za jednego administratora danych, jeżeli przetwarzanie danych służy temu samemu interesowi publicznemu.

Komentarz GIODO: (…) wprowadzenie w miejsce ugruntowanej w obowiązującym prawie konstrukcji administratora danych koncepcji „jednego administratora” w odniesieniu do podmiotów wskazanych w art. 3 ust. 1 ustawy o ochronie danych osobowych (zgodnie z którą podmioty te łącznie stanowią jednego administratora), spowoduje dla samych administratorów danych trudności w praktycznym stosowaniu przepisu. Powołana wyżej prounijna wykładnia przepisów o ochronie danych osobowych wyklucza bowiem tego rodzaju konstrukcję. Nowy model administrowania danymi przez podmioty publiczne w żadnym wypadku nie może wyłączyć odpowiedzialności któregokolwiek z administratorów, ani zwolnić go z wykonywania ustawowych obowiązków. Każdy administrator danych nadal będzie obowiązany do realizacji nałożonych na niego właściwymi przepisami zadań i żaden inny podmiot nie będzie mógł go w tym zakresie wyręczyć.

Dodano ustęp 2a do art. 31 (powierzenie danych):

Nie wymaga zawarcia umowy między administratorem a podmiotem, o którym mowa w ust. 1, powierzenie przetwarzania danych, w tym przekazywanie danych, jeżeli ma miejsce między podmiotami, o których mowa w art. 3 ust. 1.

Komentarz GIODO: (…) Stojąc na straży właściwego, wysokiego, standardu ochrony danych osobowych w Rzeczypospolitej Polskiej, organ do spraw ochrony danych osobowych będzie interpretował, dodane przez art. 38 ustawy o pomocy państwa w wychowywaniu dzieci, przepisy art. 23 ust. 2a oraz art. 31 ust. 2a ustawy o ochronie danych osobowych uwzględniając całokształt zaprezentowanych wyżej rozważań. Jednocześnie mając na względzie niezgodność konstrukcji prawnej przewidzianej w art. 23 ust. 2a z obowiązującym prawem europejskim Generalny Inspektor Ochrony Danych Osobowych będzie dążył do zmiany tego aktu prawnego.

Pełna treść komunikatu GIODO w sprawie zmian w ustawie jest dostępna tutaj.

W krótkich żołnierskich słowach: GIODO zapowiedziało, że rozumie intencję ustawodawcy, jednak nie zgadza się z wprowadzonymi zmianami i będzie egzekwować przepisy w dotychczasowym brzmieniu. Czas pokaże, jak będzie.