Właściwość

Każdy organ nadzorczy jest właściwy do wypełniania zadań i wykonywania uprawnień powierzonych mu zgodnie z rozporządzeniem GDPR na terytorium swojego państwa członkowskiego.

Jeżeli przetwarzania dokonują organy publiczne lub podmioty prywatne, a przetwarzanie to jest niezbędne do:

1) wypełnienia obowiązku prawnego ciążącego na administratorze; lub

2) wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi,

reklama

organem właściwym jest organ nadzorczy danego państwa członkowskiego. Jeżeli zachodzi tego typu okoliczność, zastosowanie ma ten przepis, nie zaś przepis o wyznaczaniu właściwości w oparciu o kryterium terytorium.

Rozporządzenie GDPR czyni ważne wyłączenie przedmiotowe w zakresie właściwości organów nadzorczych. Organy nadzorcze nie są właściwe do nadzorowania operacji przetwarzania dokonywanych przez sądy w ramach sprawowania przez nie wymiaru sprawiedliwości.

Właściwość wiodącego organu nadzorczego

Wiodący organ nadzorczy to organ nadzorczy właściwy względem transgranicznego przetwarzania, dokonywanego przez tego administratora lub procesora. Jest nim organ nadzorczy głównej lub pojedynczej jednostki organizacyjnej administratora lub procesora. Status ten daje organowi nadzorczemu szczególną pozycję w ramach mechanizmu współpracy.

Każdy organ nadzorczy jest właściwy do:

1) rozpatrzenia skargi, którą do niego wniesiono; lub

2) zajęcia się ewentualnym naruszeniem rozporządzenia GDPR,

reklama

jeżeli sprawa:

1) dotyczy wyłącznie jednostki organizacyjnej w jego państwie członkowskim; lub

2) znacznie wpływa na osoby, których dane dotyczą, wyłącznie w jego państwie członkowskim.

W takich przypadkach organ nadzorczy niezwłocznie informuje o danej sprawie wiodący organ nadzorczy. W terminie trzech tygodni od otrzymania informacji wiodący organ nadzorczy postanawia czy zajmie się daną sprawą zgodnie z procedurą współpracy. Powinien on ją podjąć uwzględniając czy w państwie członkowskim, którego organ nadzorczy przekazał mu informacje, znajduje się jednostka organizacyjna administratora lub procesora.

Jeżeli wiodący organ nadzorczy:

1) postanowi zająć się daną sprawą, zastosowanie ma procedura współpracy. Organ nadzorczy, który przekazał informacje wiodącemu organowi nadzorczemu, może wtedy przedstawić projekt decyzji. Wiodący organ nadzorczy ma wtedy w jak największym stopniu uwzględnić ten projekt, przygotowując projekt decyzji;

2) postanowi nie zajmować się daną sprawą, sprawą zajmuje się organ nadzorczy, który przekazał informacje wiodącemu organowi nadzorczemu.

Administrator lub procesor komunikują się w sprawie dokonywanego przez nich transgranicznego przetwarzania jedynie z wiodącym organem nadzorczym.

reklama

Zadania organu nadzorczego

Każdy organ nadzorczy na swoim terytorium:

1) monitoruje i egzekwuje stosowanie rozporządzenia GDPR;

2) upowszechnia w społeczeństwie wiedzę o ryzyku, przepisach, zabezpieczeniach i prawach związanych z przetwarzaniem oraz rozumienie tych zjawisk;

3) doradza zgodnie z prawem państwa członkowskiego:

a) parlamentowi narodowemu;

b) rządowi; oraz

c) innym instytucjom i organom

w sprawie:

a) aktów prawnych; i

b) administracyjnych środków ochrony praw i wolności osób fizycznych w związku z przetwarzaniem;

4) upowszechnia wśród administratorów i procesorów wiedzę o obowiązkach spoczywających na nich na mocy rozporządzenia GDPR;

5) udziela osobie, której dane dotyczą, informacji o wykonywaniu praw przysługujących jej na mocy rozporządzenia GDPR, a w stosownym przypadku współpracuje w tym celu z organami nadzorczymi innych państw członkowskich;

6) rozpatruje skargi wniesione przez osobę, której dane dotyczą, przez podmiot, organizację lub zrzeszenie;

7) w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań;

8) współpracuje z innymi organami nadzorczymi, w tym dzieli się informacjami oraz świadczy wzajemną pomoc, w celu zapewnienia spójnego stosowania i egzekwowania rozporządzenia GDPR;

9) prowadzi postępowania w sprawie stosowania rozporządzenia GDPR, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego;

10) monitoruje zmiany w stosownych dziedzinach, o ile zmiany te mają wpływ na ochronę danych osobowych, w szczególności monitoruje rozwój technologii informacyjno-komunikacyjnych i praktyk handlowych;

11) przyjmuje standardowe klauzule umowne;

12) ustanawia i prowadzi wykaz związany z wymogiem dokonania oceny skutków dla ochrony danych;

13) udziela zaleceń dotyczących operacji przetwarzania;

14) zachęca do sporządzania kodeksów postępowania, wydaje opinie na ich temat oraz zatwierdza te kodeksy, w których znajdują się odpowiednie zabezpieczenia;

15) zachęca do ustanawiania mechanizmów certyfikacji w dziedzinie ochrony danych oraz znaków jakości i oznaczeń z tej dziedziny, a także zatwierdza kryteria certyfikacji;

16) dokonuje okresowego przeglądu udzielonych certyfikacji;

17) opracowuje i publikuje kryteria akredytacji podmiotu monitorującego kodeksy postępowania oraz podmiotu certyfikującego;

18) akredytuje podmiot monitorujący kodeksy postępowania oraz podmiot certyfikujący;

19) wydaje zezwolenia na klauzule umowne i przepisy przy przekazywaniu z zastrzeżeniem odpowiednich zabezpieczeń;

20) zatwierdza wiążące reguły korporacyjne;

21) bierze udział w pracach Europejskiej Rady Ochrony Danych;

22) prowadzi wewnętrzny rejestr naruszeń rozporządzenia GDPR i operacji naprawczych, w przypadku naruszenia przepisów rozporządzenia GDPR, przez operacje przetwarzania; oraz

23) wypełnia inne zadania związane z ochroną danych osobowych.

Gotowy formularz skargi

Każdy organ nadzorczy ułatwia wnoszenie skarg za pomocą takich środków, jak gotowy formularz skargi, który można również wypełnić elektronicznie, co nie wyklucza innych sposobów komunikacji.

Bezpłatne działania organu

Każdy organ nadzorczy wypełnia bezpłatnie zadania na rzecz:

1) osoby, której dane dotyczą, i

2) gdy ma to zastosowanie – inspektora ochrony danych.

Możliwość pobrania opłaty lub odmowy przez organ

Jeżeli żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, w szczególności ze względu na swą powtarzalność, organ nadzorczy może:

1) pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych; lub

2) odmówić podjęcia żądanych działań.

Obowiązek wykazania, że żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne spoczywa na organie nadzorczym.

Uprawnienia organu nadzorczego

Uprawnienia w zakresie prowadzonych postępowań

Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie prowadzonych postępowań:

1) nakazanie administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań;

2) prowadzenie postępowań w formie audytów ochrony danych;

3) dokonywanie przeglądu udzielonych certyfikacji;

4) zawiadamianie administratora lub procesora o podejrzeniu naruszenia rozporządzenia GDPR;

5) uzyskiwanie od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań;

6) uzyskiwanie dostępu do wszystkich pomieszczeń administratora i podmiotu przetwarzającego, w tym do sprzętu i środków służących do przetwarzania danych, zgodnie z procedurami określonymi w prawie unijnym lub w prawie państwa członkowskiego.

Uprawnienia naprawcze

Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze:

1) wydawanie ostrzeżeń administratorowi lub podmiotowi przetwarzającemu dotyczących możliwości naruszenia przepisów niniejszego rozporządzenia poprzez planowane operacje przetwarzania;

2) udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania;

3) nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia;

4) nakazanie administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu;

5) nakazanie administratorowi zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych;

6) wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania;

7) nakazanie:

a) sprostowania danych osobowych;

b) usunięcia danych osobowych; lub

c) ograniczenia przetwarzania danych osobowych,

oraz nakazanie powiadomienia o tych czynnościach odbiorców, którym dane osobowe ujawniono;

8) cofnięcie certyfikacji lub nakazanie podmiotowi certyfikującemu cofnięcia certyfikacji, lub nakazanie podmiotowi certyfikującemu nieudzielania certyfikacji, jeżeli jej wymogi nie są spełnione lub przestały być spełniane;

9) zastosowanie, oprócz lub zamiast swoich uprawnień naprawczych, administracyjnej kary pieniężnej, zależnie od okoliczności konkretnej sprawy;

10) nakazanie zawieszenia przepływu danych do odbiorcy w państwie trzecim lub do organizacji międzynarodowej.

Uprawnienia w zakresie wydawania zezwoleń i uprawnienia doradcze

Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie wydawania zezwoleń i uprawnienia doradcze:

1) udzielanie porad administratorowi zgodnie z procedurą uprzednich konsultacji;

2) wydawanie, z własnej inicjatywy lub na wniosek, opinii we wszelkich sprawach związanych z ochroną danych osobowych, przeznaczonych dla:

a) parlamentu narodowego;

b) rządu państwa członkowskiego; lub

c) zgodnie z prawem państwa członkowskiego – innych instytucji i organów oraz ogółu społeczeństwa;

3) zezwalanie na przetwarzanie do celów wykonania zadania realizowanego w interesie publicznym, jeżeli prawo państwa członkowskiego wymaga takiego uprzedniego zezwolenia;

4) opiniowanie i zatwierdzanie projektów kodeksów postępowania;

5) akredytowanie podmiotów certyfikujących;

6) udzielanie certyfikacji i zatwierdzanie kryteriów certyfikacji;

7) przyjmowanie standardowych klauzul ochrony danych;

8) zezwalanie na klauzule umowne między administratorem lub podmiotem przetwarzającym a administratorem, podmiotem przetwarzającym lub odbiorcą danych osobowych w państwie trzecim lub organizacji międzynarodowej;

9) zezwalanie na uzgodnienia administracyjne między organami lub podmiotami publicznymi, w których przewidziane będą egzekwowalne i skuteczne prawa osób, których dane dotyczą;

10) zatwierdzanie wiążących reguł korporacyjnych.

Możliwość zwrócenia się do sądu przez organ nadzorczy

Prawo państwa przewiduje, że jego organ nadzorczy jest uprawniony:

1) do wniesienia do organów wymiaru sprawiedliwości sprawy dotyczącej naruszenia rozporządzenia GDPR; oraz

2) w stosownych przypadkach – do wszczęcia lub do uczestniczenia w inny sposób w postępowaniu sądowym w celu wyegzekwowania stosowania przepisów rozporządzenia GDPR.

Możliwość przyznania organowi nadzorczemu dodatkowych uprawnień przez państwo

Każde państwo członkowskie może przewidzieć w swoich przepisach, że jego organowi nadzorczemu, przysługują poza uprawnieniami określonymi w rozporządzeniu GDPR, także inne uprawnienia. Jednakże wykonywanie tych uprawnień, nie może utrudniać skutecznego stosowania przepisów rozdziału regulującego mechanizmy współpracy i spójności.

Środki ochronne wobec działań organu

Wykonywanie uprawnień powierzonych organowi nadzorczemu podlega odpowiednim zabezpieczeniom – w tym prawu do:

1) skutecznego środka ochrony prawnej przed sądem; i

2) rzetelnego procesu.

Uprawnienia te określają: prawo Unii, prawo państwa członkowskiego, zgodnie z Kartą praw podstawowych.

Sprawozdanie z działalności

Każdy organ nadzorczy sporządza roczne sprawozdanie ze swojej działalności, w którym może wyszczególnić rodzaje zgłoszonych mu naruszeń i zastosowanych uprawnień.

Sprawozdania te są przekazywane parlamentowi narodowemu, rządowi i innym organom wskazanym prawem państwa członkowskiego. Są one udostępniane opinii publicznej, Komisji oraz Europejskiej Radzie Ochrony Danych.

Porównanie przepisów UODO/GDPR

Uodo

GDPR

Art. 12. Do zadań Generalnego Inspektora w szczególności należy:

1) kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych;

2) wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych;

3) zapewnienie wykonania przez zobowiązanych obowiązków o charakterze niepieniężnym wynikających z decyzji, o których mowa w pkt 2, przez stosowanie środków egzekucyjnych przewidzianych w ustawie z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji (Dz. U. z 2014 r. poz. 1619, z późn. zm.5));

4) prowadzenie rejestru zbiorów danych oraz rejestru administratorów bezpieczeństwa informacji, a także udzielanie informacji o zarejestrowanych zbiorach danych i zarejestrowanych administratorach bezpieczeństwa informacji;

5) opiniowanie projektów ustaw i rozporządzeń dotyczących ochrony danych osobowych;

6) inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych osobowych;

7) uczestniczenie w pracach międzynarodowych organizacji i instytucji zajmujących się problematyką ochrony danych osobowych.

Artykuł 57 Zadania

1. Bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium:

a) monitoruje i egzekwuje stosowanie niniejszego rozporządzenia;

b) upowszechnia w społeczeństwie wiedzę o ryzyku, przepisach, zabezpieczeniach i prawach związanych z przetwarzaniem oraz rozumienie tych zjawisk. Szczególną uwagę poświęca działaniom skierowanym do dzieci;

c) doradza, zgodnie z prawem państwa członkowskiego, parlamentowi narodowemu, rządowi oraz innym instytucjom i organom w sprawie aktów prawnych i administracyjnych środków ochrony praw i wolności osób fizycznych w związku z przetwarzaniem;

d) upowszechnia wśród administratorów i podmiotów przetwarzających wiedzę o obowiązkach spoczywających na nich na mocy niniejszego rozporządzenia;

e) udziela osobie, której dane dotyczą, na jej żądanie informacji o wykonywaniu praw przysługujących im na mocy niniejszego rozporządzenia, a w stosownym przypadku współpracuje w tym celu z organami nadzorczymi innych państw członkowskich;

f) rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym;

g) współpracuje z innymi organami nadzorczymi, w tym dzieli się informacjami oraz świadczy wzajemną pomoc, w celu zapewnienia spójnego stosowania i egzekwowania niniejszego rozporządzenia;

h) prowadzi postępowania w sprawie stosowania niniejszego rozporządzenia, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego;

i) monitoruje zmiany w stosownych dziedzinach, o ile zmiany te mają wpływ na ochronę danych osobowych, w szczególności monitoruje rozwój technologii informacyjno-komunikacyjnych i praktyk handlowych;

j) przyjmuje standardowe klauzule umowne, o których mowa w art. 28 ust. 8 i art. 46 ust. 2 lit. d);

k) ustanawia i prowadzi wykaz związany z wymogiem dokonania oceny skutków dla ochrony danych na mocy art. 35 ust. 4;

l) udziela zaleceń, o których mowa w art. 36 ust. 2, dotyczących operacji przetwarzania;

m) zachęca do sporządzania kodeksów postępowania zgodnie z art. 40, wydaje opinie na ich temat oraz zatwierdza te kodeksy, w których znajdują się odpowiednie zabezpieczenia, na mocy art. 40 ust. 5;

n) zachęca do ustanawiania mechanizmów certyfikacji w dziedzinie ochrony danych oraz znaków jakości i oznaczeń z tej dziedziny zgodnie z art. 42 ust. 1, a także zatwierdza kryteria certyfikacji zgodnie z art. 42 ust. 5;

o) gdy ma to zastosowanie – zgodnie z art. 42 ust. 7 dokonuje okresowego przeglądu udzielonych certyfikacji;

p) opracowuje i publikuje kryteria akredytacji podmiotu monitorującego kodeksy postępowania na mocy art. 41 oraz podmiotu certyfikującego na mocy art. 43;

q) akredytuje podmiot monitorujący kodeksy postępowania na mocy art. 41 oraz podmiot certyfikujący na mocy art. 43;

r) wydaje zezwolenia na klauzule umowne i przepisy, o których mowa w art. 46 ust. 3;

s) zatwierdza wiążące reguły korporacyjne na mocy art. 47;

t) bierze udział w pracach Europejskiej Rady Ochrony Danych;

u) prowadzi wewnętrzny rejestr naruszeń niniejszego rozporządzenia i działań podjętych zgodnie z art. 58 ust. 2; oraz

v) wypełnia inne zadania związane z ochroną danych osobowych.

2. Każdy organ nadzorczy ułatwia wnoszenie skarg, o których mowa w ust. 1 lit. f), za pomocą takich środków, jak gotowy formularz skargi, który można również wypełnić elektronicznie, co nie wyklucza innych sposobów komunikacji.

3. Każdy organ nadzorczy wypełnia zadania na rzecz osoby, której dane dotyczą, i – gdy ma to zastosowanie – inspektora ochrony danych bezpłatnie.

4. Jeżeli żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, w szczególności ze względu na swą powtarzalność, organ nadzorczy może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych lub może odmówić podjęcia żądanych działań. Obowiązek wykazania, że żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, spoczywa na organie nadzorczym.

 

 

Uodo

GDPR

Art. 14. W celu wykonania zadań, o których mowa w art. 12 pkt 1 i 2, Generalny Inspektor, zastępca Generalnego Inspektora lub upoważnieni przez niego pracownicy Biura, zwani dalej „inspektorami”, mają prawo:

1) wstępu, w godzinach od 600 do 2200, za okazaniem imiennego upoważnienia i legitymacji służbowej, do pomieszczenia, w którym zlokalizowany jest zbiór danych, oraz pomieszczenia, w którym przetwarzane są dane poza zbiorem danych, i przeprowadzenia niezbędnych badań lub innych czynności kontrolnych w celu oceny zgodności przetwarzania danych z ustawą;

2) żądać złożenia pisemnych lub ustnych wyjaśnień oraz wzywać i przesłuchiwać osoby w zakresie niezbędnym do ustalenia stanu faktycznego;

3) wglądu do wszelkich dokumentów i wszelkich danych mających bezpośredni związek z przedmiotem kontroli oraz sporządzania ich kopii;

4) przeprowadzania oględzin urządzeń, nośników oraz systemów informatycznych służących do przetwarzania danych;

5) zlecać sporządzanie ekspertyz i opinii.

Art. 15. 1. Kierownik kontrolowanej jednostki organizacyjnej oraz kontrolowana osoba fizyczna będąca administratorem danych osobowych są obowiązani umożliwić inspektorowi przeprowadzenie kontroli, a w szczególności umożliwić przeprowadzenie czynności oraz spełnić żądania, o których mowa w art. 14 pkt 1–4.

2. W toku kontroli zbiorów, o których mowa w art. 43 ust. 1 pkt 1a, inspektor przeprowadzający kontrolę ma prawo wglądu do zbioru zawierającego dane osobowe jedynie za pośrednictwem upoważnionego przedstawiciela kontrolowanej jednostki organizacyjnej.

3. Kontrolę przeprowadza się po okazaniu imiennego upoważnienia wraz z legitymacją służbową.

4. Imienne upoważnienie powinno zawierać:

1) wskazanie podstawy prawnej przeprowadzenia kontroli;

2) oznaczenie organu kontroli;

3) imię i nazwisko, stanowisko służbowe osoby upoważnionej do przeprowadzenia kontroli oraz numer jej legitymacji służbowej;

4) określenie zakresu przedmiotowego kontroli;

5) oznaczenie podmiotu objętego kontrolą albo zbioru danych, albo miejsca poddawanego kontroli;

6) wskazanie daty rozpoczęcia i przewidywanego terminu zakończenia kontroli;

7) podpis Generalnego Inspektora;

8) pouczenie kontrolowanego podmiotu o jego prawach i obowiązkach;

9) datę i miejsce wystawienia imiennego upoważnienia.

Art. 16. 1. Z czynności kontrolnych inspektor sporządza protokół, którego jeden egzemplarz doręcza kontrolowanemu administratorowi danych.

1a. Protokół kontroli powinien zawierać:

1) nazwę podmiotu kontrolowanego w pełnym brzmieniu i jego adres;

2) imię i nazwisko, stanowisko służbowe, numer legitymacji służbowej oraz numer upoważnienia inspektora;

3) imię i nazwisko osoby reprezentującej podmiot kontrolowany oraz nazwę organu reprezentującego ten podmiot;

4) datę rozpoczęcia i zakończenia czynności kontrolnych, z wymienieniem dni przerw w kontroli;

5) określenie przedmiotu i zakresu kontroli;

6) opis stanu faktycznego stwierdzonego w toku kontroli oraz inne informacje mające istotne znaczenie dla oceny zgodności przetwarzania danych z przepisami o ochronie danych osobowych;

7) wyszczególnienie załączników stanowiących składową część protokołu;

8) omówienie dokonanych w protokole poprawek, skreśleń i uzupełnień;

9) parafy inspektora i osoby reprezentującej podmiot kontrolowany na każdej stronie protokołu;

10) wzmiankę o doręczeniu egzemplarza protokołu osobie reprezentującej podmiot kontrolowany;

11) wzmiankę o wniesieniu lub niewniesieniu zastrzeżeń i uwag do protokołu;

12) datę i miejsce podpisania protokołu przez inspektora oraz przez osobę lub organ reprezentujący podmiot kontrolowany.

2. Protokół podpisują inspektor i kontrolowany administrator danych, który może wnieść do protokołu umotywowane zastrzeżenia i uwagi.

3. W razie odmowy podpisania protokołu przez kontrolowanego administratora danych, inspektor czyni o tym wzmiankę w protokole, a odmawiający podpisu może, w terminie 7 dni, przedstawić swoje stanowisko na piśmie Generalnemu Inspektorowi.

Art. 17. 1. Jeżeli na podstawie wyników kontroli inspektor stwierdzi naruszenie przepisów o ochronie danych osobowych, występuje do Generalnego Inspektora o zastosowanie środków, o których mowa w art. 18.

2. Na podstawie ustaleń kontroli inspektor może żądać wszczęcia postępowania dyscyplinarnego lub innego przewidzianego prawem postępowania przeciwko osobom winnym dopuszczenia do uchybień i poinformowania go, w określonym terminie, o wynikach tego postępowania i podjętych działaniach.

Art. 18. 1. W przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności:

1) usunięcie uchybień;

2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych;

3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe;

4) wstrzymanie przekazywania danych osobowych do państwa trzeciego;

5) zabezpieczenie danych lub przekazanie ich innym podmiotom;

6) usunięcie danych osobowych.

2. Decyzje Generalnego Inspektora, o których mowa w ust. 1, nie mogą ograniczać swobody działania podmiotów zgłaszających kandydatów lub listy kandydatów w wyborach na urząd Prezydenta Rzeczypospolitej Polskiej, do Sejmu, do Senatu i do organów samorządu terytorialnego, a także w wyborach do Parlamentu Europejskiego, pomiędzy dniem zarządzenia wyborów a dniem głosowania.

2a. Decyzje Generalnego Inspektora, o których mowa w ust. 1, w odniesieniu do zbiorów określonych w art. 43 ust. 1 pkt 1a, nie mogą nakazywać usunięcia danych osobowych zebranych w toku czynności operacyjno-rozpoznawczych prowadzonych na podstawie przepisów prawa.

3. W przypadku gdy przepisy innych ustaw regulują odrębnie wykonywanie czynności, o których mowa w ust. 1, stosuje się przepisy tych ustaw.

Art. 19. W razie stwierdzenia, że działanie lub zaniechanie kierownika jednostki organizacyjnej, jej pracownika lub innej osoby fizycznej będącej administratorem danych wyczerpuje znamiona przestępstwa określonego w ustawie, Generalny Inspektor kieruje do organu powołanego do ścigania przestępstw zawiadomienie o popełnieniu przestępstwa, dołączając dowody dokumentujące podejrzenie.

Art. 19a. 1. W celu realizacji zadań, o których mowa w art. 12 pkt 6, Generalny Inspektor może kierować do organów państwowych, organów samorządu terytorialnego, państwowych i komunalnych jednostek organizacyjnych, podmiotów niepublicznych realizujących zadania publiczne, osób fizycznych i prawnych, jednostek organizacyjnych niebędących osobami prawnymi oraz innych podmiotów wystąpienia zmierzające do zapewnienia skutecznej ochrony danych osobowych.

2. Generalny Inspektor może również występować do właściwych organów z wnioskami o podjęcie inicjatywy ustawodawczej albo o wydanie bądź zmianę aktów prawnych w sprawach dotyczących ochrony danych osobowych.

3. Podmiot, do którego zostało skierowane wystąpienie lub wniosek, o których mowa w ust. 1 i 2, jest obowiązany ustosunkować się do tego wystąpienia lub wniosku na piśmie w terminie 30 dni od daty jego otrzymania.

Art. 19b. 1. Generalny Inspektor może zwrócić się do administratora bezpieczeństwa informacji wpisanego do rejestru, o którym mowa w art. 46c, o dokonanie sprawdzenia, o którym mowa w art. 36a ust. 2 pkt 1 lit. a, u administratora danych, który go powołał, wskazując zakres i termin sprawdzenia.

2. Po dokonaniu sprawdzenia, o którym mowa w art. 36a ust. 2 pkt 1 lit. a, administrator bezpieczeństwa informacji, za pośrednictwem administratora danych, przedstawia Generalnemu Inspektorowi sprawozdanie, o którym mowa w art. 36a ust. 2 pkt 1 lit. a.

3. Dokonanie przez administratora bezpieczeństwa informacji sprawdzenia w przypadku, o którym mowa w ust. 1, nie wyłącza prawa Generalnego Inspektora do przeprowadzenia kontroli, o której mowa w art. 12 pkt 1.

Art. 22a. Minister właściwy do spraw informatyzacji określi, w drodze rozporządzenia, wzór upoważnienia i legitymacji służbowej, o których mowa w art. 14 pkt 1, uwzględniając konieczność imiennego wskazania inspektora Biura Generalnego Inspektora Ochrony Danych Osobowych.

Artykuł 58 Uprawnienia

1. Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie prowadzonych postępowań:

a) nakazanie administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań;

b) prowadzenie postępowań w formie audytów ochrony danych;

c) dokonywanie przeglądu udzielonych certyfikacji na mocy art. 42 ust. 7;

d) zawiadamianie administratora lub podmiotu przetwarzającego o podejrzeniu naruszenia niniejszego rozporządzenia;

e) uzyskiwanie od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań;

f) uzyskiwanie dostępu do wszystkich pomieszczeń administratora i podmiotu przetwarzającego, w tym do sprzętu i środków służących do przetwarzania danych, zgodnie z procedurami określonymi w prawie unijnym lub w prawie państwa członkowskiego.

2. Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze:

a) wydawanie ostrzeżeń administratorowi lub podmiotowi przetwarzającemu dotyczących możliwości naruszenia przepisów niniejszego rozporządzenia poprzez planowane operacje przetwarzania;

b) udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania;

c) nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia;

d) nakazanie administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu;

e) nakazanie administratorowi zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych;

f) wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania;

g) nakazanie na mocy art. 16, 17 i 18 sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania oraz nakazanie na mocy art. 17 ust. 2 i art. 19 powiadomienia o tych czynnościach odbiorców, którym dane osobowe ujawniono;

h) cofnięcie certyfikacji lub nakazanie podmiotowi certyfikującemu cofnięcia certyfikacji udzielonej na mocy art. 42 lub 43, lub nakazanie podmiotowi certyfikującemu nieudzielania certyfikacji, jeżeli jej wymogi nie są spełnione lub przestały być spełniane;

i) zastosowanie, oprócz lub zamiast środków, o których mowa w niniejszym ustępie, administracyjnej kary pieniężnej na mocy art. 83, zależnie od okoliczności konkretnej sprawy;

j) nakazanie zawieszenia przepływu danych do odbiorcy w państwie trzecim lub do organizacji międzynarodowej.

3. Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie wydawania zezwoleń i uprawnienia doradcze:

a) udzielanie porad administratorowi zgodnie z procedurą uprzednich konsultacji, o której mowa w art. 36;

b) wydawanie, z własnej inicjatywy lub na wniosek, opinii przeznaczonych dla parlamentu narodowego, rządu państwa członkowskiego lub – zgodnie z prawem państwa członkowskiego – innych instytucji i organów oraz ogółu społeczeństwa we wszelkich sprawach związanych z ochroną danych osobowych;

c) zezwalanie na przetwarzanie zgodnie z art. 36 ust. 5, jeżeli prawo państwa członkowskiego wymaga takiego uprzedniego zezwolenia;

d) opiniowanie i zatwierdzanie projektów kodeksów postępowania zgodnie z art. 40 ust. 5;

e) akredytowanie na mocy art. 43 podmiotów certyfikujących;

f) udzielanie certyfikacji i zatwierdzanie kryteriów certyfikacji zgodnie z art. 42 ust. 5;

g) przyjmowanie standardowych klauzul ochrony danych, o których mowa w art. 28 ust. 8 i art. 46 ust. 2 lit. d);

h) zezwalanie na klauzule umowne, o których mowa w art. 46 ust. 3 lit. a);

i) zezwalanie na uzgodnienia administracyjne, o których mowa w art. 46 ust. 3 lit. b);

j) zatwierdzanie wiążących reguł korporacyjnych na mocy art. 47.

4. Wykonywanie uprawnień powierzonych organowi nadzorczemu na mocy niniejszego artykułu podlega odpowiednim zabezpieczeniom – w tym prawu do skutecznego środka ochrony prawnej przed sądem i rzetelnego procesu, określonym w prawie Unii i prawie państwa członkowskiego zgodnie z Kartą praw podstawowych.

5. Każde państwo członkowskie przewiduje w swoich przepisach, że jego organ nadzorczy jest uprawniony do wniesienia do organów wymiaru sprawiedliwości sprawy dotyczącej naruszenia niniejszego rozporządzenia oraz w stosownych przypadkach do wszczęcia lub do uczestniczenia w inny sposób w postępowaniu sądowym w celu wyegzekwowania stosowania przepisów niniejszego rozporządzenia.

6. Każde państwo członkowskie może przewidzieć w swoich przepisach, że jego organowi nadzorczemu przysługują poza uprawnieniami określonymi w ust. 1, 2 i 3 także inne uprawnienia. Wykonywanie tych uprawnień nie może utrudniać skutecznego stosowania przepisów rozdziału VII.

 

Uodo

GDPR

Art. 20. Generalny Inspektor składa Sejmowi, raz w roku, sprawozdanie ze swojej działalności wraz z wnioskami wynikającymi ze stanu przestrzegania przepisów o ochronie danych osobowych.

Artykuł 59 Sprawozdanie z działalności

Każdy organ nadzorczy sporządza roczne sprawozdanie ze swojej działalności, w którym może wyszczególnić rodzaje zgłoszonych mu naruszeń i rodzaje środków podjętych zgodnie z art. 58 ust. 2. Sprawozdania te są przekazywane parlamentowi narodowemu, rządowi i innym organom wskazanym prawem państwa członkowskiego. Są one udostępniane opinii publicznej, Komisji oraz Europejskiej Radzie Ochrony Danych.

 

Przeczytaj również:

UDOSTĘPNIJ
Poprzedni artykułNiezależny status organu nadzorczego
Następny artykułObowiązki administratora
Omni Modo to po łacinie „na każdy sposób”. Nazwa naszej firmy to nie przypadek. Na każdy sposób chcemy bowiem pokazywać klientom nasze doświadczenie, profesjonalizm i sukcesy w dziedzinie ochrony danych osobowych.