Rządowy projekt ustawy o ułatwieniu wykonywania działalności gospodarczej

– 4 –
3. Z czynności niewymienionych w ust. 1, które mają istotne znaczenie dla ustaleń
dokonywanych w ramach sprawdzenia, administrator bezpieczeństwa informacji sporządza
notatkę służbową.
§ 11. Administrator bezpieczeństwa informacji w toku sprawdzenia, w miarę potrzeby,
informuje administratora danych o ustaleniach wskazujących na ujawnione przypadki
naruszenia przepisów o ochronie danych osobowych.
§ 12. 1. Administrator bezpieczeństwa informacji opracowuje sprawozdanie niezwłocznie, nie
później niż w terminie 14 dni od dnia zakończenia sprawdzenia i przekazuje do zapoznania
się administratorowi danych.
2. Administrator danych może w terminie 7 dni wnieść uwagi lub zastrzeżenia do
sprawozdania.
3. Administrator bezpieczeństwa informacji po dokonaniu analizy zasadności
uwzględnienia w sprawozdaniu uwag lub zastrzeżeń, o których mowa w ust. 2, w terminie
7 dni od ich otrzymania przekazuje sprawozdanie administratorowi danych.
§ 13. Sprawozdanie ze sprawdzenia, o którym mowa w § 3 pkt 1, jest sporządzane w dwóch
jednobrzmiących egzemplarzach, z których jeden egzemplarz administrator danych
przekazuje Generalnemu Inspektorowi Ochrony Danych Osobowych.
§ 14. Administrator bezpieczeństwa informacji monitoruje na bieżąco zaplanowane procesy
przetwarzania danych osobowych w celu stwierdzenia konieczności opracowania
dokumentacji w tym zakresie.
§ 15. Administrator bezpieczeństwa informacji monitoruje na bieżąco aktualność
dokumentacji. Aktualizacja powinna być wykonana w terminie 7 dni od dnia wystąpienia
zmiany stanu faktycznego w procesie przetwarzania danych osobowych.
§ 16. 1. Opracowana lub zaktualizowana dokumentacja jest przedstawiana administratorowi
bezpieczeństwa informacji.
2. Administrator bezpieczeństwa informacji może wnieść uwagi lub zastrzeżenia do
dokumentacji, których nieuwzględnienie wymaga pisemnego uzasadnienia.
3. Niezwłocznie po otrzymaniu dokumentacji uwzględniającej uwagi i zastrzeżenia,
o których mowa w ust. 2, lub po zaakceptowaniu przez administratora bezpieczeństwa
informacji uzasadnienia, o którym mowa w ust. 2, administrator bezpieczeństwa informacji
przekazuje dokumentację administratorowi danych w celu zatwierdzenia w sposób przyjęty
u administratora danych oraz w celu jej wdrożenia.
– 5 –
§ 17. Administrator bezpieczeństwa informacji na bieżąco nadzoruje przestrzeganie zasad
określonych w dokumentacji.
§ 18. 1. W przypadku stwierdzenia naruszenia zasad określonych w dokumentacji,
administrator bezpieczeństwa informacji sporządza raport zawierający zakres naruszenia oraz
propozycje sposobu jego usunięcia.
2. Raport jest przedstawiany administratorowi danych.
§ 19. Rozporządzenie wchodzi w życie z dniem 1 stycznia 2015 r.

MINISTER ADMINISTRACJI
I CYFRYZACJI


– 6 –
UZASADNIENIE

Przedmiotowe rozporządzenie wydane jest na podstawie delegacji określonej w art. 36a ust. 7
pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r.
Nr 101, poz. 926, z późn. zm.), zwanej dalej „ustawą o ochronie danych osobowych”
w brzmieniu nadanym przez art. 8 pkt 4 ustawy z dnia ... o ułatwieniu wykonywania
działalności gospodarczej (Dz. U. poz. ... ), zwanej dalej „ustawą z dnia . .”. Zgodnie
z ww. przepisem minister właściwy do spraw administracji publicznej określi, w drodze
rozporządzenia, tryb i sposób realizacji zadań, o których mowa w ust. 2 pkt 1 lit. a i b
(art. 36a) ustawy o ochronie danych osobowych, tj. zapewnienia przestrzegania przepisów
o ochronie danych osobowych, w szczególności przez sprawdzanie zgodności przetwarzania
danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym
zakresie sprawozdania dla administratora danych, a także nadzorowanie opracowania
i aktualizowania dokumentacji, o której mowa w art. 36 ust. 2 ustawy o ochronie danych
osobowych, oraz przestrzegania zasad w niej określonych.
Przepisy ustawy z dnia ... nałożyły na administratorów bezpieczeństwa informacji obowiązek
dokonywania sprawdzania zgodności przetwarzania danych osobowych z przepisami
o ochronie danych osobowych oraz opracowywania w tym zakresie sprawozdania dla
administratora danych, a jeżeli sprawdzenie odbywa się na wniosek Generalnego Inspektora
Ochrony Danych Osobowych –
opracowania sprawozdania dla tego organu.
W dotychczasowych przepisach ustawy o ochronie danych osobowych przewidywano jedynie
obowiązek nadzorowania przez administratora bezpieczeństwa informacji przestrzegania
zasad ochrony, o których mowa w art. 36 ust. 1. Nie wspominano natomiast o konieczności
dokonywania konkretnych działań. W związku z wprowadzeniem nowych obowiązków,
zaistniała konieczność uregulowania trybu i sposobu ich realizacji. W drodze delegacji
ustawowej przekazano wskazane zagadnienia do uregulowania ministrowi właściwemu do
spraw administracji publicznej.
Projekt rozporządzenia jest zgodny z prawem Unii Europejskiej.
Nie zachodzi konieczność przedstawienia projektu rozporządzenia właściwym organom
i instytucjom Unii Europejskiej, w tym Europejskiemu Bankowi Centralnemu, w myśl
postanowień § 27 ust. 4 uchwały nr 190 Rady Ministrów z dnia 29 października 2013 r.
– Regulamin Pracy Rady Ministrów (M.P. poz. 979).
Projekt rozporządzenia nie zawiera przepisów technicznych i nie podlega notyfikacji zgodnie
z przepisami rozporządzenia Rady Ministrów z dnia 23 grudnia 2002 r. w sprawie sposobu
– 7 –
funkcjonowania krajowego systemu notyfikacji norm i aktów prawnych (Dz. U. Nr 239,
poz. 2039, z późn. zm.).
W celu wykonania obowiązku wynikającego z art. 5 ustawy z dnia 7 lipca 2005 r.
o działalności lobbingowej w procesie stanowienia prawa (Dz. U. Nr 169, poz. 144,
z późn. zm.) projekt rozporządzenia zostanie umieszczony w Biuletynie Informacji Publicznej
na stronie internetowej Ministerstwa Administracji i Cyfryzacji oraz Biuletynie Informacji
Publicznej na stronie internetowej Rządowego Centrum Legislacji.



























– 8 –
OCENA SKUTKÓW REGULACJI (OSR)

1. Podmioty, na które oddziałuje rozporządzenie
Rozporządzenie dotyczy administratorów danych, którymi – w myśl art. 7 pkt 4 ustawy z dnia
29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926,
z późn. zm.), zwanej dalej „ustawą” – są podmioty decydujące o celach i środkach
przetwarzania tych danych oraz odnosi się do podmiotów, którym powierzono przetwarzanie
danych na podstawie art. 31 ustawy. Ze względu na art. 3 ustawy, wskazujący zakres
podmiotowy jej stosowania, rozporządzenie będzie miało zastosowanie do organów
państwowych, organów samorządu terytorialnego, państwowych i komunalnych jednostek
organizacyjnych, podmiotów niepublicznych realizujących zadania publiczne, a także do osób
fizycznych i osób prawnych oraz jednostek organizacyjnych niebędących osobami prawnymi,
które przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową lub dla
realizacji celów statutowych.
2. Konsultacje społeczne
Projekt rozporządzenia będzie przedmiotem konsultacji międzyresortowych i społecznych.
3. Wpływ rozporządzenia na sektor finansów publicznych, w tym na budżet państwa
i budżet jednostek samorządu terytorialnego
Rozporządzenie nie spowoduje dodatkowych skutków finansowych dla budżetu państwa
i budżetów jednostek samorządu terytorialnego.
4. Wpływ rozporządzenia na rynek pracy
Rozporządzenie nie będzie miało bezpośredniego wpływu na rynek pracy.
5. Wpływ rozporządzenia na konkurencyjność gospodarki i przedsiębiorczość, w tym na
funkcjonowanie przedsiębiorstw
Rozporządzenie nie będzie miało wpływu na konkurencyjność gospodarki
i przedsiębiorczość, w tym na funkcjonowanie przedsiębiorstw.
6. Wpływ rozporządzenia na sytuację i rozwój regionalny
Rozporządzenie nie będzie miało wpływu na sytuację i rozwój regionalny.



14/06/KC