Celem nowych regulacji jest zharmonizowanie rozwiązań zawartych w ustawach z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej RODO). Dokonuje tego ustawa z 21 lutego 2019 r. (dalej nowelizacja), która zmienia 162 ustaw, w tym kodeks postępowania administracyjnego (dalej k.p.a.). Większość przepisów nowelizacji, w tym zmiany w k.p.a., wejdą w życie 4 maja 2019 r.
Czytaj także: Przewodnik po RODO dla administracji - odpowiedzi na konkretne pytania urzędników
Wymóg przekazania informacji
W art. 13 ust. 1 RODO określono informacje, jakie trzeba podawać w razie zbierania danych od osoby, której dotyczą dane. W takim przypadku administrator, podczas pozyskiwania danych, podaje m.in. swoją tożsamość i dane kontaktowe, dane kontaktowe inspektora ochrony danych (por. art. 37 RODO), cele przetwarzania danych i podstawę prawną przetwarzania oraz informacje o odbiorcach danych. Podczas pozyskiwania danych osobowych, administrator podaje osobie, której dotyczą dane, także inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania, a w tym m.in. okres, przez który dane będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu oraz informacje o prawie do żądania od administratora dostępu do danych, ich sprostowania czy ograniczenia przetwarzania (art. 13 ust. 2 RODO).
Po nowelizacji, k.p.a. będzie regulować sposób wykonywania obowiązku wynikającego z art. 13 ust. 1 i 2 RODO, w postępowaniach unormowanych tym kodeksem. Wykonywanie obowiązku podawania informacji w razie zbierania danych od osoby, której dotyczą dane, będzie odbywać się niezależnie od obowiązków organów przewidzianych w k.p.a. oraz nie będzie wpływać na tok i wynik postępowania. Art. 18 ust. 1 RODO określa przypadki, gdy osoba, której dotyczą dane, ma prawo żądania od administratora ograniczenia ich przetwarzania (np. gdy dana osoba kwestionuje prawidłowość danych i żąda ograniczenia ich przetwarzania - na okres pozwalający administratorowi na sprawdzenie ich prawidłowości). Również wystąpienie z takim żądaniem nie wpłynie na tok i wynik postępowania prowadzonego przez organ zgodnie z k.p.a.
Wypełnianie prawnego obowiązku
W myśl art. 6 ust. 1 pkt c RODO zgodne z prawem jest przetwarzanie danych niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. W uzasadnieniu nowelizacji zwrócono uwagę, że organ administracji publicznej - z uwagi na przetwarzanie danych na podstawie tego przepisu - nie ma obowiązku informowania stron postępowania o prawie do wniesienia sprzeciwu, o prawie do przenoszenia danych, o prawie do bycia zapomnianym czy o prawie do cofnięcia zgody na przetwarzanie danych. Korzystanie z tych praw jest bowiem wyłączone na gruncie samego RODO - w zakresie, w jakim podstawą przetwarzania danych jest obowiązek ciążący na administratorze wynikający z przepisów prawa.
