Ustawa o pomocy państwa w wychowaniu dzieci (tzw. ustawa 500+) była inicjatywą rządową i na etapie przygotowywania i konsultowania projektu nie było mowy o nowelizowaniu „przy okazji" ustawy o ochronie danych osobowych. Propozycja zmiany pojawiła się na etapie obrad Komitetu Stałego Rady Ministrów, nie bez przyczyny – opublikowanemu wcześniej projektowi zarzucono m.in., że zakłada zbieranie danych osobowych dotyczących osób korzystających z programu, które miały być następnie udostępniane administracji rządowej przez administrację samorządową dokonującą wypłat na podstawie ustawy. Ta procedura udostępniania danych od początku wzbudzała wiele wątpliwości – mówiąc wprost, nie miała żadnych podstaw prawnych. Co więc na to autorzy projektu? Zaproponowano zmiany w ustawie o ochronie danych osobowych jako odpowiedź na uwagi do projektu.
Kilku administratorów
W efekcie w uchwalonej ustawie 500+ znalazł się art. 38 wprowadzający dwie – fundamentalne – zmiany w prawie ochrony danych osobowych. Po pierwsze, w art. 23 ustawy o ochronie danych osobowych po ust. 2 dodano ust. 2a w brzmieniu: „Podmioty, o których mowa w art. 3 ust. 1, uważa się za jednego administratora danych, jeżeli przetwarzanie danych służy temu samemu interesowi publicznemu". Po drugie, w art. 31 po ust. 2 dodano ust. 2a w brzmieniu: „Nie wymaga zawarcia umowy między administratorem a podmiotem, o którym mowa w ust. 1, powierzenie przetwarzania danych, w tym przekazywanie danych, jeżeli ma miejsce między podmiotami, o których mowa w art. 3 ust. 1".
Pierwsza zmiana dotyczy pojęcia administratora danych w sferze publicznej (organy władzy publicznej i podmioty prywatne wykonujące zadania publiczne). Administrator danych to fundamentalna instytucja dla prawa ochrony danych osobowych – to podmiot, który podejmuje decyzje dotyczące przetwarzanych przez niego danych osobowych (decyduje o celach i środkach przetwarzania danych) i który ponosi odpowiedzialność za przetwarzane przez siebie dane osobowe.
Ponosi odpowiedzialność, a więc osoby, których dane dotyczą, mogą złożyć skargę na jego działania i zaniechania do generalnego inspektora ochrony danych osobowych, a GIODO może mu nakazać lub zakazać określonych działań.
Organy władzy publicznej, będąc administratorami danych, nie korzystają z takiej swobody jak podmioty ze sfery prawa prywatnego – władza publiczna może z naszymi danymi osobowymi zrobić to, na co zezwala jej prawo.
