Ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)¹⁾²⁾

po art. 2 dodaje się art. 2a w brzmieniu:

„ Art. 2a. § 1. Kodeks postępowania administracyjnego normuje również sposób wykonywania obowiązku, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)³⁾, zwanego dalej „rozporządzeniem 2016/679”, w postępowaniach wymienionych w art. 1 i art. 2. § 2. Wykonywanie obowiązku, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, odbywa się niezależnie od obowiązków organów administracji publicznej przewidzianych w Kodeksie postępowania administracyjnego i nie wpływa na tok i wynik postępowania. § 3. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie wpływa na tok i wynik postępowania. ” ;

w art. 54 po § 1 dodaje się § 1a w brzmieniu:

„ § 1a. W wezwaniu zawiera się również informacje, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, chyba że wezwany posiada te informacje, a ich zakres lub treść nie uległy zmianie. ” ;

w art. 61 dodaje się § 5 w brzmieniu:

„ § 5. Organ administracji publicznej przekazuje informacje, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, przy pierwszej czynności skierowanej do strony, chyba że strona posiada te informacje, a ich zakres lub treść nie uległy zmianie. ” ;

w art. 61a w § 1 dodaje się zdanie drugie w brzmieniu:

„ Przepis art. 61 § 5 stosuje się odpowiednio. ” ;

w art. 65 po § 1 dodaje się § 1a w brzmieniu:

„ § 1a. Zawiadomienie o przekazaniu sprawy zawiera również informacje, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, w zakresie danych przetwarzanych przez organ przekazujący, chyba że wnoszący podanie posiada te informacje, a ich zakres lub treść nie uległy zmianie. ” ;

w art. 66 w § 1 dodaje się zdanie trzecie w brzmieniu:

„ Do zawiadomienia stosuje się odpowiednio przepis art. 65 § 1a. ” ;

w art. 73 po § 1a dodaje się § 1b w brzmieniu:

„ § 1b. Wgląd w akta sprawy w przypadku, o którym mowa w art. 236 § 2, następuje z pominięciem danych osobowych osoby składającej skargę. ” ;

po art. 74 dodaje się art. 74a w brzmieniu:

„ Art. 74a. Przepis art. 73 § 1 nie narusza prawa osoby, której dane dotyczą, do skorzystania z uprawnień wynikających z art. 15 rozporządzenia 2016/679. ” ;

po art. 122g dodaje się art. 122h w brzmieniu:

„ Art. 122h. § 1. W sprawach załatwianych milcząco organ administracji publicznej udostępnia informacje, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, na swojej stronie internetowej oraz w widocznym miejscu w swojej siedzibie. § 2. Przekazanie informacji, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, w sposób określony w § 1, nie zwalnia organu administracji publicznej z obowiązku ich przekazania przy pierwszej czynności skierowanej do strony. ” ;

po art. 217 dodaje się art. 217a w brzmieniu:

„ Art. 217a. Organ administracji publicznej przekazuje informacje, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, przy pierwszej czynności skierowanej do strony, chyba że strona posiada te informacje, a ich zakres lub treść nie uległy zmianie. ” ;

po art. 226 dodaje się art. 226a w brzmieniu:

„ Art. 226a. Organy właściwe w sprawach skarg i wniosków przekazują informacje, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, skarżącemu lub wnioskodawcy przy pierwszej czynności skierowanej do tych osób. ” ;

w art. 231 dotychczasową treść oznacza się jako § 1 i dodaje się § 2 w brzmieniu:

„ § 2. Informacje, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, w zakresie danych przetwarzanych przez organ przekazujący skargę, dołącza się do zawiadomienia o przekazaniu skargi. ” ;

w art. 236 dotychczasową treść oznacza się jako § 1 i dodaje się § 2 i 3 w brzmieniu:

„ § 2. W przypadku wszczęcia albo wznowienia postępowania, stwierdzenia nieważności decyzji, jej uchylenia albo zmiany na skutek skargi, o której mowa w art. 233 zdanie drugie, art. 234 pkt 2 lub art. 235, w stosunku do strony i uczestnika postępowania przepisu art. 15 ust. 1 lit. g rozporządzenia 2016/679 nie stosuje się. § 3. Na każdym etapie postępowania, o którym mowa w § 2, skarżący może zezwolić organowi na udostępnienie swoich danych stronie postępowania. ” .

art. 22¹ otrzymuje brzmienie:

„ Art. 22¹. § 1. Pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących: 1) imię (imiona) i nazwisko; 2) datę urodzenia; 3) dane kontaktowe wskazane przez taką osobę; 4) wykształcenie; 5) kwalifikacje zawodowe; 6) przebieg dotychczasowego zatrudnienia. § 2. Pracodawca żąda podania danych osobowych, o których mowa w § 1 pkt 4-6, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. § 3. Pracodawca żąda od pracownika podania dodatkowo danych osobowych obejmujących: 1) adres zamieszkania; 2) numer PESEL, a w przypadku jego braku - rodzaj i numer dokumentu potwierdzającego tożsamość; 3) inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy; 4) wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie; 5) numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych. § 4. Pracodawca żąda podania innych danych osobowych niż określone w § 1 i 3, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. § 5. Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której dane dotyczą. Pracodawca może żądać udokumentowania danych osobowych osób, o których mowa w § 1 i 3, w zakresie niezbędnym do ich potwierdzenia. ” ;

po art. 22¹ dodaje się art. 22^1a i art. 22^1b w brzmieniu:

„ Art. 22^1a. § 1. Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 22¹§ 1 i 3, z wyjątkiem danych osobowych, o których mowa w art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁷⁾, zwanego dalej „rozporządzeniem 2016/679”. § 2. Brak zgody, o której mowa w § 1, lub jej wycofanie, nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę. § 3. Przetwarzanie, o którym mowa w § 1, dotyczy danych osobowych udostępnianych przez osobę ubiegającą się o zatrudnienie lub pracownika na wniosek pracodawcy lub danych osobowych przekazanych pracodawcy z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Art. 22^1b. § 1. Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679, wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Przepis art. 22^1a § 2 stosuje się odpowiednio. § 2. Przetwarzanie danych biometrycznych pracownika jest dopuszczalne także wtedy, gdy podanie takich danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony. § 3. Do przetwarzania danych osobowych, o których mowa w § 1, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania takich danych wydane przez pracodawcę. Osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w tajemnicy. ” ;

w art. 22²:

w art. 229:

w art. 25 dodaje się ust. 4 w brzmieniu:

„ 4. Wpis dotyczący osoby fizycznej uprawnionej według treści prawa lub roszczenia, lub osoby fizycznej, której roszczenie zostało zabezpieczone przez wpis ostrzeżenia, obejmuje jej imię (imiona) i nazwisko (nazwiska), numer PESEL, chyba że odrębne przepisy nie przewidują nadawania tego numeru, oraz imię ojca i imię matki. ” ;

w art. 68² po ust. 5 dodaje się ust. 5¹ w brzmieniu:

„ 5¹. W przypadku gdy administratorem hipoteki jest osoba fizyczna, w księdze wieczystej wpisuje się jej imię (imiona) i nazwisko (nazwiska), numer PESEL, chyba że odrębne przepisy nie przewidują nadawania tego numeru, oraz imię ojca i imię matki. ” .

po art. 25a dodaje się art. 25b w brzmieniu:

„ Art. 25b. Wójt (burmistrz, prezydent miasta) jest administratorem danych, o których mowa w art. 25a ust. 1 i 2, przetwarzanych przez powołaną przez niego gminną komisję rozwiązywania problemów alkoholowych. ” ;

w art. 42 ust. 14 otrzymuje brzmienie:

„ 14. Dane utrwalone za pomocą urządzeń monitorujących są przetwarzane wyłącznie przez osoby posiadające pisemne upoważnienie wydane przez administratora danych w celu realizacji zadań określonych w ustawie. Osoby te są zobowiązane do zachowania tych danych w poufności. ” .

w art. 16d po ust. 2 dodaje się ust. 2a w brzmieniu:

„ 2a. Zgłoszenie, o którym mowa w ust. 2 pkt 1, zawiera następujące dane zainteresowanego lub jego upoważnionego przedstawiciela: 1) imię i nazwisko; 2) adres zamieszkania; 3) adres korespondencyjny; 4) numer telefonu lub adres poczty elektronicznej, jeżeli zostały podane do wykorzystania; 5) rodzaj i numer dokumentu potwierdzającego tożsamość; 6) podpis własnoręczny, kwalifikowany podpis elektroniczny, podpis zaufany lub podpis osobisty. ” ;

w art. 21:

art. 22a otrzymuje brzmienie:

„ Art. 22a. Podmioty, o których mowa w art. 22 ust. 1 pkt 2-3a oraz ust. 2, w zakresie prowadzonej działalności archiwalnej mogą, na podstawie umowy albo porozumienia zawartych z Naczelnym Dyrektorem Archiwów Państwowych lub właściwym archiwum państwowym, nieodpłatnie korzystać z systemów informatycznych i teleinformatycznych, o których mowa w art. 21 ust. 1 pkt 10 lit. a. ” ;

po art. 22a dodaje się art. 22b-22d w brzmieniu:

„ Art. 22b. 1. Do przetwarzania danych osobowych przez jednostki, o których mowa w art. 22 ust. 1 pkt 1 i 2 oraz ust. 2, w zakresie ich działalności archiwalnej, a także w zakresie przechowywania przez jednostki, o których mowa w art. 22 ust. 1 pkt 1, dokumentacji określonej w art. 51a ust. 1 i art. 51r, ogranicza się stosowanie: 1) art. 16 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)¹¹⁾, zwanego dalej „rozporządzeniem 2016/679”, w ten sposób, że przetwarzający przyjmują od osoby, której dane dotyczą, pisemne sprostowanie lub uzupełnienie dotyczące jej danych osobowych, nie dokonując ingerencji w materiały archiwalne; 2) art. 18 ust. 1 lit. a i b rozporządzenia 2016/679, w zakresie niezbędnym do zapewnienia korzystania z materiałów archiwalnych zgodnie z ustawą, bez naruszania istoty ochrony danych osobowych zawartych w tych materiałach, także w przypadku pierwotnego zbierania danych w sposób bezprawny albo w przypadku nieprawdziwości, nieścisłości lub niekompletności danych. 2. W przypadku, o którym mowa w ust. 1 pkt 1, sprostowanie lub uzupełnienie jest przechowywane i udostępniane odrębnie od materiałów archiwalnych, a informację o ich wniesieniu zamieszcza się w odpowiednich środkach ewidencyjnych. 3. Wykonanie obowiązku, o którym mowa w art. 15 ust. 1 i 3 rozporządzenia 2016/679, następuje w zakresie, w jakim dane osobowe podlegające udostępnieniu mogą być ustalone za pomocą istniejących środków ewidencyjnych. 4. Administrator danych informuje o ograniczeniach, o których mowa w ust. 1 i 3, w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, swojej stronie internetowej oraz w widocznym miejscu w swojej siedzibie. 5. Zabezpieczenia stosowane przez jednostki, o których mowa w art. 22, polegają co najmniej na: 1) dopuszczeniu do przetwarzania chronionych danych osobowych wyłącznie pracowników posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu pracowników, o których mowa w pkt 1, do zachowania przetwarzanych danych w poufności. Art. 22c. 1. Jednostki, o których mowa w art. 22, w ramach działalności archiwalnej, wdrażają zabezpieczenia wolności i praw osób, których dotyczą dane zawarte w materiałach archiwalnych, w szczególności w trakcie ich udostępniania przez anonimizację danych osobowych, zawieranie z użytkownikami zasobu archiwalnego umów wyłączających dalsze przetwarzanie danych osobowych oraz przez pseudonimizację danych w systemach informatycznych i teleinformatycznych. 2. Stosowanie zabezpieczeń w postaci anonimizacji i pseudonimizacji nie jest obowiązkowe, jeżeli: 1) przetwarza się, w tym udostępnia, dane osobowe za zgodą osoby, której dane dotyczą, jej pełnomocnika, przedstawiciela ustawowego lub opiekuna prawnego; 2) osoba, której dane dotyczą, dobrowolnie i świadomie podała je uprzednio do publicznej wiadomości. 3. Zabezpieczenia wolności i praw, o których mowa w ust. 1, stosuje się odpowiednio do dokumentacji niestanowiącej materiałów archiwalnych, o ile nie sprzeciwia się to celom postępowania z tą dokumentacją. Art. 22d. Jednostki wymienione w art. 22 ust. 1 pkt 1 i 2 oraz w ust. 2 pkt 2 przetwarzają dane osobowe, odpowiednio: 1) wieczyście; 2) przez okres wynikający z art. 5 ust. 1 pkt 2. ” .

w art. 4 w pkt 44 kropkę zastępuje się średnikiem i dodaje się pkt 45 w brzmieniu:

„ 45) rozporządzenie 2016/679 - rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)¹²⁾. ” ;

w art. 13b dodaje się ust. 8-11 w brzmieniu:

„ 8. Zarząd drogi albo zarządca drogi wykonuje obowiązek, o którym mowa w: 1) art. 13 ust. 1 lit. a-c rozporządzenia 2016/679 - pobierając opłatę, o której mowa w art. 13 ust. 1 pkt 1, w szczególności zamieszczając stosowne informacje w miejscu, w którym opłata ta jest wnoszona; 2) art. 13 ust. 1 lit. d-f i ust. 2 rozporządzenia 2016/679 - udostępniając informacje w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, o czym informuje w sposób określony w pkt 1 osoby, których dane osobowe są przetwarzane. 9. Zarząd drogi albo zarządca drogi informuje o ograniczeniach, o których mowa w ust. 8, udostępniając stosowne informacje w miejscu, w którym opłata jest wnoszona, w Biuletynie Informacji Publicznej na swojej stronie podmiotowej oraz w miejscu widocznym w siedzibie. 10. Dane osobowe przetwarzane w związku z poborem opłat, o których mowa w art. 13 ust. 1 pkt 1, przechowuje się przez okres ustalony zgodnie z przepisami wydanymi na podstawie art. 6 ust. 2b ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2019 r. poz. 553 i 730). 11. Dane osobowe, o których mowa w ust. 10, podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy. ” ;

po art. 13b dodaje się art. 13ba w brzmieniu:

„ Art. 13ba. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie wpływa na obowiązek wniesienia opłaty, o której mowa w art. 13 ust. 1 pkt 1. ” ;

w art. 13f dodaje się ust. 4 i 5 w brzmieniu:

„ 4. W związku z poborem opłaty dodatkowej zarząd drogi albo zarządca drogi wykonują obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, przy pierwszej czynności skierowanej do osoby, której dane dotyczą, chyba że posiada ona te informacje, a ich zakres lub treść nie uległy zmianie. 5. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie wpływa na obowiązek wniesienia opłaty dodatkowej. ” ;

po art. 13hb dodaje się art. 13hba w brzmieniu:

„ Art. 13hba. 1. W związku z poborem opłaty elektronicznej podmiot pobierający tę opłatę wykonuje obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, przy pierwszej czynności skierowanej do osoby, której dane dotyczą, chyba że posiada ona te informacje, a ich zakres lub treść nie uległy zmianie, oraz za pośrednictwem strony internetowej zawierającej informacje dotyczące poboru opłaty elektronicznej. 2. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie wpływa na obowiązek wniesienia opłaty elektronicznej. ” ;

w art. 16i w ust. 1:

po art. 20g dodaje się art. 20h w brzmieniu:

„ Art. 20h. 1. Jeżeli przepisy odrębne nie stanowią inaczej, właściwy podmiot lub osoba przez niego upoważniona, na podstawie pisemnego wniosku, udostępnia nieodpłatnie dane osobowe przetwarzane w związku z poborem opłaty elektronicznej oraz wykonywaniem zadania, o którym mowa w art. 20 pkt 12: 1) Policji, 2) Inspekcji Transportu Drogowego, 3) Żandarmerii Wojskowej, 4) Straży Granicznej, 5) Biuru Nadzoru Wewnętrznego, 6) Agencji Bezpieczeństwa Wewnętrznego, 7) Agencji Wywiadu, 8) Centralnemu Biuru Antykorupcyjnemu, 9) Służbie Kontrwywiadu Wojskowego, 10) Służbie Wywiadu Wojskowego, 11) prokuratorowi, 12) sądom, 13) Szefowi Krajowej Administracji Skarbowej, dyrektorowi izby administracji skarbowej, naczelnikowi urzędu celno-skarbowego, 14) Służbie Ochrony Państwa - w zakresie niezbędnym do realizacji ich ustawowych zadań. 2. Wniosek, o którym mowa w ust. 1, wskazuje: 1) oznaczenie sprawy; 2) okoliczności, z których wynika konieczność pozyskania żądanych danych; 3) dane podlegające udostępnieniu. 3. Właściwy organ może wyrazić zgodę na udostępnienie za pomocą środków komunikacji elektronicznej danych osobowych, o których mowa w ust. 1, podmiotom, o których mowa w ust. 1 pkt 1-5 i 7-14, bez konieczności składania pisemnych wniosków, jeżeli jest to uzasadnione rodzajem lub zakresem wykonywanych zadań. 4. Udostępnianie danych osobowych, o których mowa w ust. 1, w sposób określony w ust. 3, następuje po złożeniu przez podmioty, o których mowa w ust. 1 pkt 1-5 i 7-14, wniosku zawierającego: 1) określenie zakresu danych podlegających udostępnieniu; 2) określenie osób uprawnionych do przetwarzania danych, o których mowa w pkt 1; 3) oświadczenie, że podmioty te posiadają: a) urządzenia umożliwiające odnotowanie w systemie kto, kiedy, w jakim celu i jakie dane uzyskał, oraz b) zabezpieczenie techniczne i organizacyjne uniemożliwiające wykorzystanie danych niezgodnie z celem ich uzyskania. 5. Właściwy organ udostępnia Agencji Bezpieczeństwa Wewnętrznego dane osobowe, o których mowa w ust. 1, w sposób, o którym mowa w ust. 3, jeżeli jednostka organizacyjna Agencji Bezpieczeństwa Wewnętrznego, będąca odbiorcą danych, złoży oświadczenie, o którym mowa w ust. 4 pkt 3. 6. Właściwy organ nie udostępnia na podstawie ust. 1 i 3 danych osobowych, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679, chyba że podmiot, o którym mowa w ust. 1, jest ustawowo upoważniony do przetwarzania tych danych. ” ;

w art. 24n po ust. 7 dodaje się ust. 7a w brzmieniu:

„ 7a. Rozpatrując wniosek, o którym mowa w ust. 6 i 7, minister właściwy do spraw transportu wykonuje obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, przy pierwszej czynności skierowanej do osoby składającej wniosek, chyba że posiada ona te informacje, a ich zakres lub treść nie uległy zmianie. ” .

art. 14g i art. 14h otrzymują brzmienie:

„ Art. 14g. 1. Komendant Główny Państwowej Straży Pożarnej zapewnia funkcjonowanie Systemu Wspomagania Decyzji Państwowej Straży Pożarnej, zwanego dalej „SWD PSP”, stanowiącego system teleinformatyczny wspierający: 1) wykonywanie zadań krajowego systemu ratowniczo-gaśniczego przez jednostki organizacyjne Państwowej Straży Pożarnej; 2) przyjmowanie zgłoszeń alarmowych z centrów powiadamiania ratunkowego, o których mowa w ustawie z dnia 22 listopada 2013 r. o systemie powiadamiania ratunkowego (Dz. U. z 2018 r. poz. 867 i 1115 oraz z 2019 r. poz. 730). 2. Utrzymanie, rozbudowa i modyfikacje SWD PSP są finansowane z budżetu państwa z części, której dysponentem jest minister właściwy do spraw wewnętrznych, oraz z części, których dysponentami są właściwi wojewodowie. 3. Minister właściwy do spraw wewnętrznych określi, w drodze rozporządzenia: 1) minimalny zbiór funkcjonalności SWD PSP, w tym sposób funkcjonowania tego systemu w sytuacjach awaryjnych, 2) sposób przydzielania, zawieszania oraz uchylania dostępu do tego systemu użytkownikom Państwowej Straży Pożarnej oraz jednostkom ochrony przeciwpożarowej - uwzględniając potrzebę zapewnienia optymalnego poziomu współpracy między tym systemem a systemem teleinformatycznym systemu powiadamiania ratunkowego. Art. 14h. 1. Państwowa Straż Pożarna przetwarza dane osobowe w SWD PSP w celu ochrony życia, zdrowia, mienia lub środowiska przed pożarem, klęską żywiołową lub innym miejscowym zagrożeniem, w zakresie niezbędnym do realizacji zadań wynikających z ustawy, uzyskane w związku z prowadzeniem działań ratowniczych oraz obsługą zgłoszeń alarmowych, o których mowa w art. 2 pkt 2 ustawy z dnia 22 listopada 2013 r. o systemie powiadamiania ratunkowego, w tym dane osobowe osoby zgłaszającej oraz osób, których zgłoszenie dotyczy. 2. Jednostka organizacyjna Państwowej Straży Pożarnej, w związku z przetwarzaniem danych osobowych w SWD PSP, wykonuje obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)¹⁸⁾, zwanego dalej „rozporządzeniem 2016/679”, przez udostępnienie informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej lub na swojej stronie internetowej oraz w widocznym miejscu w siedzibie. 3. Osoba występująca z żądaniem na podstawie art. 15 rozporządzenia 2016/679 obowiązana jest do podania informacji o okolicznościach zdarzenia, którego to żądanie dotyczy, w tym daty i miejsca zdarzenia oraz numeru telefonu, z którego zostało wykonane połączenie dotyczące powiadomienia o zdarzeniu. 4. Dane osobowe, o których mowa w ust. 1, podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w poufności. 5. Dane osobowe, o których mowa w ust. 1, są przechowywane wyłącznie przez okres niezbędny do realizacji zadań wynikających z ustawy. Dane te podlegają przeglądowi nie rzadziej niż co 5 lat od dnia ich uzyskania. 6. Kierownicy jednostek organizacyjnych Państwowej Straży Pożarnej udostępniają informację o ograniczeniach, o których mowa w ust. 2 i 3, w Biuletynie Informacji Publicznej na swoich stronach podmiotowych lub na swoich stronach internetowych oraz w widocznym miejscu w siedzibach jednostek. ” ;

po art. 14h dodaje się art. 14ha w brzmieniu:

„ Art. 14ha. 1. Komendant Główny Państwowej Straży Pożarnej, komendanci wojewódzcy Państwowej Straży Pożarnej, komendanci powiatowi (miejscy) Państwowej Straży Pożarnej, Rektor-Komendant Szkoły Głównej Służby Pożarniczej i komendanci szkół Państwowej Straży Pożarnej są współadministratorami danych osobowych przetwarzanych w SWD PSP. 2. Komendant Główny Państwowej Straży Pożarnej ustala podział obowiązków współadministratorów, o których mowa w ust. 1, wynikających z przepisów rozporządzenia 2016/679. 3. Komendant Główny Państwowej Straży Pożarnej planuje i realizuje rozbudowę oraz modyfikację SWD PSP oraz podejmuje działania mające na celu: 1) zapewnienie ochrony przed nieuprawnionym dostępem do SWD PSP; 2) zapewnienie integralności danych w SWD PSP; 3) zapewnienie dostępności do SWD PSP dla podmiotów przetwarzających dane w tym systemie; 4) przeciwdziałanie uszkodzeniom SWD PSP; 5) określenie zasad bezpieczeństwa przetwarzanych danych, w tym danych osobowych; 6) określenie zasad zgłaszania naruszenia ochrony danych osobowych; 7) zapewnienie rozliczalności działań dokonywanych na danych SWD PSP; 8) zapewnienie poprawności danych, w tym danych osobowych przetwarzanych w SWD PSP; 9) wykonywanie kopii bezpieczeństwa. 4. Komendanci wojewódzcy Państwowej Straży Pożarnej, komendanci powiatowi (miejscy) Państwowej Straży Pożarnej, Rektor-Komendant Szkoły Głównej Służby Pożarniczej i komendanci szkół Państwowej Straży Pożarnej, w zakresie właściwości swojego działania, zapewniają utrzymanie SWD PSP oraz podejmują działania, o których mowa w ust. 3. 5. Współadministratorzy tworzą i aktualizują ewidencję osób upoważnionych do przetwarzania danych osobowych w SWD PSP, upoważniają do przetwarzania tych danych oraz prowadzą rejestr czynności przetwarzania danych osobowych, o którym mowa w art. 30 rozporządzenia 2016/679. 6. Przepisy art. 14h oraz art. 14ha stosuje się odpowiednio do przetwarzania danych osobowych w SWD PSP przez jednostki ochrony przeciwpożarowej, o których mowa w art. 15 pkt 1a-8. ” .

po art. 13a dodaje się art. 13b w brzmieniu:

„ Art. 13b. 1. Inne formy wychowania przedszkolnego, szkoły, placówki, organy prowadzące szkoły lub placówki, organy sprawujące nadzór pedagogiczny oraz inne podmioty realizujące zadania i obowiązki określone w ustawie przetwarzają dane osobowe w zakresie niezbędnym dla realizacji zadań i obowiązków wynikających z tych przepisów. 2. Nauczyciele oraz inne osoby pełniące funkcje lub wykonujące pracę w podmiotach, o których mowa w ust. 1, są obowiązani do zachowania w poufności informacji uzyskanych w związku z pełnioną funkcją lub wykonywaną pracą, dotyczących zdrowia, potrzeb rozwojowych i edukacyjnych, możliwości psychofizycznych, seksualności, orientacji seksualnej, pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych lub światopoglądowych uczniów. 3. Przepisu ust. 2 nie stosuje się: 1) w przypadku zagrożenia zdrowia ucznia; 2) jeżeli uczeń, a w przypadku ucznia niepełnoletniego jego rodzic, wyrazi zgodę na ujawnienie określonych informacji; 3) w przypadku gdy przewidują to przepisy szczególne. ” ;

w art. 92k w ust. 2 w pkt 2 uchyla się lit. g.

w art. 6a po ust. 2 dodaje się ust. 2a w brzmieniu:

„ 2a. Okres przechowywania danych osób, o których mowa w ust. 1, wynosi 80 lat. ” ;

w art. 7 po ust. 4 dodaje się ust. 4a w brzmieniu:

„ 4a. Okres przechowywania danych osób, o których mowa w ust. 1, wynosi 80 lat. ” ;

w art. 7a po ust. 2 dodaje się ust. 2a w brzmieniu:

„ 2a. W związku z przyznawaniem dorocznych nagród organy, o których mowa w ust. 1, przetwarzają dane osób, o których mowa w ust. 2, przez okres niezbędny do realizacji zadań, o których mowa w ust. 1. Organy, o których mowa w ust. 1, dokonują przeglądu tych danych co 5 lat. ” ;

w art. 7b po ust. 2 dodaje się ust. 2a w brzmieniu:

„ 2a. W związku z przyznawaniem stypendiów organy, o których mowa w ust. 1, przetwarzają dane osób, o których mowa w ust. 2, przez okres niezbędny do realizacji zadań, o których mowa w ust. 1. Organy, o których mowa w ust. 1, dokonują przeglądu tych danych co 5 lat. ” ;

w art. 14 po ust. 1 dodaje się ust. 1a w brzmieniu:

„ 1a. W rejestrze, o którym mowa w ust. 1, gromadzone są następujące dane: 1) oznaczenia instytucji kultury, w szczególności podmiotu, z którym organizator wspólnie prowadzi instytucję kultury, oraz imię i nazwisko pełnomocnika organizatora dokonującego wpisu; 2) organizacji instytucji kultury, w szczególności: a) imię i nazwisko dyrektora instytucji kultury i jego zastępców albo oznaczenie osoby fizycznej, której powierzono pełnienie obowiązków dyrektora, albo której powierzono zarządzanie instytucją kultury, b) imiona i nazwiska pełnomocników instytucji kultury uprawnionych do dokonywania czynności prawnych w imieniu instytucji oraz zakres ich upoważnień, c) imię i nazwisko pełnomocnika organizatora dokonującego wpisu; 3) dotyczące mienia instytucji kultury, w szczególności imię i nazwisko pełnomocnika organizatora dokonującego wpisu; 4) połączenia, podziału i likwidacji instytucji kultury, w szczególności imię i nazwisko likwidatora oraz imię i nazwisko pełnomocnika organizatora dokonującego wpisu. ” .

po art. 32a dodaje się art. 32b w brzmieniu:

„ Art. 32b. Przed podjęciem decyzji o nadaniu orderu lub odznaczenia Prezydent może zwrócić się do właściwych organów, organizacji lub instytucji o przekazanie informacji, które mogą mieć istotne znaczenie w sprawie o nadanie orderu lub odznaczenia. ” ;

uchyla się art. 37a.

po ust. 1 dodaje się ust. 1a-1d w brzmieniu:

„ 1a. Udostępnienie pracodawcy danych osobowych osoby uprawnionej do korzystania z Funduszu, w celu przyznania ulgowej usługi i świadczenia oraz dopłaty z Funduszu i ustalenia ich wysokości, następuje w formie oświadczenia. Pracodawca może żądać udokumentowania danych osobowych w zakresie niezbędnym do ich potwierdzenia. Potwierdzenie może odbywać się w szczególności na podstawie oświadczeń i zaświadczeń o sytuacji życiowej (w tym zdrowotnej), rodzinnej i materialnej osoby uprawnionej do korzystania z Funduszu. 1b. Do przetwarzania danych osobowych dotyczących zdrowia, o których mowa w art. 9 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)²⁰⁾, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania takich danych wydane przez pracodawcę. Osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w tajemnicy. 1c. Pracodawca przetwarza dane osobowe, o których mowa w ust. 1a, przez okres niezbędny do przyznania ulgowej usługi i świadczenia, dopłaty z Funduszu oraz ustalenia ich wysokości, a także przez okres niezbędny do dochodzenia praw lub roszczeń. 1d. Pracodawca dokonuje przeglądu danych osobowych, o których mowa w ust. 1a, nie rzadziej niż raz w roku kalendarzowym w celu ustalenia niezbędności ich dalszego przechowywania. Pracodawca usuwa dane osobowe, których dalsze przechowywanie jest zbędne do realizacji celu określonego w ust. 1a i 1c. ” ;

ust. 2 otrzymuje brzmienie:

„ 2. Zasady i warunki korzystania z usług i świadczeń finansowanych z Funduszu, z uwzględnieniem ust. 1-1b, oraz zasady przeznaczania środków Funduszu na poszczególne cele i rodzaje działalności socjalnej określa pracodawca w regulaminie ustalanym zgodnie z art. 27 ust. 1 albo art. 30 ust. 6 ustawy z dnia 23 maja 1991 r. o związkach zawodowych (Dz. U. z 2019 r. poz. 263). Pracodawca, u którego nie działa zakładowa organizacja związkowa, uzgadnia regulamin z pracownikiem wybranym przez załogę do reprezentowania jej interesów. ” .

w art. 10b:

w art. 18e ust. 5 otrzymuje brzmienie:

„ 5. Dane utrwalone za pomocą urządzeń monitorujących mogą być przetwarzane wyłącznie przez osoby posiadające pisemne upoważnienie wydane przez administratora danych, w szczególności sędziów oraz Rzeczników Praw Pacjenta Szpitala Psychiatrycznego, w celu realizacji zadań określonych w ustawie. Osoby posiadające pisemne upoważnienie są zobowiązane do zachowania tych danych w tajemnicy. ” .

po art. 37a dodaje się art. 37aa i art. 37ab w brzmieniu:

„ Art. 37aa. 1. W związku z poborem opłat za przejazd autostradą podmioty wskazane w art. 37a ust. 1a wykonują obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)²³⁾, zwanego dalej „rozporządzeniem 2016/679”, przy pierwszej czynności skierowanej do osoby, której dane dotyczą, chyba że posiada ona te informacje, a ich zakres lub treść nie uległy zmianie, oraz za pośrednictwem strony internetowej zawierającej informacje dotyczące poboru opłat za przejazd autostradą. 2. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie wpływa na obowiązek wniesienia opłat za przejazd autostradą. Art. 37ab. 1. Jeżeli przepisy odrębne nie stanowią inaczej, podmioty, o których mowa w art. 37a ust. 1a, lub osoby przez nie upoważnione, na podstawie pisemnego wniosku, udostępniają nieodpłatnie dane osobowe przetwarzane w związku z poborem opłat za przejazd autostradą: 1) Policji, 2) Inspekcji Transportu Drogowego, 3) Żandarmerii Wojskowej, 4) Straży Granicznej, 5) Biuru Nadzoru Wewnętrznego, 6) Agencji Bezpieczeństwa Wewnętrznego, 7) Agencji Wywiadu, 8) Centralnemu Biuru Antykorupcyjnemu, 9) Służbie Kontrwywiadu Wojskowego, 10) Służbie Wywiadu Wojskowego, 11) prokuratorowi, 12) sądom, 13) Szefowi Krajowej Administracji Skarbowej, dyrektorowi izby administracji skarbowej, naczelnikowi urzędu celno-skarbowego, 14) Służbie Ochrony Państwa - w zakresie niezbędnym do realizacji ich ustawowych zadań. 2. Wniosek, o którym mowa w ust. 1, zawiera: 1) oznaczenie sprawy; 2) okoliczności, z których wynika konieczność pozyskania żądanych danych; 3) dane podlegające udostępnieniu. 3. Właściwy podmiot może wyrazić zgodę na udostępnienie za pomocą środków komunikacji elektronicznej danych osobowych, o których mowa w ust. 1, podmiotom, o których mowa w ust. 1 pkt 1-5 i 7-14, bez konieczności składania pisemnych wniosków, jeżeli jest to uzasadnione rodzajem lub zakresem wykonywanych zadań. 4. Udostępnianie danych osobowych, o których mowa w ust. 1, w sposób określony w ust. 3, następuje po złożeniu przez podmioty, o których mowa w ust. 1 pkt 1-5 i 7-14, wniosku zawierającego: 1) określenie zakresu danych podlegających udostępnieniu; 2) określenie osób uprawnionych do przetwarzania danych, o których mowa w pkt 1; 3) oświadczenie, że podmioty te posiadają: a) urządzenia umożliwiające odnotowanie w systemie, kto, kiedy, w jakim celu i jakie dane uzyskał, oraz b) zabezpieczenie techniczne i organizacyjne uniemożliwiające wykorzystanie danych niezgodnie z celem ich uzyskania. 5. Właściwy podmiot udostępnia Agencji Bezpieczeństwa Wewnętrznego dane osobowe, o których mowa w ust. 1, w sposób, o którym mowa w ust. 3, jeżeli jednostka organizacyjna Agencji Bezpieczeństwa Wewnętrznego będąca odbiorcą danych złoży oświadczenie, o którym mowa w ust. 4 pkt 3. 6. Właściwy podmiot nie udostępnia na podstawie ust. 1 i 3 danych osobowych, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679, chyba że podmiot, o którym mowa w ust. 1, jest ustawowo upoważniony do przetwarzania tych danych. ” ;

w art. 63d dodaje się ust. 5 i 6 w brzmieniu:

„ 5. Generalny Dyrektor Dróg Krajowych i Autostrad lub drogowa spółka specjalnego przeznaczenia wykonują obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, w stosunku do osoby, której dane osobowe są przetwarzane w związku z kontrolą, o której mowa w ust. 1, przy pierwszej czynności skierowanej do tej osoby, chyba że posiada ona te informacje, a ich zakres lub treść nie uległy zmianie. 6. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie wpływa na wykonywanie uprawnień Generalnego Dyrektora Dróg Krajowych i Autostrad lub drogowej spółki specjalnego przeznaczenia, o których mowa w ust. 1-4. ” .

w art. 2:

w art. 5:

po art. 5 dodaje się art. 5a w brzmieniu:

„ Art. 5a. 1. Służby statystyki publicznej zbierają dane, w tym dane osobowe, z dostępnych źródeł określonych w ustawie i wydanych na jej podstawie aktach wykonawczych albo odrębnych ustawach. 2. W celu realizacji zadań określonych w ustawie, w tym badań statystycznych, służby statystyki publicznej zbierają dane: 1) z rejestrów urzędowych; 2) z systemów informacyjnych administracji publicznej; 3) z niepublicznych systemów informacyjnych; 4) od respondentów. 3. Służby statystyki publicznej zbierają również dane powszechnie dostępne z innych źródeł niż określone w ust. 2. 4. Dane, o których mowa w ust. 2 i 3, są zbierane z wykorzystaniem dostępnych technik, w tym z wykorzystaniem zautomatyzowanych narzędzi elektronicznych lub informatycznych. 5. Dane ze źródeł, o których mowa w ust. 1 i ust. 2 pkt 1-3, są przekazywane lub udostępniane w formatach, o których mowa w art. 18a ust. 2 i 3. ” ;

w art. 6:

art. 8 otrzymuje brzmienie:

„ Art. 8. Dane osobowe, o których mowa w art. 9 ust. 1 i art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)²⁴⁾, zwanego dalej „rozporządzeniem 2016/679”, nie mogą być zbierane na zasadzie obowiązku w badaniach statystycznych prowadzonych z udziałem osób fizycznych. ” ;

w art. 13:

w art. 35a:

po art. 35a dodaje się art. 35aa w brzmieniu:

„ Art. 35aa. Dane osobowe od momentu ich zebrania bezpośrednio od respondentów albo z systemów informacyjnych administracji publicznej i rejestrów urzędowych lub niepublicznych systemów informacyjnych na potrzeby wykonywania zadań określonych w ustawie stają się danymi statystycznymi i objęte są tajemnicą statystyczną z wyłączeniem informacji zawartych w krajowym rejestrze urzędowym podmiotów gospodarki narodowej. ” ;

w art. 35b:

w art. 35c:

art. 35d i art. 35e otrzymują brzmienie:

„ Art. 35d. 1. Dane osobowe po ich zebraniu przez służby statystyki publicznej, jeżeli pozwala na to cel ich przetwarzania, są pseudonimizowane. 2. Pseudonimizacja dokonywana jest niezwłocznie, po określeniu niezbędnego zakresu podmiotowego i przedmiotowego, w sposób i zgodnie z trybem, o którym mowa w ust. 4. 3. Odwrócenie pseudonimizacji następuje wyłącznie w zakresie niezbędnym do uzyskania celu statystycznego. 4. Sposób i tryb pseudonimizacji danych osobowych określa, w drodze zarządzenia, Prezes Głównego Urzędu Statystycznego. Art. 35e. 1. Dane osobowe, jeżeli jest to niezbędne do realizacji zadań określonych w ustawie, w zakresie dotyczącym celów statystycznych, są łączone z danymi pochodzącymi z różnych badań statystycznych, rejestrów urzędowych, systemów informacyjnych administracji publicznej i niepublicznych systemów informacyjnych. 2. Wykorzystywanie danych do celów innych niż określone w ustawie, w szczególności do podejmowania decyzji lub indywidualnych rozstrzygnięć wobec konkretnej osoby fizycznej, jest zabronione. ” ;

uchyla się art. 35f;

art. 35g otrzymuje brzmienie:

„ Art. 35g. Przepisy art. 35a-35c, art. 35d ust. 1 i art. 35h stosuje się do innych organów i podmiotów prowadzących badania statystyczne, o których mowa w art. 20, w zakresie prowadzonych przez nie badań statystycznych. ” ;

po art. 35g dodaje się art. 35h w brzmieniu:

„ Art. 35h. 1. Do przetwarzania danych osobowych w celu wykonywania zadań określonych w ustawie przez służby statystyki publicznej nie stosuje się przepisów art. 15, art. 16, art. 18 i art. 21 rozporządzenia 2016/679. 2. W związku z przetwarzaniem danych osobowych w celu realizacji zadań określonych w ustawie przez służby statystyki publicznej wykonanie obowiązku, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, następuje przez udostępnienie informacji, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, w Biuletynie Informacji Publicznej na stronie podmiotowej urzędu i stronie internetowej Głównego Urzędu Statystycznego. 3. Informacja o sposobie wykonania obowiązku, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, przekazywana jest razem z informacjami, o których mowa w art. 6 ust. 5. ” ;

art. 39 otrzymuje brzmienie:

„ Art. 39. Prezes Głównego Urzędu Statystycznego zapewnia przechowywanie zgromadzonych danych zgodnie z zasadami określonymi w art. 10, art. 35d i rozdziale 5a. ” ;

po rozdziale 5 dodaje się rozdział 5a w brzmieniu:

„ Rozdział 5a Operat do badań statystycznych Art. 39a. 1. W celu realizacji badań statystycznych Prezes Głównego Urzędu Statystycznego prowadzi operat do badań statystycznych, zwany dalej „OBS”, w którym zamieszcza informacje o podmiotach podlegających obserwacji statystycznej według określonych cech. 2. OBS prowadzony jest w systemie teleinformatycznym. 3. Dane osobowe, w zależności od podmiotu podlegającego obserwacji statystycznej, są przechowywane w OBS nie dłużej niż przez 100 lat. Art. 39b. 1. OBS podlega stałej i bieżącej aktualizacji w celu umożliwienia prowadzenia obserwacji statystycznej podmiotu tej obserwacji w czasie i przestrzeni. 2. OBS jest aktualizowany z wykorzystaniem danych pochodzących z rejestrów urzędowych i systemów informacyjnych oraz badań statystycznych, w tym spisów powszechnych. Art. 39c. 1. Dane gromadzone w OBS są wykorzystywane wyłącznie przez służby statystyki publicznej do prowadzenia badań statystycznych, w tym spisów powszechnych. 2. Dane gromadzone w OBS mogą być udostępniane wyłącznie w trybie, o którym mowa w art. 20 ust. 4. 3. Dane w OBS są gromadzone, opracowywane i przechowywane z zachowaniem szczególnych warunków bezpieczeństwa i bezwzględnej ochrony danych, o której mowa w art. 10. ” ;

w art. 42 uchyla się ust. 2;

w art. 53 ust. 1 otrzymuje brzmienie:

„ 1. Przekazywanie danych w formie i trybie określonych w programie badań statystycznych statystyki publicznej, a w przypadku spisów powszechnych - w odrębnej ustawie, odbywa się odpowiednio na koszt podmiotu obserwacji statystycznej lub gestora systemu informacyjnego administracji publicznej albo prowadzącego rejestr urzędowy albo niepubliczny system informacyjny. ” .

w art. 21 w ust. 3 uchyla się pkt 2;

po art. 21 dodaje się art. 21a w brzmieniu:

„ Art. 21a. 1. Osoba ubiegająca się o przystąpienie do egzaminu, o którym mowa w art. 21 ust. 1, składa wniosek o dopuszczenie do egzaminu zawierający: 1) imię i nazwisko; 2) adres miejsca zamieszkania; 3) datę i miejsce urodzenia; 4) numer PESEL, a w przypadku jego braku - rodzaj i numer dokumentu potwierdzającego tożsamość; 5) dane kontaktowe; 6) podpis. 2. W celu weryfikacji tożsamości osoba przystępująca do egzaminu, o którym mowa w art. 21 ust. 1, okazuje komisji egzaminacyjnej dowód osobisty lub inny dokument potwierdzający tożsamość. ” .

ust. 1 otrzymuje brzmienie:

„ 1. Uprawnienie do świadczenia jest przyznawane decyzją Szefa Urzędu do Spraw Kombatantów i Osób Represjonowanych na podstawie wniosku zainteresowanej osoby i dokumentów oraz dowodów potwierdzających rodzaj i okres represji. ” ;

po ust. 1 dodaje się ust. 1a w brzmieniu:

„ 1a. Wniosek, o którym mowa w ust. 1, zawiera imię lub imiona oraz nazwisko, nazwisko rodowe, datę i miejsce urodzenia, imiona rodziców, aktualne obywatelstwo i obywatelstwo w czasie podlegania represjom, numer PESEL, adres miejsca zamieszkania lub adres korespondencyjny wnioskodawcy, numer telefonu lub adres poczty elektronicznej, o ile wnioskodawca je posiada. ” ;

uchyla się ust. 3.

po art. 25 dodaje się art. 25a w brzmieniu:

„ Art. 25a. 1. Minister właściwy do spraw finansów publicznych jest administratorem danych przetwarzanych w celach związanych z działalnością Państwowej Komisji Egzaminacyjnej do Spraw Doradztwa Podatkowego oraz organizacją egzaminu na doradcę podatkowego. 2. Do przetwarzania danych osobowych administrator danych dopuszcza osoby posiadające pisemne upoważnienie. 3. Dane osobowe przetwarzane w celu realizacji zadań lub obowiązków określonych w ustawie podlegają przeglądowi nie rzadziej niż co 5 lat od dnia ich uzyskania. ” ;

w art. 37 dodaje się ust. 5-7 w brzmieniu:

„ 5. Przepisy art. 15 ust. 1 i 3, art. 18 i art. 19 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)²⁶⁾ stosuje się w zakresie, w jakim nie naruszają obowiązku zachowania przez doradcę podatkowego lub osoby, o których mowa w ust. 3, tajemnicy zawodowej, o której mowa w ust. 1 i 3. 6. W przypadku danych osobowych pozyskanych przez doradcę podatkowego albo osoby, o których mowa w ust. 3, w związku z wykonywaniem doradztwa podatkowego nie stosuje się przepisu art. 21 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). 7. Obowiązek zachowania tajemnicy zawodowej, o której mowa w ust. 1 i 3, nie ustaje, w przypadku gdy z żądaniem ujawnienia informacji uzyskanych przez doradcę podatkowego albo osoby, o których mowa w ust. 3, w związku z wykonywaniem doradztwa podatkowego występuje Prezes Urzędu Ochrony Danych Osobowych. ” ;

po art. 63 dodaje się art. 63a w brzmieniu:

„ Art. 63a. 1. Krajowa Izba Doradców Podatkowych jest administratorem danych przetwarzanych przez organy samorządu doradców podatkowych w celu realizacji zadań lub obowiązków tych organów. 2. Do przetwarzania danych osobowych administrator danych dopuszcza osoby posiadające pisemne upoważnienie. 3. Dane osobowe przetwarzane w celu realizacji zadań lub obowiązków określonych w ustawie podlegają przeglądowi nie rzadziej niż co 5 lat od dnia ich uzyskania. ” .

w art. 7 w ust. 4 pkt 3 otrzymuje brzmienie:

„ 3) prowadzi konsultacje publiczne oraz współdziała z samorządem terytorialnym, organizacjami społecznymi i przedstawicielstwami środowisk zawodowych i twórczych; ” ;

po art. 39a dodaje się art. 39b w brzmieniu:

„ Art. 39b. W zakresie niezbędnym do przygotowania projektu dokumentu rządowego, przygotowania i prowadzenia uzgodnień, konsultacji publicznych, opiniowania tego projektu oraz jego rozpatrywania Rada Ministrów, Prezes Rady Ministrów, członek Rady Ministrów, Szef Kancelarii Prezesa Rady Ministrów, inny podmiot, którego upoważnienie wynika z przepisów odrębnych, podmiot działający z upoważnienia Rady Ministrów, Prezesa Rady Ministrów albo członka Rady Ministrów oraz Rządowe Centrum Legislacji przetwarzają dane osobowe, w tym dane, o których mowa w art. 9 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)²⁷⁾. ” .

w art. 15 dodaje się ust. 11 i 12 w brzmieniu:

„ 11. Marszałek województwa, Minister Obrony Narodowej oraz wojewoda, w celu wykonywania zadań związanych z realizacją stażu podyplomowego lekarzy i lekarzy dentystów, przetwarzają zgodnie ze swoją właściwością dane lekarzy i lekarzy dentystów obejmujące: 1) stopień żołnierza w służbie czynnej; 2) imię i nazwisko; 3) numer PESEL, a w przypadku jego braku - rodzaj i numer dokumentu potwierdzającego tożsamość; 4) datę urodzenia; 5) adres miejsca zamieszkania; 6) numer prawa wykonywania zawodu; 7) posiadane specjalizacje; 8) powody i okresy absencji w pracy; 9) przewidywany i faktyczny termin porodu; 10) informację o orzeczonej niepełnosprawności; 11) informacje o trybie rozwiązania umowy o pracę. 12. Dane, o których mowa w ust. 11 pkt 8-11, nie mogą być przetwarzane w celu innym niż finansowanie stażu podyplomowego, przedłużanie stażu podyplomowego i nadzór nad odbywaniem stażu podyplomowego, a dostęp do nich mogą mieć wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania tych danych wydane przez marszałka województwa, Ministra Obrony Narodowej lub wojewodę. Osoby posiadające pisemne upoważnienie są zobowiązane do zachowania tych danych w poufności. ” ;

w art. 16h dodaje się ust. 10 i 11 w brzmieniu:

„ 10. Wojewoda, minister właściwy do spraw zdrowia, minister właściwy do spraw wewnętrznych i Minister Obrony Narodowej, w celu wykonywania zadań związanych z realizacją szkolenia specjalizacyjnego lekarzy i lekarzy dentystów, przetwarzają, zgodnie ze swoją właściwością, dane lekarzy i lekarzy dentystów obejmujące: 1) stopień żołnierza w służbie czynnej lub funkcjonariusza w stosunku służby; 2) imię i nazwisko; 3) numer PESEL, a w przypadku jego braku - rodzaj i numer dokumentu potwierdzającego tożsamość; 4) datę urodzenia; 5) adres miejsca zamieszkania; 6) numer prawa wykonywania zawodu; 7) posiadane specjalizacje; 8) powody i okresy absencji w pracy; 9) przewidywany i faktyczny termin porodu; 10) informację o orzeczonej niepełnosprawności; 11) informacje o trybie rozwiązania umowy o pracę. 11. Dane, o których mowa w ust. 10 pkt 8-11, nie mogą być przetwarzane w celu innym niż finansowanie szkolenia specjalizacyjnego, przedłużanie szkolenia specjalizacyjnego i nadzór nad odbywaniem szkolenia specjalizacyjnego, a dostęp do nich mogą mieć wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania tych danych wydane przez wojewodę, ministra właściwego do spraw zdrowia, ministra właściwego do spraw wewnętrznych lub Ministra Obrony Narodowej. Osoby posiadające pisemne upoważnienie są zobowiązane do zachowania tych danych w poufności. ” .

w art. 5d dotychczasową treść oznacza się jako ust. 1 i dodaje się ust. 2 i 3 w brzmieniu:

„ 2. Rada gminy określa, w drodze uchwały, wzór wniosku o wypłatę dodatku energetycznego. 3. Dane osobowe przetwarzane w zakresie niezbędnym do wypłacenia dodatku energetycznego przechowuje się przez okres nie dłuższy niż 5 lat od dnia zaprzestania wypłacania tego dodatku. ” ;

w art. 32d w ust. 4 wyraz „przekazuje” zastępuje się wyrazem „udostępnia”.

w art. 80b uchyla się ust. 4;

w art. 100ab uchyla się ust. 2;

w art. 100g uchyla się ust. 7;

w art. 129h ust. 4 otrzymuje brzmienie:

„ 4. Do przetwarzania danych osobowych przez Głównego Inspektora Transportu Drogowego, w zakresie, o którym mowa w ust. 3, stosuje się przepis art. 26 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2019 r. poz. 125). ” ;

po dziale Vb dodaje się dział Vc w brzmieniu:

„ Dział Vc Przetwarzanie danych osobowych Art. 140o. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)³⁰⁾, nie wpływa na przebieg i wynik kontroli, o których mowa w art. 129 ust. 1, 4 i 4a, art. 129a ust. 1, art. 129b ust. 1, art. 129c ust. 1 oraz art. 129d ust. 1, ani na uprawnienie właściwego organu do nałożenia kary. ” .

po art. 2a dodaje się art. 2b w brzmieniu:

„ Art. 2b. 1. Pracodawca przetwarza dane osobowe, w tym dane o stanie zdrowia osób: 1) pozostających z nim w stosunku pracy oraz niepracujących byłych pracowników, 2) niepełnosprawnych wykonujących pracę nakładczą, 3) uczestniczących w procesie rekrutacji, odbywających szkolenie, staż, przygotowanie zawodowe albo praktyki zawodowe lub absolwenckie, 4) należących do grup wymienionych w art. 5 załącznika nr 1 do rozporządzenia Komisji (WE) nr 800/2008 z dnia 6 sierpnia 2008 r. uznającego niektóre rodzaje pomocy za zgodne ze wspólnym rynkiem w zastosowaniu art. 87 i 88 Traktatu (ogólne rozporządzenie w sprawie wyłączeń blokowych) (Dz. Urz. WE L 214 z 09.08.2008, str. 3, z późn. zm.)³¹⁾ oraz do rozporządzenia Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r. uznającego niektóre rodzaje pomocy za zgodne z rynkiem wewnętrznym w zastosowaniu art. 107 i 108 Traktatu (Dz. Urz. UE L 187 z 26.06.2014, str. 1, z późn. zm.)³²⁾, 5) będących członkami rodzin pracowników i niepracujących byłych pracowników, 6) o których mowa w art. 21 ust. 2c, i osób korzystających z usług jednostek organizacyjnych, o których mowa w art. 21 ust. 2e pkt 3 - dla celów określonych w ustawie. 2. Przedstawienie pracodawcy dokumentów potwierdzających dane osobowe o stanie zdrowia jest dobrowolne. 3. W celu realizacji zadań, o których mowa w art. 25a, art. 25c, art. 25d i art. 26a-26c, działania mogą być podejmowane w oparciu o zautomatyzowane przetwarzanie danych. 4. Przetwarzanie, o którym mowa w ust. 3, może obejmować dane osobowe o stanie zdrowia. 5. W przypadku, o którym mowa w ust. 3 i 4, administrator danych zapewnia odpowiednie środki służące ochronie interesu lub podstawowych praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą, w tym w szczególności zapewnia tej osobie prawo do uzyskania interwencji ludzkiej, prawo do wyrażenia własnego stanowiska oraz zakwestionowania decyzji podjętej w sposób zautomatyzowany. 6. Zabezpieczenia przetwarzania danych osobowych przez podmioty i osoby realizujące zadania wynikające z ustawy polegają co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w poufności. 7. Pracodawcy, o których mowa w ust. 1, podmioty i osoby realizujące zadania wynikające z ustawy przechowują dane osobowe wyłącznie przez okres nie dłuższy niż jest to niezbędne i w zakresie koniecznym do realizacji celów przetwarzania danych osobowych oraz dokonują przeglądu przydatności przetwarzania danych osobowych nie rzadziej niż co 5 lat. 8. Okres przechowywania danych przetwarzanych przez podmioty, o których mowa w art. 6 ust. 1, wynosi 50 lat. ” ;

w art. 6 dodaje się ust. 5 i 6 w brzmieniu:

„ 5. Zespoły orzekające o niepełnosprawności przetwarzają dane osobowe, w tym dane o stanie zdrowia, wyłącznie dla celów realizacji zadań oraz w zakresie niezbędnym do ich wykonania. 6. Zabezpieczenia przetwarzania danych osobowych przez zespoły orzekające o niepełnosprawności polegają co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich poufności. ” ;

w art. 6c w ust. 6 zdanie pierwsze otrzymuje brzmienie:

„ Wojewoda pełni bezpośredni nadzór nad powiatowymi zespołami przy pomocy wojewódzkich zespołów. ” ;

w art. 6ca:

w art. 6d w ust. 4 pkt 4 otrzymuje brzmienie:

„ 4) dane dotyczące imienia i nazwiska, numeru PESEL, płci i obywatelstwa osób, o których mowa w ust. 3 pkt 4, formy ich zatrudnienia i wymiaru czasu pracy; ” .

po art. 1 dodaje się art. 1a w brzmieniu:

„ Art. 1a. § 1. Ustawa normuje również sposób wykonywania przez organy podatkowe obowiązku, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)³⁴⁾, zwanego dalej „rozporządzeniem 2016/679”. § 2. Wykonywanie obowiązku, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, odbywa się niezależnie od obowiązków organów podatkowych przewidzianych w ustawie i nie wpływa na tok i wynik procedur podatkowych. § 3. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie wpływa na tok i wynik procedur podatkowych. ” ;

w art. 119zn:

w art. 159 po § 1a dodaje się § 1b w brzmieniu:

„ § 1b. Wezwanie zawiera również informacje, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, chyba że wezwany posiada te informacje, a ich zakres lub treść nie uległy zmianie. ” ;

w art. 165 dodaje się § 9 w brzmieniu:

„ § 9. Organ podatkowy przekazuje informacje, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, przy pierwszej czynności skierowanej do strony, chyba że strona posiada te informacje, a ich zakres lub treść nie uległy zmianie. ” ;

w art. 165a w § 1 dodaje się zdanie drugie w brzmieniu:

„ Przepis art. 165 § 9 stosuje się odpowiednio. ” ;

w art. 170 po § 1 dodaje się § 1a w brzmieniu:

„ § 1a. Zawiadomienie o przekazaniu podania zawiera również informacje, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, w zakresie danych przetwarzanych przez organ przekazujący, chyba że wnoszący podanie posiada te informacje, a ich zakres lub treść nie uległy zmianie. ” ;

w art. 171 w § 1 dodaje się zdanie trzecie w brzmieniu:

„ Do zawiadomienia stosuje się odpowiednio przepis art. 170 § 1a. ” ;

po art. 179 dodaje się art. 179a w brzmieniu:

„ Art. 179a. Przepis art. 178 § 1 nie narusza prawa osoby, której dane dotyczą, do skorzystania z uprawnień wynikających z art. 15 rozporządzenia 2016/679. ” ;

w art. 283 w § 2 w pkt 8 kropkę zastępuje się średnikiem i dodaje się pkt 9 w brzmieniu:

„ 9) wskazanie informacji, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679. ” ;

po art. 306a dodaje się art. 306aa w brzmieniu:

„ Art. 306aa. Organ podatkowy przekazuje informacje, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, przy pierwszej czynności skierowanej do wnioskodawcy, chyba że wnioskodawca posiada te informacje, a ich zakres lub treść nie uległy zmianie. ” .

w art. 4 w ust. 1 w pkt 46 kropkę zastępuje się średnikiem i dodaje się pkt 47 i 48 w brzmieniu:

„ 47) rozporządzenie 2016/679 - rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)³⁶⁾; 48) profilowanie - profilowanie osób fizycznych w rozumieniu art. 4 pkt 4 rozporządzenia 2016/679. ” ;

w art. 22aa:

w art. 70 uchyla się ust. 5 i 6;

po art. 70 dodaje się art. 70a w brzmieniu:

„ Art. 70a. 1. Banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. 2. Wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. 3. W przypadku przedsiębiorców bank i inna instytucja ustawowo upoważniona do udzielania kredytów może pobierać opłatę za sporządzenie wyjaśnienia, o którym mowa w ust. 1. Wysokość opłaty powinna być odpowiednia do wysokości kredytu. 4. Przepisy ust. 1-3 stosuje się odpowiednio do przedsiębiorcy ubiegającego się o pożyczkę pieniężną. ” ;

w art. 105 w ust. 1 w pkt 2 lit. u otrzymuje brzmienie:

„ u) podmiotu, o którym mowa w art. 45 ust. 1 ustawy z dnia 10 czerwca 2016 r. o Bankowym Funduszu Gwarancyjnym, systemie gwarantowania depozytów oraz przymusowej restrukturyzacji, w zakresie niezbędnym do zapewnienia prawidłowej realizacji wypłat środków gwarantowanych, ” ;

w art. 105a po ust. 1 dodaje się ust. 1a-1c w brzmieniu:

„ 1a. Banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, mogą w celu oceny zdolności kredytowej i analizy ryzyka kredytowego podejmować decyzje, opierając się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, danych osobowych - również stanowiących tajemnicę bankową - pod warunkiem zapewnienia osobie, której dotyczy decyzja podejmowana w sposób zautomatyzowany, prawa do otrzymania stosownych wyjaśnień co do podstaw podjętej decyzji, do uzyskania interwencji ludzkiej w celu podjęcia ponownej decyzji oraz do wyrażenia własnego stanowiska. 1b. Decyzje, o których mowa w ust. 1a, mogą być podejmowane wyłącznie w oparciu o dane niezbędne z uwagi na cel i rodzaj kredytu, w szczególności w oparciu o następujące kategorie danych: 1) dane dotyczące osoby fizycznej: a) imię (imiona) i nazwisko, b) nazwisko rodowe, c) imiona rodziców, d) datę i miejsce urodzenia, e) wiek, f) płeć, g) obywatelstwo, h) stan cywilny, i) serię i numer dowodu osobistego lub innego dokumentu potwierdzającego tożsamość, j) numer PESEL, o ile został nadany, k) numer identyfikacji podatkowej, o ile został nadany, l) adres zamieszkania, adres zameldowania na pobyt stały lub czasowy, aktualny adres pobytu czasowego inny niż adres zamieszkania lub zameldowania, adres do korespondencji, m) tytuł prawny do zajmowanego lokalu, n) miejsce pracy, o) zawód, p) wykształcenie, q) formę zatrudnienia, r) sytuację finansową, w tym dochody i wydatki, s) osoby pozostające na utrzymaniu, t) ustrój majątkowy małżonków; 2) dane dotyczące zobowiązania: a) źródło zobowiązania, b) kwotę i walutę, c) numer i stan rachunku prowadzonego w banku lub innej instytucji ustawowo upoważnionej do udzielania kredytów, nazwę i adres siedziby lub oddziału banku lub innej instytucji ustawowo upoważnionej do udzielania kredytów, d) datę powstania zobowiązania, e) warunki spłaty zobowiązania, f) ustanowione zabezpieczenia prawne, g) przebieg realizacji zobowiązania, h) stan zadłużenia z tytułu zobowiązania, i) datę wygaśnięcia zobowiązania, j) przyczyny niewykonania zobowiązania lub dopuszczenia się zwłoki, o której mowa w ust. 3, k) przyczyny wygaśnięcia zobowiązania. 1c. Decyzje, o których mowa w ust. 1a, nie mogą być podejmowane w oparciu o dane, o których mowa w art. 9 rozporządzenia 2016/679. ” ;

art. 106d otrzymuje brzmienie:

„ Art. 106d. 1. Banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje utworzone na mocy art. 105 ust. 4, instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom. 2. Podmioty określone w ust. 1 mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową oraz informacje dotyczące wyroków skazujących, w przypadkach przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom. ” ;

po art. 106d dodaje się art. 106e w brzmieniu:

„ Art. 106e. Do przetwarzania danych osobowych przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, przepisu art. 15 rozporządzenia 2016/679 nie stosuje się w zakresie, w jakim jest to niezbędne dla prawidłowej realizacji zadań dotyczących przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, zgodnie z art. 106, oraz zapobiegania przestępstwom, zgodnie z art. 106a i art. 106d. ” .

uchyla się art. 8;

uchyla się art. 25a;

po rozdziale 3 dodaje się rozdział 3a w brzmieniu:

„ Rozdział 3a Przetwarzanie danych osobowych Art. 28a. Detektyw lub zatrudniający go przedsiębiorca przetwarza dane osobowe zebrane w toku wykonywania czynności, o których mowa w art. 2 ust. 1, bez zgody osób, których dane dotyczą, wyłącznie w zakresie realizacji usługi detektywistycznej. Art. 28b. 1. Po zrealizowaniu usługi detektywistycznej detektyw lub zatrudniający go przedsiębiorca obowiązany jest przekazać zleceniodawcy dane osobowe zebrane podczas wykonywania czynności, o których mowa w art. 2 ust. 1. 2. W przypadku rezygnacji zleceniodawcy z odbioru danych osobowych zebranych podczas wykonywania czynności, o których mowa w art. 2 ust. 1, albo nieodebrania ich w ustalonym terminie dane te podlegają zniszczeniu po upływie 5 lat od dnia zakończenia realizacji usługi detektywistycznej, nie później niż bezpośrednio po wykreśleniu przedsiębiorcy z rejestru. 3. Z czynności, o których mowa w ust. 1 i 2, detektyw lub zatrudniający go przedsiębiorca sporządza notatkę, którą dołącza do księgi realizacji umowy. Notatka zawiera: 1) informację o przekazaniu albo zniszczeniu przetwarzanych danych osobowych oraz opis tej czynności; 2) datę przekazania lub zniszczenia przetwarzanych danych osobowych; 3) podpis zleceniodawcy, w przypadku odebrania przetwarzanych danych osobowych, oraz podpis sporządzającego notatkę. 4. Niszczenie przetwarzanych danych osobowych przez detektywa odbywa się w obecności przedsiębiorcy lub wyznaczonej przez niego osoby. Przedsiębiorca lub wyznaczona przez niego osoba podpisuje notatkę, o której mowa w ust. 3. 5. Detektyw lub zatrudniający go przedsiębiorca może przekazać dane osobowe zebrane w toku wykonywania czynności, o których mowa w art. 2 ust. 1, wyłącznie innemu detektywowi wyznaczonemu przez przedsiębiorcę do współdziałania w ramach realizowanej usługi detektywistycznej albo do przejęcia dalszej realizacji usługi detektywistycznej. Art. 28c. Do przetwarzania danych osobowych zebranych w toku wykonywania czynności, o których mowa w art. 2 ust. 1, nie stosuje się przepisów art. 13 ust. 1 i 2 oraz art. 15 ust. 1 lit. a, c i g rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁴²⁾. Art. 28d. Przedsiębiorca realizujący usługi detektywistyczne informuje o ograniczeniach, o których mowa w art. 28c, na swojej stronie internetowej lub przez wywieszenie w stałym miejscu wykonywania swojej działalności. ” .

po art. 9 dodaje się art. 9a i art. 9b w brzmieniu:

„ Art. 9a. 1. W zakresie niezbędnym do wykonywania swoich ustawowych zadań kurator zawodowy, kierownik zespołu kuratorskiej służby sądowej oraz kurator okręgowy przetwarzają dane osób, których dotyczy postępowanie, obejmujące: 1) imię i nazwisko; 2) datę urodzenia; 3) nazwisko rodowe; 4) numer PESEL oraz numer i serię dokumentu potwierdzającego tożsamość; 5) czynniki określające fizyczną, fizjologiczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość, a w szczególności dotyczące osobistej postawy, zachowania, zainteresowań, zdrowia i usług opieki zdrowotnej, majątku, sytuacji materialnej i bytowej, zatrudnienia, wykształcenia, edukacji, nauki, oddziaływań wychowawczych, życia rodzinnego, funkcjonowania w środowisku, sposobu spędzania czasu wolnego, uzależnień, dysfunkcji i lokalizacji; 6) dane adresowe i kontaktowe; 7) biometryczne cechy fizyczne; 8) informacje o przestrzeganiu porządku prawnego, zarzutach i okolicznościach naruszeń prawa, wykonaniu obowiązków, prowadzonych postępowaniach sądowych i administracyjnych, skazaniach, ukaraniach i rozstrzygnięciach w postępowaniu sądowym lub administracyjnym. 2. W zakresie niezbędnym do wykonywania swoich ustawowych zadań kurator zawodowy, kierownik zespołu kuratorskiej służby sądowej oraz kurator okręgowy przetwarzają dane innych osób pozostających we wspólnym gospodarstwie domowym z osobami objętymi postępowaniem, obejmujące: 1) imię i nazwisko; 2) datę urodzenia; 3) nazwisko rodowe; 4) numer PESEL oraz numer i serię dokumentu potwierdzającego tożsamość; 5) informacje o osobistej postawie i zachowaniu; 6) informacje o zdrowiu; 7) informacje o majątku, sytuacji materialnej i bytowej; 8) informacje o zatrudnieniu; 9) informacje o wykształceniu; 10) informacje o oddziaływaniu wychowawczym, życiu rodzinnym i funkcjonowaniu w środowisku; 11) informacje o uzależnieniach; 12) informacje o dysfunkcjach; 13) dane adresowe i kontaktowe; 14) informacje o przestrzeganiu porządku prawnego, zarzutach i okolicznościach naruszeń prawa, prowadzonych postępowaniach sądowych i administracyjnych, skazaniach, ukaraniach i rozstrzygnięciach w postępowaniu sądowym lub administracyjnym. 3. Administrator danych osób, których dotyczy postępowanie, w tym Policja, Straż Graniczna, inne organy lub instytucje państwowe, organy samorządu terytorialnego, stowarzyszenia i inne organizacje społeczne, organy sądowych postępowań wykonawczych, instytucje pomocy społecznej i pieczy zastępczej, podmioty lecznicze w rozumieniu ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej (Dz. U. z 2018 r. poz. 2190 i 2219 oraz z 2019 r. poz. 492 i 730), jednostki organizacyjne, o których mowa w art. 2 pkt 1-8 ustawy z dnia 14 grudnia 2016 r. - Prawo oświatowe (Dz. U. z 2018 r. poz. 996, z późn. zm.⁴³⁾), oraz publiczne i niepubliczne uczelnie w rozumieniu ustawy z dnia 20 lipca 2018 r. - Prawo o szkolnictwie wyższym i nauce (Dz. U. poz. 1668, z późn. zm.⁴⁴⁾) są obowiązane udostępnić kuratorowi zawodowemu, kierownikowi zespołu kuratorskiej służby sądowej, kuratorowi okręgowemu, w zakresie niezbędnym do wykonywania ich ustawowych zadań, dane osobowe, o których mowa w ust. 1 i 2. 4. Administrator danych udostępnia dane kuratorowi zawodowemu, kierownikowi zespołu kuratorskiej służby sądowej i kuratorowi okręgowemu nieodpłatnie. Art. 9b. Administratorem danych przetwarzanych w celu wykonania zadań lub obowiązków przez kuratora sądowego jest prezes sądu, w którym kurator sądowy pełni obowiązki służbowe. ” ;

w art. 87 ust. 3 otrzymuje brzmienie:

„ 3. Kuratorowi społecznemu, w związku z wykonywaniem czynności zleconych przez sąd, sędziego lub kuratora zawodowego, przysługują uprawnienia, o których mowa w art. 9 i art. 9a. ” .

w art. 13d dodaje się ust. 18 w brzmieniu:

„ 18. Wójt, burmistrz albo prezydent miasta wykonuje obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁴⁵⁾, zwanego dalej „rozporządzeniem 2016/679”, oraz informuje o ograniczeniu, o którym mowa w art. 13da ust. 1, w związku z realizacją czynności, o których mowa w: 1) ust. 12 - przez udostępnienie stosownych informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, na swojej stronie internetowej oraz w ogłoszeniu, o którym mowa w ust. 12; 2) ust. 13 i 14 - przez udostępnienie stosownych informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, na swojej stronie internetowej oraz w widocznym miejscu w swojej siedzibie. ” ;

po art. 13d dodaje się art. 13da i art. 13db w brzmieniu:

„ Art. 13da. 1. W związku z przetwarzaniem przez wójta, burmistrza, prezydenta miasta albo wojewodę danych osobowych uzyskanych w toku prowadzenia postępowań w przedmiocie uchwalania miejscowych planów odbudowy prawo, o którym mowa w art. 15 ust. 1 lit. g rozporządzenia 2016/679, przysługuje, o ile nie wpływa na ochronę praw i wolności osoby, od której dane pozyskano. 2. W przypadku gdy okres przechowywania danych osobowych, o których mowa w ust. 1, nie wynika z przepisów ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2019 r. poz. 553 i 730), organy, o których mowa w ust. 1, przechowują dane przez okres ustalony zgodnie z przepisami wydanymi na podstawie art. 6 ust. 2 i 2b ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach. 3. Dane osobowe, o których mowa w ust. 1, podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazaniu polegającym co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w poufności. Art. 13db. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie wpływa na przebieg i wynik postępowań w przedmiocie uchwalania miejscowych planów odbudowy. ” .

po art. 8 dodaje się art. 8a w brzmieniu:

„ Art. 8a. 1. W stosunku do osób ubiegających się o przyjęcie do służby albo pracy w Żandarmerii Wojskowej przeprowadza się postępowanie kwalifikacyjne. 2. Komendant Główny Żandarmerii Wojskowej organizuje i prowadzi postępowanie kwalifikacyjne w stosunku do kandydatów ubiegających się o przyjęcie do służby: 1) albo pracy w Komendzie Głównej Żandarmerii Wojskowej, Centrum Szkolenia Żandarmerii Wojskowej w Mińsku Mazowieckim i Oddziale Zabezpieczenia Żandarmerii Wojskowej w Warszawie; 2) w korpusie oficerów zawodowych w pozostałych jednostkach organizacyjnych Żandarmerii Wojskowej. 3. Komendant Główny Żandarmerii Wojskowej może upoważnić właściwego komendanta oddziału Żandarmerii Wojskowej do organizacji lub przeprowadzenia postępowania kwalifikacyjnego. 4. Komendant oddziału Żandarmerii Wojskowej organizuje i prowadzi postępowanie kwalifikacyjne w stosunku do innych niż wskazanych w ust. 2 pkt 2 kandydatów ubiegających się o przyjęcie do służby albo pracy w podległych mu jednostkach organizacyjnych. 5. Postępowanie kwalifikacyjne ma na celu ustalenie, czy kandydat posiada predyspozycje i spełnia warunki do pełnienia służby albo pracy w Żandarmerii Wojskowej. 6. Kandydat ubiegający się o przyjęcie do służby albo pracy w Żandarmerii Wojskowej może być poddany badaniom psychologicznym lub psychofizjologicznym. 7. Kandydat ubiegający się o przyjęcie do służby albo pracy w Żandarmerii Wojskowej wypełnia ankietę kwalifikacyjną i wniosek o przeprowadzenie postępowania kwalifikacyjnego. 8. Komendant Główny Żandarmerii Wojskowej lub osoby przez niego upoważnione w ramach postępowania kwalifikacyjnego przeprowadzają: 1) wobec kandydata do pracy: a) rozmowę kwalifikacyjną, b) sprawdzenie w Krajowym Rejestrze Karnym, Krajowym Systemie Informacyjnym Policji i Krajowym Centrum Informacji Kryminalnych oraz ewidencjach i kartotekach niedostępnych powszechnie, o których mowa w art. 25 ust. 1 pkt 2 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz. U. z 2018 r. poz. 412, 650, 1000, 1083 i 1669 oraz z 2019 r. poz. 125), c) wywiad o kandydacie w miejscu zamieszkania i pracy, d) badania psychologiczne oraz badania psychofizjologiczne - w przypadku stanowisk wymagających szczególnych predyspozycji; 2) wobec kandydata do służby, czynności wymienione w pkt 1 lit. a-c oraz: a) egzamin ze sprawności fizycznej, b) egzamin z poziomu znajomości języków obcych, c) badania psychologiczne, d) badania psychofizjologiczne - w przypadku stanowisk wymagających szczególnych predyspozycji. 9. Żandarmeria Wojskowa, w celu przeprowadzenia postępowań kwalifikacyjnych, przetwarza następujące dane: 1) w przypadku kandydata do pracy: a) wizerunek, b) nazwisko, w tym nazwisko rodowe, c) imię lub imiona, d) imię ojca, e) imię i nazwisko panieńskie matki, f) stan cywilny, g) datę urodzenia, h) miejsce urodzenia, i) obywatelstwo (obywatelstwa), j) serię i numer dowodu osobistego, k) numer PESEL, l) posiadany stopień wojskowy lub inny stopień w formacji określonej w art. 17a ust. 1 ustawy z dnia 11 września 2003 r. o służbie wojskowej żołnierzy zawodowych (Dz. U. z 2019 r. poz. 330 i 730), m) serię i numer książeczki wojskowej, n) adres miejsca zamieszkania, o) serię i numer paszportu, p) miejsce pracy lub służby, q) dochody, r) dane dotyczące służby albo zatrudnienia, s) wykształcenie, t) wynik rozmowy kwalifikacyjnej, u) wyniki wywiadu w miejscu zamieszkania i pracy, v) wyniki sprawdzeń w kartotekach niedostępnych powszechnie, o których mowa w art. 25 ust. 1 pkt 2 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych, w) wyniki sprawdzeń w Krajowym Rejestrze Karnym, Krajowym Systemie Informacyjnym Policji i Krajowym Centrum Informacji Kryminalnych, x) wynik badania psychologicznego, y) wynik badania psychofizjologicznego; 2) w przypadku kandydata do służby, dane wymienione w pkt 1 oraz wynik: a) testu sprawnościowego, b) sprawdzianu kwalifikacji językowych. 10. Przepis ust. 8 pkt 2 lit. d stosuje się do żołnierzy Żandarmerii Wojskowej przed wyznaczeniem na stanowiska służbowe, w przypadku stanowisk wymagających szczególnych predyspozycji. 11. Informacje, o których mowa w ust. 9, przetwarza się przez okres niezbędny do prowadzenia postępowania kwalifikacyjnego oraz pełnienia służby albo pracy w Żandarmerii Wojskowej, a także wykonywania ustawowych zadań przez Żandarmerię Wojskową. 12. Informacje, o których mowa w ust. 9, uzyskane podczas postępowania kwalifikacyjnego zakończonego wynikiem negatywnym przetwarza się przez okres 5 lat, licząc od dnia zakończenia tego postępowania. 13. Informacje, o których mowa w ust. 9, podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych. 14. Minister Obrony Narodowej określi, w drodze rozporządzenia, sposób i tryb prowadzenia postępowania kwalifikacyjnego do Żandarmerii Wojskowej oraz wzór ankiety kwalifikacyjnej i wniosku o przeprowadzenie postępowania kwalifikacyjnego, mając na względzie zapewnienie sprawnego przebiegu postępowania kwalifikacyjnego oraz wyłonienia osób posiadających predyspozycje i warunki do pełnienia służby albo pracy w Żandarmerii Wojskowej. ” ;

w art. 9 uchyla się ust. 1a.

w art. 55a:

w art. 55b:

w art. 55c uchyla się ust. 5;

uchyla się art. 82;

w art. 82g uchyla się ust. 3;

po art. 89c dodaje się art. 89d w brzmieniu:

„ Art. 89d. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie wpływa na przebieg kontroli prowadzonych na podstawie przepisów niniejszego rozdziału ani na uprawnienie właściwego organu do nałożenia kary. ” .

po art. 21a dodaje się art. 21b w brzmieniu:

„ Art. 21b. 1. W związku z przetwarzaniem przez Prezesa Urzędu danych osobowych uzyskanych w toku prowadzenia postępowań, o których mowa w ustawie, prawo, o którym mowa w art. 15 ust. 1 lit. g rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁴⁷⁾, zwanego dalej „rozporządzeniem 2016/679”, przysługuje w zakresie, w jakim nie wpływa ono na ochronę praw i wolności osób, od których dane te pozyskano. 2. Prezes Urzędu informuje o ograniczeniu, o którym mowa w ust. 1, przy pierwszej czynności skierowanej do osoby, której dane dotyczą, a także w Biuletynie Informacji Publicznej na swojej stronie podmiotowej. 3. Okres przechowywania danych osobowych przetwarzanych w toku postępowań, o których mowa w ustawie, ustala się zgodnie z przepisami wydanymi na podstawie art. 6 ust. 2 ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2019 r. poz. 553 i 730). 4. Dane osobowe, o których mowa w ust. 3, podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy. ” ;

w art. 27 dodaje się ust. 8 w brzmieniu:

„ 8. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie wpływa na przebieg i wynik kontroli prowadzonych przez Prezesa Urzędu na podstawie ustawy. ” ;

w art. 134 po ust. 1f dodaje się ust. 1g i 1h w brzmieniu:

„ 1g. W związku z badaniem okoliczności i przyczyn zdarzeń lotniczych Komisja oraz Komisja Badania Wypadków Lotniczych Lotnictwa Państwowego, o której mowa w art. 140, są uprawnione do przetwarzania danych osobowych dotyczących zdrowia, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679. 1h. Komisja oraz Komisja Badania Wypadków Lotniczych Lotnictwa Państwowego, o której mowa w art. 140, wykonują obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, przy pierwszej czynności skierowanej do osoby, której dane dotyczą, chyba że informacje, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, są w posiadaniu tej osoby, a zakres tych informacji lub ich treść nie uległy zmianie. ” .

art. 4 otrzymuje brzmienie:

„ Art. 4. Jeżeli ustawa wymaga uzyskania zgody usługobiorcy, stosuje się przepisy o ochronie danych osobowych. ” ;

uchyla się art. 16 i art. 17;

w art. 18 ust. 3 i 4 otrzymują brzmienie:

„ 3. Usługodawca wyróżnia i oznacza te spośród danych, o których mowa w ust. 2, jako dane, których podanie jest niezbędne do świadczenia usługi drogą elektroniczną. 4. Usługodawca może przetwarzać, za zgodą usługobiorcy i dla celów reklamy, badania rynku oraz zachowań i preferencji usługobiorców z przeznaczeniem wyników tych badań na potrzeby polepszenia jakości usług świadczonych przez usługodawcę, inne dane dotyczące usługobiorcy, które nie są niezbędne do świadczenia usługi drogą elektroniczną. ” ;

w art. 19 uchyla się ust. 1, 2, 4 i 5;

uchyla się art. 20-22.

po art. 8 dodaje się art. 8a i art. 8b w brzmieniu:

„ Art. 8a. 1. W związku z przetwarzaniem przez wójta, burmistrza, prezydenta miasta, marszałka województwa, wojewodę, zarząd województwa albo zarząd związku metropolitalnego danych osobowych, uzyskanych w toku prowadzenia postępowań dotyczących sporządzania aktów planistycznych, o których mowa w ustawie, prawo, o którym mowa w art. 15 ust. 1 lit. g rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁴⁸⁾, zwanego dalej „rozporządzeniem 2016/679”, przysługuje, jeżeli nie wpływa na ochronę praw i wolności osoby, od której dane te pozyskano. 2. W przypadku gdy okres przechowywania danych osobowych, o których mowa w ust. 1, nie wynika z przepisów ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2019 r. poz. 553 i 730), organy, o których mowa w ust. 1, przechowują dane przez okres ustalony zgodnie z przepisami wydanymi na podstawie art. 6 ust. 2b ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach. 3. Dane osobowe, o których mowa w ust. 1, podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazaniu polegającym co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w poufności. Art. 8b. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie wpływa na przebieg i wynik postępowań dotyczących sporządzania aktów planistycznych. ” ;

po art. 11 dodaje się art. 11a w brzmieniu:

„ Art. 11a. Wójt, burmistrz albo prezydent miasta wykonuje obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, oraz informuje o ograniczeniu, o którym mowa w art. 8a ust. 1, w związku z realizacją czynności, o których mowa w: 1) art. 11 pkt 3, 7 i 9 - przez udostępnienie stosownych informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, na swojej stronie internetowej oraz w widocznym miejscu w swojej siedzibie; 2) art. 11 pkt 1 i 8 - przez udostępnienie stosownych informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, na swojej stronie internetowej i w widocznym miejscu w swojej siedzibie oraz w obwieszczeniu, o którym mowa w art. 11 pkt 1, albo w ogłoszeniu, o którym mowa w art. 11 pkt 7. ” ;

po art. 17 dodaje się art. 17a w brzmieniu:

„ Art. 17a. Wójt, burmistrz albo prezydent miasta wykonuje obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, oraz informuje o ograniczeniu, o którym mowa w art. 8a ust. 1, w związku z realizacją czynności, o których mowa w: 1) art. 17 pkt 4, 9 i 12-14 - przez udostępnienie stosownych informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, na swojej stronie internetowej oraz w widocznym miejscu w swojej siedzibie; 2) art. 17 pkt 1 i 11 - przez udostępnienie stosownych informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, na swojej stronie internetowej, w widocznym miejscu w swojej siedzibie oraz w obwieszczeniu, o którym mowa w art. 17 pkt 1, albo w ogłoszeniu, o którym mowa w art. 17 pkt 9. ” ;

w art. 37b dodaje się ust. 7 w brzmieniu:

„ 7. Wójt, burmistrz albo prezydent miasta wykonuje obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, oraz informuje o ograniczeniu, o którym mowa w art. 8a ust. 1, w związku z realizacją czynności, o których mowa w: 1) ust. 3 - przez udostępnienie stosownych informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, na swojej stronie internetowej oraz w widocznym miejscu w swojej siedzibie; 2) ust. 2 pkt 8 - przez udostępnienie stosownych informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, na swojej stronie internetowej, w widocznym miejscu w swojej siedzibie oraz w obwieszczeniu, o którym mowa w ust. 2 pkt 8. ” ;

w art. 38b dodaje się ust. 6 w brzmieniu:

„ 6. Zarząd województwa wykonuje obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, oraz informuje o ograniczeniu, o którym mowa w art. 8a ust. 1, w związku z realizacją czynności, o których mowa w: 1) ust. 2 pkt 5 i 6 - przez udostępnienie stosownych informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, na swojej stronie internetowej oraz w widocznym miejscu w swojej siedzibie; 2) ust. 2 pkt 4 - przez udostępnienie stosownych informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, na swojej stronie internetowej, w widocznym miejscu w swojej siedzibie oraz w obwieszczeniu, o którym mowa w ust. 2 pkt 4. ” ;

w art. 41 dodaje się ust. 3 w brzmieniu:

„ 3. Marszałek województwa wykonuje obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, oraz informuje o ograniczeniu, o którym mowa w art. 8a ust. 1, w związku z realizacją czynności, o których mowa w: 1) ust. 1 pkt 3 - przez udostępnienie stosownych informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, na swojej stronie internetowej oraz w widocznym miejscu w swojej siedzibie; 2) ust. 1 pkt 1 - przez udostępnienie stosownych informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, na swojej stronie internetowej, w widocznym miejscu w swojej siedzibie oraz w obwieszczeniu, o którym mowa w ust. 1 pkt 1. ” .

w art. 15 dodaje się ust. 3 w brzmieniu:

„ 3. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁴⁹⁾, zwanego dalej „rozporządzeniem 2016/679”, przez osobę, której dane dotyczą, nie wpływa na przebieg kontroli prowadzonych przez Prezesa UTK ani na uprawnienie tego organu do nałożenia kary. ” ;

w art. 28h po ust. 1 dodaje się ust. 1a i 1b w brzmieniu:

„ 1a. W związku z badaniem poważnych wypadków, wypadków lub incydentów Komisja jest uprawniona do przetwarzania danych osobowych, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679, w zakresie danych dotyczących zdrowia. 1b. Komisja wykonuje obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, przy pierwszej czynności skierowanej do osoby, której dane dotyczą, chyba że informacje, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, są w posiadaniu tej osoby, a zakres tych informacji lub ich treść nie uległy zmianie. ” .

po art. 98a dodaje się art. 98b-98d w brzmieniu:

„ Art. 98b. Fundusz przetwarza dane osobowe dotyczące zdrowia w zakresie niezbędnym do realizacji zadań, o których mowa w art. 98 ust. 1-2 i art. 102a. Art. 98c. Fundusz przetwarza dane osobowe dotyczące wyroków skazujących oraz naruszeń prawa lub powiązanych środków bezpieczeństwa w zakresie niezbędnym do: 1) dochodzenia zwrotu odszkodowania, o którym mowa w art. 11 ust. 3, art. 43 i art. 58; 2) zaspokajania roszczeń, o których mowa w art. 98 ust. 1-2; 3) ustalenia okoliczności zdarzenia oraz rozmiaru szkody, o którym mowa w art. 16 ust. 3 i art. 102 ust. 3 i 4, oraz identyfikacji i weryfikacji zjawisk związanych z przestępczością ubezpieczeniową, o których mowa w art. 102 ust. 7; 4) kontroli spełnienia obowiązków zawarcia umowy obowiązkowego ubezpieczenia OC posiadaczy pojazdów mechanicznych i ubezpieczenia OC rolników, o której mowa w art. 84 ust. 2 pkt 2 lit. a i ust. 3 pkt 2 lit. b, oraz dochodzenia opłaty za niespełnienie tych obowiązków, o którym mowa w art. 90 i art. 91; 5) realizacji zadań, o których mowa w art. 102a; 6) dochodzenia zwrotu świadczenia i poniesionych kosztów, w przypadkach określonych w art. 110 ust. 1, a także określenia sytuacji materialnej i majątkowej, o którym mowa w art. 94 i art. 110 ust. 2; 7) wypłaty świadczeń, o których mowa w art. 111, oraz zaspokajania roszczeń, o których mowa w art. 113 i art. 114. Art. 98d. W celu realizacji zadań, o których mowa w art. 84 ust. 2 pkt 2 lit. a i ust. 3 pkt 2 lit. b, art. 98, art. 98b, art. 98c, art. 102 i art. 102a, Fundusz może podejmować decyzje w indywidualnych przypadkach w oparciu o zautomatyzowane przetwarzanie danych, w tym profilowanie. ” ;

w art. 102 ust. 7 otrzymuje brzmienie:

„ 7. Fundusz przetwarza dane, o których mowa w ust. 2-4 oraz art. 103, w celu kontroli spełnienia obowiązku zawarcia umowy ubezpieczenia obowiązkowego oraz w celu identyfikacji i weryfikacji zjawisk związanych z przestępczością ubezpieczeniową albo dla innych celów, po modyfikacji, która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą. ” ;

w art. 105:

w art. 122 w ust. 1 wprowadzenie do wyliczenia otrzymuje brzmienie:

„ Do zadań Biura należy: ” ;

po art. 136 dodaje się art. 136a-136d w brzmieniu:

„ Art. 136a. Biuro przetwarza dane osobowe dotyczące zdrowia w zakresie niezbędnym do realizacji zadań, o których mowa w art. 122 ust. 1 pkt 3 i 4 oraz art. 123 pkt 1 i 2. Art. 136b. Biuro przetwarza dane osobowe dotyczące wyroków skazujących oraz naruszeń prawa lub powiązanych środków bezpieczeństwa, w zakresie niezbędnym do: 1) ustalenia okoliczności zdarzenia oraz rozmiaru szkody, o którym mowa w art. 16 ust. 3; 2) rozpatrzenia zgłoszonego żądania odszkodowawczego oraz podjęcia czynności w celu ustalenia odpowiedzialności za spowodowanie szkody i wysokości odszkodowania, o których mowa w art. 83-83b; 3) organizowania likwidacji szkód lub bezpośredniej likwidacji szkód, o których mowa w art. 122 ust. 1 pkt 3 i 4; 4) zaspokajania roszczeń, o których mowa w art. 123-125; 5) realizacji zadań, o których mowa w art. 124 i art. 133-136. Art. 136c. W celu realizacji zadań, o których mowa w art. 122 ust. 1 pkt 3 i 4 oraz art. 123 pkt 1 i 2, Biuro może podjąć decyzje w indywidualnych przypadkach w oparciu o zautomatyzowane przetwarzanie danych, w tym profilowanie. Art. 136d. Biuro przechowuje otrzymane dane przez 21 lat. ” .

po art. 8a dodaje się art. 8b w brzmieniu:

„ Art. 8b. 1. Centrum przetwarza dane osobowe: 1) uczestników obejmujące imię i nazwisko, numer PESEL, datę urodzenia, dane adresowe, stan cywilny, wykształcenie, doświadczenie lub kwalifikacje zawodowe, pochodzenie etniczne, stan zdrowia, nałogi, skazania, orzeczenia o ukaraniu, a także inne orzeczenia wydane w postępowaniu sądowym lub administracyjnym, 2) członków rodziny lub przedstawiciela ustawowego uczestnika obejmujące imię i nazwisko, numer PESEL, datę urodzenia, dane adresowe - w zakresie niezbędnym do realizacji usług określonych w art. 3 ust. 1. 2. W związku z przetwarzaniem danych osobowych w celu realizacji usług przez Centrum wykonanie obowiązku, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁵¹⁾, zwanego dalej „rozporządzeniem 2016/679”, następuje przez umieszczenie informacji, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, w widocznym miejscu w budynku, w którym realizowane są usługi. 3. O ograniczeniu, o którym mowa w ust. 2, administrator danych informuje osobę, której dane dotyczą, najpóźniej przy pierwszej czynności skierowanej do tej osoby. 4. Zabezpieczenia stosowane przez administratora danych w celu ochrony danych osobowych polegają co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy. 5. Dane osobowe, o których mowa w ust. 1, przechowuje się przez okres 10 lat, licząc od końca roku kalendarzowego, w którym zakończono realizację usług na rzecz osób, których dane dotyczą. 6. Centrum i osoby realizujące usługi określone w art. 3 ust. 1 obowiązane są do zachowania w tajemnicy wszelkich informacji i danych, które uzyskały przy realizacji tych usług. ” ;

po art. 18e dodaje się art. 18f w brzmieniu:

„ Art. 18f. 1. Podmioty, o których mowa w art. 18 ust. 1, przetwarzają dane uczestników klubów integracji społecznej, w tym dane obejmujące imię i nazwisko, numer PESEL, datę urodzenia, dane adresowe, stan cywilny, wykształcenie, doświadczenie lub kwalifikacje zawodowe, pochodzenie etniczne, stan zdrowia, nałogi, skazania, orzeczenia o ukaraniu, a także inne orzeczenia wydane w postępowaniu sądowym lub administracyjnym, imię i nazwisko, numer PESEL, datę urodzenia, dane adresowe członków rodziny lub przedstawiciela ustawowego, w zakresie niezbędnym do prowadzenia reintegracji zawodowej i społecznej. 2. W związku z przetwarzaniem danych osobowych w celu reintegracji zawodowej i społecznej podmioty, o których mowa w art. 18 ust. 1, wykonują obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, przez umieszczenie informacji, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, w widocznym miejscu w budynku, w którym prowadzone są działania w ramach reintegracji zawodowej i społecznej. 3. O ograniczeniu, o którym mowa w ust. 2, administrator danych informuje osobę, której dane dotyczą, najpóźniej przy pierwszej czynności skierowanej do tej osoby. 4. Zabezpieczenia stosowane przez administratora danych w celu ochrony danych osobowych polegają co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy. 5. Podmioty, o których mowa w art. 18 ust. 1, obowiązane są do zachowania w tajemnicy wszelkich informacji i danych, które uzyskały przy prowadzeniu działań w ramach reintegracji zawodowej i społecznej. ” .

w art. 8 dodaje się ust. 3 w brzmieniu:

„ 3. Rejestr zawiera dane osobowe obejmujące imię, nazwisko i adres zamieszkania lub nazwę i adres siedziby właściciela lub posiadacza zabytku lub użytkownika wieczystego gruntu, na którym znajduje się zabytek nieruchomy. ” ;

w art. 22 dodaje się ust. 7 w brzmieniu:

„ 7. Ewidencje, o których mowa w ust. 1, 2, 4 i 6, mogą zawierać dane osobowe obejmujące: 1) imię, nazwisko i adres zamieszkania lub nazwę i adres siedziby właściciela lub użytkownika zabytku; 2) imię, nazwisko i podpis autora karty ewidencyjnej lub adresowej lub imię i nazwisko osoby, która wypełniła kartę ewidencyjną; 3) imię i nazwisko lub nazwę wykonawcy prac konserwatorskich, prac restauratorskich, badań konserwatorskich lub badań archeologicznych przy zabytku. ” ;

w art. 23 dodaje się ust. 3 w brzmieniu:

„ 3. Wykaz zawiera dane osobowe obejmujące imię, nazwisko i adres zamieszkania lub nazwę i adres siedziby właściciela lub posiadacza zabytku. ” .

ust. 1 otrzymuje brzmienie:

„ 1. Oficerowie zawodowi, z wyjątkiem oficerów zajmujących stanowiska służbowe sędziów sądów wojskowych oraz stanowiska służbowe prokuratorów do spraw wojskowych, oraz podoficerowie pełniący zawodową służbę wojskową w organach finansowych i logistycznych są obowiązani do złożenia oświadczenia o swoim stanie majątkowym. Oświadczenie o stanie majątkowym dotyczy majątku osobistego oraz objętego małżeńską wspólnością majątkową. ” ;

po ust. 1 dodaje się ust. 1a w brzmieniu:

„ 1a. Oświadczenie, o którym mowa w ust. 1, zawiera informacje, w tym dane osobowe, obejmujące: 1) imię (imiona), nazwisko oraz nazwisko rodowe; 2) datę i miejsce urodzenia; 3) imiona i nazwiska ojca i matki oraz ich nazwiska rodowe; 4) numer PESEL oraz serię i numer dowodu osobistego; 5) obywatelstwo i płeć; 6) numer telefonu oraz adres poczty elektronicznej; 7) miejsce zatrudnienia, stanowisko lub funkcje; 8) posiadane nieruchomości oraz ich adresy; 9) posiadane zasoby pieniężne; 10) posiadane akcje lub udziały w spółkach handlowych; 11) nabyte mienie od Skarbu Państwa, innej państwowej osoby prawnej, jednostek samorządu terytorialnego oraz ich związków lub komunalnej osoby prawnej, które podlegało zbyciu w drodze przetargu; 12) członkostwo, zatrudnienie lub wykonywanie czynności w zarządzie, radzie nadzorczej, komisji rewizyjnej spółki handlowej, komisji rewizyjnej spółdzielni lub zarządu fundacji prowadzącej działalność gospodarczą; 13) prowadzone działalności gospodarcze; 14) składniki mienia ruchomego o wartości powyżej 10 000 zł; 15) zobowiązania pieniężne o wartości powyżej 10 000 zł; 16) wynagrodzenia za pracę i dochody z innej działalności zarobkowej; 17) dochody z majątku wspólnego oraz z majątku osobistego; 18) dane dotyczące prowadzenia działalności gospodarczej oraz pełnienia przez małżonka funkcji w spółkach handlowych lub spółdzielniach; 19) inne przychody i świadczenia. ” .

w art. 22 w ust. 3 wyrazy „może przetwarzać” zastępuje się wyrazem „przetwarza”;

w art. 23:

w art. 29:

w art. 8 dodaje się ust. 5 w brzmieniu:

„ 5. Zamawiający udostępnia dane osobowe, o których mowa w art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁵³⁾, zwanego dalej „rozporządzeniem 2016/679”, w celu umożliwienia korzystania ze środków ochrony prawnej, o których mowa w dziale VI, do upływu terminu do ich wniesienia. ” ;

po art. 8 dodaje się art. 8a w brzmieniu:

„ Art. 8a. 1. Zamawiający realizuje obowiązki, o których mowa w art. 13 ust. 1-3 rozporządzenia 2016/679, przez zamieszczenie wymaganych informacji w ogłoszeniu o zamówieniu, ogłoszeniu o konkursie, specyfikacji istotnych warunków zamówienia, regulaminie konkursu lub przy pierwszej czynności skierowanej do wykonawcy. 2. W przypadku gdy wykonanie obowiązków, o których mowa w art. 15 ust. 1-3 rozporządzenia 2016/679, wymagałoby niewspółmiernie dużego wysiłku, zamawiający może żądać od osoby, której dane dotyczą, wskazania dodatkowych informacji mających na celu sprecyzowanie żądania, w szczególności podania nazwy lub daty postępowania o udzielenie zamówienia publicznego lub konkursu. 3. Skorzystanie przez osobę, której dane dotyczą, z uprawnienia do sprostowania lub uzupełnienia danych osobowych, o którym mowa w art. 16 rozporządzenia 2016/679, nie może skutkować zmianą wyniku postępowania o udzielenie zamówienia publicznego lub konkursu ani zmianą postanowień umowy w zakresie niezgodnym z ustawą. 4. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie ogranicza przetwarzania danych osobowych do czasu zakończenia postępowania o udzielenie zamówienia publicznego lub konkursu. 5. Zamawiający informuje o ograniczeniach, o których mowa w ust. 2 i 4 oraz art. 97 ust. 1a, na stronie internetowej prowadzonego postępowania lub konkursu, w ogłoszeniu o zamówieniu, ogłoszeniu o konkursie, specyfikacji istotnych warunków zamówienia, regulaminie konkursu lub w inny sposób dostępny dla osoby, której dane dotyczą. 6. Zamawiający przetwarza dane osobowe zebrane w postępowaniu o udzielenie zamówienia publicznego lub konkursie w sposób gwarantujący zabezpieczenie przed ich bezprawnym rozpowszechnianiem. 7. Do przetwarzania danych osobowych, o których mowa w art. 10 rozporządzenia 2016/679, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie. Osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w poufności. ” ;

w art. 11 po ust. 6 dodaje się ust. 6a i 6b w brzmieniu:

„ 6a. W przypadku danych osobowych zamieszczonych przez zamawiającego w Biuletynie Zamówień Publicznych, prawa, o których mowa w art. 15 i art. 16 rozporządzenia 2016/679, są wykonywane w drodze żądania skierowanego do zamawiającego. 6b. Prezes Urzędu Zamówień Publicznych zapewnia techniczne utrzymanie systemu teleinformatycznego, przy użyciu którego udostępniany jest Biuletyn Zamówień Publicznych, oraz określa okres przechowywania danych osobowych zamieszczanych w Biuletynie Zamówień Publicznych. ” ;

w art. 96 po ust. 3 dodaje się ust. 3a i 3b w brzmieniu:

„ 3a. Zasada jawności, o której mowa w ust. 3, ma zastosowanie do wszystkich danych osobowych, z wyjątkiem danych, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679, zebranych w toku postępowania o udzielenie zamówienia publicznego lub konkursu. Ograniczenia zasady jawności, o których mowa w art. 8 ust. 3-5, stosuje się odpowiednio. 3b. Od dnia zakończenia postępowania o udzielenie zamówienia, w przypadku gdy wniesienie żądania, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, spowoduje ograniczenie przetwarzania danych osobowych zawartych w protokole i załącznikach do protokołu, zamawiający nie udostępnia tych danych zawartych w protokole i w załącznikach do protokołu, chyba że zachodzą przesłanki, o których mowa w art. 18 ust. 2 rozporządzenia 2016/679. ” ;

w art. 97 po ust. 1 dodaje się ust. 1a i 1b w brzmieniu:

„ 1a. W przypadku gdy wykonanie obowiązków, o których mowa w art. 15 ust. 1-3 rozporządzenia 2016/679, wymagałoby niewspółmiernie dużego wysiłku, zamawiający może żądać od osoby, której dane dotyczą, wskazania dodatkowych informacji mających w szczególności na celu sprecyzowanie nazwy lub daty zakończonego postępowania o udzielenie zamówienia. 1b. Skorzystanie przez osobę, której dane dotyczą, z uprawnienia do sprostowania lub uzupełnienia, o którym mowa w art. 16 rozporządzenia 2016/679, nie może naruszać integralności protokołu oraz jego załączników. ” ;

po art. 143d dodaje się art. 143e w brzmieniu:

„ Art. 143e. 1. W przypadku, o którym mowa w art. 29 ust. 3a, umowa zawiera postanowienia dotyczące sposobu dokumentowania zatrudnienia oraz kontroli spełniania przez wykonawcę lub podwykonawcę wymagań dotyczących zatrudnienia na podstawie umowy o pracę oraz postanowienia dotyczące sankcji z tytułu niespełnienia wymagań, o których mowa w art. 29 ust. 3a. 2. W celu weryfikacji zatrudnienia przez wykonawcę lub podwykonawcę na podstawie umowy o pracę osób wykonujących wskazane przez zamawiającego czynności w zakresie realizacji zamówienia umowa przewiduje możliwość żądania przez zamawiającego w szczególności: 1) oświadczenia wykonawcy lub podwykonawcy o zatrudnieniu pracownika na podstawie umowy o pracę, 2) poświadczonej za zgodność z oryginałem kopii umowy o pracę zatrudnionego pracownika, 3) innych dokumentów - zawierających informacje, w tym dane osobowe, niezbędne do weryfikacji zatrudnienia na podstawie umowy o pracę, w szczególności imię i nazwisko zatrudnionego pracownika, datę zawarcia umowy o pracę, rodzaj umowy o pracę oraz zakres obowiązków pracownika. ” .

w art. 23 ust. 4a otrzymuje brzmienie:

„ 4a. Minister właściwy do spraw zabezpieczenia społecznego prowadzi i rozwija rejestr centralny obejmujący dane dotyczące jednostek organizacyjnych pomocy społecznej, a także dane dotyczące osób i rodzin ubiegających się o świadczenia z pomocy społecznej lub korzystających z tych świadczeń oraz form udzielonej pomocy społecznej, gromadzone przez jednostki organizacyjne pomocy społecznej na podstawie przepisów ustawy, oraz przetwarza te dane w celu realizacji zadań, o których mowa w ust. 1. Jednostki organizacyjne pomocy społecznej przekazują dane do rejestru centralnego, wykorzystując oprogramowanie, o którym mowa w ust. 4. ” ;

w art. 25 dodaje się ust. 7 w brzmieniu:

„ 7. Podmioty uprawnione, którym zlecono realizację zadania z zakresu pomocy społecznej, a w przypadku wykonywania zleconego zadania poprzez jednostki organizacyjne pomocy społecznej - te jednostki, są administratorami danych osobowych przetwarzanych w celu udzielania świadczeń z pomocy społecznej przez te podmioty i jednostki. ” ;

w art. 100:

po art. 134l dodaje się art. 134m w brzmieniu:

„ Art. 134m. 1. Organizacje partnerskie oraz Krajowy Ośrodek przetwarzają dane osobowe osób korzystających z pomocy określonej w Programie Operacyjnym obejmujące: 1) imię i nazwisko, liczbę osób wchodzących w skład gospodarstwa domowego, w tym w podziale na płeć, wiek i przynależność do grupy docelowej Programu Operacyjnego; 2) dochód osoby lub rodziny; 3) powody udzielenia pomocy na podstawie art. 7. 2. Wypełnienie obowiązków informacyjnych określonych w przepisach o ochronie danych osobowych, w toku udzielania pomocy określonej w Programie Operacyjnym, następuje przez udostępnienie informacji o przetwarzaniu danych osobowych: 1) w przypadku organizacji partnerskich - w widocznym miejscu w budynku, w którym udzielana jest pomoc; 2) w przypadku Krajowego Ośrodka - w Biuletynie Informacji Publicznej na stronie podmiotowej Krajowego Ośrodka lub na jego stronie internetowej. 3. Zabezpieczenia stosowane przez administratora danych w celu ochrony danych osobowych polegają co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy. 4. Podmioty i osoby realizujące zadania określone w Programie Operacyjnym obowiązane są do zachowania w tajemnicy wszelkich informacji i danych, które uzyskały przy realizacji zadań. ” .

w art. 4:

po art. 4 dodaje się art. 4a w brzmieniu:

„ Art. 4a. 1. Wojewódzkie urzędy pracy i powiatowe urzędy pracy, w celu realizacji ich zadań ustawowych, w tym weryfikacji prawa do świadczeń i udzielania pomocy określonej w ustawie, pozyskują dane z Zakładu Ubezpieczeń Społecznych w zakresie, o którym mowa w art. 50 ust. 14-16 ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych. 2. Dane, o których mowa w ust. 1, są przekazywane w drodze ich wymiany odpowiednio pomiędzy systemami teleinformatycznymi, o których mowa w art. 4 ust. 6e. ” ;

w art. 8:

w art. 9 w ust. 1 pkt 23 otrzymuje brzmienie:

„ 23) współpraca z ministrem właściwym do spraw pracy w zakresie tworzenia rejestru centralnego; ” ;

w art. 33:

w art. 46 uchyla się ust. 5a.

w art. 2 po pkt 2e dodaje się pkt 2f w brzmieniu:

„ 2f) rozporządzeniu 2016/679 - rozumie się przez to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁵⁸⁾; ” ;

po art. 13a dodaje się art. 13b w brzmieniu:

„ Art. 13b. Fundusz inwestycyjny, towarzystwo, alternatywna spółka inwestycyjna i zarządzający ASI, a także podmioty, o których mowa w art. 32 ust. 1 i 2, w zakresie ich działalności, o której mowa w tych przepisach oraz w art. 32 ust. 2b, będące administratorami przetwarzającymi dane osobowe w rozumieniu art. 4 pkt 1 rozporządzenia 2016/679, nie są obowiązane do wykonywania obowiązków, o których mowa w art. 15 rozporządzenia 2016/679, w zakresie, w jakim jest to niezbędne dla prawidłowej realizacji zadań dotyczących przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu oraz zapobiegania przestępstwom. ” ;

art. 193 otrzymuje brzmienie:

„ Art. 193. Fundusz sekurytyzacyjny oraz podmiot, z którym towarzystwo zawarło umowę o zarządzanie sekurytyzowanymi wierzytelnościami, zbierają i przetwarzają dane osobowe dłużników sekurytyzowanych wierzytelności jedynie w celach związanych z zarządzaniem wierzytelnościami sekurytyzowanymi. ” ;

w art. 281 w ust. 1 w pkt 15 kropkę zastępuje się średnikiem i dodaje się pkt 16 w brzmieniu:

„ 16) Prezesa Urzędu Ochrony Danych Osobowych w związku z toczącym się postępowaniem przed tym organem, jeżeli jest to niezbędne w toczącym się postępowaniu. ” ;

w art. 286b ust. 16 otrzymuje brzmienie:

„ 16. Komisja może przekazać organowi nadzoru państwa trzeciego informacje dotyczące sprawy indywidualnej prowadzonej przez Komisję, jeżeli spełnione są warunki, o których mowa w rozporządzeniu 2016/679 - w przypadku danych osobowych, oraz jeżeli ich przekazanie jest niezbędne dla realizacji zadań określonych ustawą. Komisja może również, jeżeli są spełnione warunki, o których mowa w rozporządzeniu 2016/679, wyrazić zgodę na dalsze przekazanie tych informacji organowi nadzoru innego państwa trzeciego. ” .

w art. 57 w ust. 1 w pkt 2 średnik zastępuje się kropką i uchyla się pkt 3;

w art. 78 w ust. 2 pkt 1 otrzymuje brzmienie:

„ 1) w przypadku abonenta będącego konsumentem: a) dane, o których mowa w art. 169 ust. 1, b) adres miejsca zamieszkania i adres korespondencyjny - jeżeli jest on inny niż adres miejsca zamieszkania, c) numer PESEL - w przypadku obywatela Rzeczypospolitej Polskiej, d) nazwę, serię i numeru dokumentu potwierdzającego tożsamość, a w przypadku cudzoziemca, który nie jest obywatelem państwa członkowskiego albo Konfederacji Szwajcarskiej - numer paszportu lub karty pobytu, ” ;

w art. 159 w ust. 1 pkt 1 otrzymuje brzmienie:

„ 1) dane dotyczące użytkownika, z zastrzeżeniem art. 161 ust. 2; ” ;

w art. 161 ust. 2 otrzymuje brzmienie:

„ 2. Przetwarzanie danych osobowych użytkownika - innych niż wskazane w art. 159 ust. 1 pkt 2-5 - będącego osobą fizyczną odbywa się na podstawie przepisów o ochronie danych osobowych. ” ;

art. 174 otrzymuje brzmienie:

„ Art. 174. Do uzyskania zgody abonenta lub użytkownika końcowego stosuje się przepisy o ochronie danych osobowych. ” ;

po art. 174 dodaje się art. 174¹ w brzmieniu:

„ Art. 174¹. Dostawca publicznie dostępnych usług telekomunikacyjnych obowiązany jest wdrożyć odpowiednie techniczne i organizacyjne środki ochrony zapewniające bezpieczeństwo przetwarzania danych osobowych. Niezależnie od wymogów wskazanych w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁵⁹⁾, zwanym dalej „rozporządzeniem 2016/679”, środki ochrony co najmniej: 1) zapewniają, aby dostęp do danych osobowych miała osoba posiadająca pisemne upoważnienie wydane przez administratora danych, oraz 2) chronią przechowywane lub przekazywane dane osobowe przed przypadkowym lub bezprawnym zniszczeniem, przypadkową utratą lub zmianą oraz nieuprawnionym lub bezprawnym przechowywaniem, przetwarzaniem, dostępem lub ujawnieniem, oraz 3) zapewniają wdrożenie polityki bezpieczeństwa w odniesieniu do przetwarzania danych osobowych. ” ;

w art. 174a:

art. 174b i art. 174c otrzymują brzmienie:

„ Art. 174b. Do sprawowanej przez Prezesa Urzędu Ochrony Danych Osobowych kontroli wykonywania przez dostawcę publicznie dostępnych usług telekomunikacyjnych obowiązków, o których mowa w art. 174¹, art. 174a oraz art. 174d, stosuje się odpowiednio przepisy ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. poz. 1000 i 1669 oraz z 2019 r. poz. 730). Art. 174c. Prezes Urzędu Ochrony Danych Osobowych, kierując wystąpienie, o którym mowa w art. 52 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, do dostawcy publicznie dostępnych usług telekomunikacyjnych uwzględnia wytyczne Komisji Europejskiej dotyczące realizacji obowiązku powiadomienia abonenta lub użytkownika końcowego będącego osobą fizyczną o naruszeniu jego danych osobowych i wskazuje okoliczności, formę i sposób takiego powiadomienia. Prezes Urzędu Ochrony Danych Osobowych może udostępniać wystąpienia w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, o ile nie będą one zawierać informacji stanowiących tajemnicę przedsiębiorstwa. ” ;

w art. 174d w ust. 1 wprowadzenie do wyliczenia otrzymuje brzmienie:

„ Dostawca publicznie dostępnych usług telekomunikacyjnych prowadzi rejestr naruszeń danych osobowych, w tym faktów towarzyszących naruszeniom, ich skutków i podjętych działań, zawierający w szczególności: ” ;

po art. 210 dodaje się art. 210a w brzmieniu:

„ Art. 210a. 1. Kto nie wypełnia obowiązku: 1) wdrożenia technicznych i organizacyjnych środków ochrony, o których mowa w art. 174¹, 2) informacyjnego, względem Prezesa Urzędu Ochrony Danych Osobowych, o którym mowa w art. 174a ust. 1, 3) informacyjnego, względem abonenta lub użytkownika końcowego, o którym mowa w art. 174a ust. 3, 4) prowadzenia rejestru naruszeń danych osobowych, o którym mowa w art. 174d ust. 1 - podlega karze pieniężnej nakładanej przez Prezesa Urzędu Ochrony Danych Osobowych w wysokości do 3% przychodu ukaranego podmiotu osiągniętego w poprzednim roku kalendarzowym. 2. Do kar nakładanych na podstawie ust. 1 stosuje się odpowiednio przepisy art. 209 ust. 1a-3 oraz art. 210. Uprawnienia Prezesa UKE określone w tych przepisach przysługują Prezesowi Urzędu Ochrony Danych Osobowych. ” .

w art. 188:

w art. 188a wprowadzenie do wyliczenia otrzymuje brzmienie:

„ W celu realizacji zadań określonych w ustawie Fundusz przetwarza następujące dane osobowe osób wystawiających recepty na refundowane leki, środki spożywcze specjalnego przeznaczenia żywieniowego i wyroby medyczne, osób wystawiających zlecenie na zaopatrzenie w wyroby medyczne, o których mowa w przepisach wydanych na podstawie art. 38 ust. 4 ustawy o refundacji, osób udzielających świadczeń na podstawie umów o udzielanie świadczeń opieki zdrowotnej oraz ubiegających się o zawarcie takich umów: ” ;

w art. 188b wprowadzenie do wyliczenia otrzymuje brzmienie:

„ W celu realizacji zadań określonych w art. 97a ust. 2 pkt 3 Fundusz przetwarza następujące dane dotyczące osób wykonujących zawody medyczne: ” ;

w art. 188ba:

w art. 188c ust. 6 otrzymuje brzmienie:

„ 6. Fundusz przetwarza dane w zakresie realizacji programów lekowych, o których mowa w ustawie o refundacji. ” ;

w art. 188d wprowadzenie do wyliczenia otrzymuje brzmienie:

„ Jednostka samorządu terytorialnego, w celu realizacji zadań, o których mowa w art. 9a i art. 9b, przetwarza dane dotyczące: ” ;

w art. 191:

po art. 3 dodaje się art. 3a w brzmieniu:

„ Art. 3a. 1. Podmioty zapewniające organom właściwym w sprawach o naruszenie dyscypliny finansów publicznych siedzibę, obsługę prawną i administracyjno-techniczną są administratorami danych przetwarzanych przez te organy. 2. Administratorzy danych upoważniają do przetwarzania danych osobowych osoby zapewniające obsługę prawną i administracyjno-techniczną organom właściwym w sprawach o naruszenie dyscypliny finansów publicznych w zakresie niezbędnym do realizacji powierzonych zadań. Upoważnienie jest wydawane w formie pisemnej w drodze imiennego upoważnienia, upoważnienia stanowiskowego lub aktu wewnętrznego, chyba że przepis szczególny stanowi inaczej. 3. Administratorzy danych prowadzą rejestr osób uprawnionych do przetwarzania danych osobowych na podstawie upoważnień lub w związku z pełnieniem funkcji w organach właściwych w sprawach o naruszenie dyscypliny finansów publicznych. 4. Jeżeli przepisy szczególne nie stanowią inaczej, osoby przetwarzające dane są obowiązane zachować w poufności dane osobowe oraz sposoby ich zabezpieczenia. 5. Przekazywanie informacji, o których mowa w art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁶²⁾, zwanego dalej „rozporządzeniem 2016/679”, odbywa się niezależnie od obowiązków organów przewidzianych w ustawie i nie wpływa na przebieg i wynik prowadzonych postępowań. 6. Administrator danych przekazuje informacje, o których mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, przy pierwszej czynności organu skierowanej do osoby, której dane dotyczą, chyba że osoba posiada te informacje, a ich zakres lub treść nie uległy zmianie. 7. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie wstrzymuje, ani nie ogranicza wykonywania przez organy właściwe w sprawach o naruszenie dyscypliny finansów publicznych realizacji zadań wynikających z przepisów prawa. ” ;

po art. 173 dodaje się art. 173a w brzmieniu:

„ Art. 173a. Przepis art. 173 ust. 1 nie narusza prawa osoby, której dane dotyczą, do skorzystania z uprawnień wynikających z art. 15 rozporządzenia 2016/679. ” .

po art. 15a dodaje się art. 15b w brzmieniu:

„ Art. 15b. 1. Podmiot publiczny w celu ochrony interesu prawnego lub faktycznego osoby fizycznej, w szczególności w związku z realizowanymi na jej rzecz usługami, może wykorzystywać jej dane kontaktowe gromadzone w rejestrze publicznym lub systemach teleinformatycznych. Brak odpowiedzi osoby fizycznej na próbę nawiązania przez podmiot publiczny kontaktu z wykorzystaniem danych kontaktowych nie może negatywnie wpłynąć na jej sytuację prawną lub faktyczną. 2. Podmiot publiczny, wykorzystując dane kontaktowe osoby fizycznej, informuje ją o podstawie prawnej nawiązania kontaktu. ” ;

w art. 19f:

w art. 19g dodaje się ust. 4 w brzmieniu:

„ 4. Porozumienie, o którym mowa w ust. 1 i 2, opatruje się podpisem zaufanym, podpisem osobistym lub kwalifikowanym podpisem elektronicznym. ” ;

w art. 19h dodaje się zdanie drugie w brzmieniu:

„ Dane przetwarzane są przez okres 6 lat od dnia ostatniej aktywności użytkownika w systemie. ” .

ust. 1 otrzymuje brzmienie:

„ 1. Członkowie zespołu interdyscyplinarnego oraz grup roboczych w zakresie niezbędnym do realizacji zadań, o których mowa w art. 9b, przetwarzają dane: 1) osób, co do których istnieje podejrzenie, że są dotknięte przemocą w rodzinie, oraz osób dotkniętych przemocą w rodzinie: a) imię i nazwisko, b) imiona rodziców, c) wiek, d) adres miejsca zamieszkania lub pobytu, e) numer telefonu lub adres poczty elektronicznej lub inny sposób kontaktu, jeżeli posiada, f) informacje o stanie zdrowia, g) informacje o nałogach, h) informacje o skazaniach, orzeczeniach o ukaraniu, innych orzeczeniach wydanych w postępowaniu sądowym lub administracyjnym, i) informacje o sytuacji rodzinnej, j) informacje o sytuacji zawodowej i źródłach utrzymania, k) informacje o sytuacji mieszkaniowej; 2) innych osób pozostających we wspólnym gospodarstwie z osobą, wobec której istnieje podejrzenie, że stosuje przemoc w rodzinie, lub z osobą stosującą przemoc w rodzinie: a) imię i nazwisko, b) stosunek pokrewieństwa z osobą, co do której istnieje podejrzenie, że stosuje przemoc w rodzinie, lub z osobą stosującą przemoc w rodzinie, c) wiek, d) informacje o sytuacji zawodowej i źródłach utrzymania, e) w przypadku dzieci - dane szkoły i klasy, do której uczęszcza dziecko; 3) osób, co do których istnieje podejrzenie, że stosują przemoc w rodzinie, oraz osób stosujących przemoc w rodzinie: a) imię i nazwisko, b) wiek, c) stan cywilny, d) adres miejsca zamieszkania lub pobytu, e) numer telefonu lub adres poczty elektronicznej lub inny sposób kontaktu, jeżeli posiada, f) stosunek pokrewieństwa z osobą, co do której istnieje podejrzenie, że jest dotknięta przemocą w rodzinie lub z osobą dotkniętą przemocą w rodzinie, g) informacje o stanie zdrowia, h) informacje o nałogach, i) informacje o skazaniach, orzeczeniach o ukaraniu, innych orzeczeniach wydanych w postępowaniu sądowym lub administracyjnym, j) informacje o sytuacji zawodowej i źródłach utrzymania; 4) osób zgłaszających podejrzenie stosowania przemocy w rodzinie oraz świadków przemocy: a) imię i nazwisko, b) adres miejsca zamieszkania, c) numer telefonu lub adres poczty elektronicznej lub inny sposób kontaktu, jeżeli posiada. ” ;

dodaje się ust. 4-7 w brzmieniu:

„ 4. Poza przypadkami wskazanymi w ustawie do dokumentacji wytworzonej przy realizacji zadań, o których mowa w art. 9b, dostęp mają wyłącznie członkowie zespołu interdyscyplinarnego oraz grup roboczych oraz osoby wskazane w ust. 1 pkt 1 i 3. 5. Osoby, o których mowa w ust. 1 pkt 3, mają dostęp do dokumentacji, z wyłączeniem dostępu do dokumentacji zawierającej dane osób dotkniętych przemocą w rodzinie oraz osób zgłaszających podejrzenie stosowania przemocy w rodzinie, których udostępnienie mogłoby spowodować zagrożenie życia, zdrowia lub bezpieczeństwa osób dotkniętych przemocą w rodzinie lub osób zgłaszających podejrzenie stosowania przemocy w rodzinie, w szczególności z wyłączeniem dostępu do: 1) formularzy „Niebieska Karta” zawierających dane osób dotkniętych przemocą w rodzinie; 2) protokołów z posiedzeń zespołu interdyscyplinarnego oraz grup roboczych, chyba że dotyczą wyłącznie działań podejmowanych wobec osób, co do których istnieje podejrzenie, że stosują przemoc w rodzinie, oraz osób stosujących przemoc w rodzinie; 3) notatek i dokumentów wytworzonych przy realizacji zadań, o których mowa w art. 9b, chyba że dokumenty te dotyczą wyłącznie działań podejmowanych wobec osób, co do których istnieje podejrzenie, że stosują przemoc w rodzinie, oraz osób stosujących przemoc w rodzinie; 4) innych dokumentów zgromadzonych przy realizacji zadań, o których mowa w art. 9b, których udostępnienie mogłoby spowodować zagrożenie życia, zdrowia lub bezpieczeństwa osób dotkniętych przemocą w rodzinie lub osób zgłaszających podejrzenie stosowania przemocy w rodzinie. 6. Administratorem danych przetwarzanych na podstawie przepisów niniejszego artykułu jest ośrodek pomocy społecznej zapewniający obsługę organizacyjno-techniczną zespołu interdyscyplinarnego. 7. Zabezpieczenia stosowane przez administratora danych w celu ochrony danych osobowych polegają co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy. ” .

w art. 3 po pkt 4w dodaje się pkt 4x w brzmieniu:

„ 4x) rozporządzeniu 2016/679 - rozumie się przez to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁶³⁾; ” ;

po art. 83j dodaje się art. 83k w brzmieniu:

„ Art. 83k. Firmy inwestycyjne będące administratorami przetwarzającymi dane osobowe w rozumieniu art. 4 pkt 1 rozporządzenia 2016/679 nie są obowiązane do wykonywania obowiązków, o których mowa w art. 15 rozporządzenia 2016/679, w zakresie, w jakim jest to niezbędne dla prawidłowej realizacji zadań dotyczących przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu oraz zapobiegania przestępstwom. ” ;

w art. 149 w pkt 13 kropkę zastępuje się średnikiem i dodaje się pkt 14 w brzmieniu:

„ 14) Prezesa Urzędu Ochrony Danych Osobowych - w zakresie niezbędnym do realizacji przez niego ustawowych zadań. ” .

po art. 13 dodaje się art. 13a w brzmieniu:

„ Art. 13a. 1. Wnioski o wydanie dokumentu paszportowego zawierają: 1) numer PESEL; 2) nazwisko; 3) nazwisko rodowe oraz inne nazwiska, jeżeli były zmieniane; 4) imię (imiona); 5) imiona rodziców i nazwisko rodowe matki; 6) datę i miejsce urodzenia; 7) płeć; 8) podpis osoby, dla której ma być wydany dokument paszportowy, z wyjątkiem przypadków, o których mowa w art. 18 ust. 2 i 3; 9) imię, nazwisko, rodzaj, serie i numery dokumentów tożsamości, podpisy rodziców lub ustanowionych przez sąd opiekunów albo jednego z rodziców lub ustanowionych przez sąd opiekunów wyrażających zgodę na wydanie dokumentu paszportowego osobie małoletniej oraz datę ich złożenia; 10) opcjonalnie numer telefonu lub adres poczty elektronicznej; 11) pouczenie o odpowiedzialności karnej za podanie nieprawdziwych danych lub zatajenie danych; 12) miejscowość, datę i podpis osoby składającej wniosek; 13) datę i podpis osoby odbierającej dokument paszportowy; 14) adnotacje urzędowe. 2. Wniosek o wydanie paszportu albo paszportu tymczasowego składany do wojewody i ministra właściwego do spraw wewnętrznych, oprócz danych wskazanych w ust. 1, zawiera także adres do korespondencji, datę i podpis osoby odbierającej anulowany, posiadany dotychczas, dokument paszportowy, a wniosek o wydanie paszportu tymczasowego w przypadku, o którym mowa w art. 23 ust. 1 pkt 3, zawiera także adres miejsca stałego pobytu. 3. Wniosek o wydanie paszportu albo paszportu tymczasowego składany do konsula, oprócz danych wskazanych w ust. 1, zawiera także adres do korespondencji za granicą, datę i podpis osoby odbierającej anulowany, posiadany dotychczas, dokument paszportowy, a wniosek o wydanie paszportu tymczasowego w przypadku, o którym mowa w art. 23 ust. 1 pkt 3, zawiera także adres miejsca stałego pobytu. 4. Wniosek o wydanie paszportu dyplomatycznego lub paszportu służbowego Ministerstwa Spraw Zagranicznych, oprócz danych wskazanych w ust. 1, zawiera także: 1) adres do korespondencji; 2) aktualne miejsce pracy i stanowisko; 3) zobowiązanie posiadacza dokumentu paszportowego do zwrotu dokumentu paszportowego niezwłocznie po wykorzystaniu lub w przypadku utraty prawa do korzystania z tego dokumentu. ” ;

w art. 46:

w art. 47:

po art. 47 dodaje się art. 47a i art. 47b w brzmieniu:

„ Art. 47a. 1. Danych przetwarzanych w centralnej ewidencji i ewidencjach paszportowych nie usuwa się, z wyjątkiem danych, o których mowa w art. 46 ust. 3 pkt 5. 2. Dane biometryczne w postaci odcisków palców przechowuje się w centralnej ewidencji i ewidencjach paszportowych do czasu wpisania przez organ paszportowy do ewidencji paszportowej potwierdzenia przyjęcia sporządzonego dokumentu paszportowego. 3. W przypadku wydania przez organ paszportowy decyzji o odmowie wydania dokumentu paszportowego dane biometryczne w postaci odcisków palców przechowuje się w centralnej ewidencji i ewidencjach paszportowych do czasu wpisania przez organ do ewidencji paszportowej informacji o odmowie wydania dokumentu paszportowego z powodów, o których mowa w art. 17 ust. 1, oraz numeru akt sprawy o wydanie dokumentu paszportowego. Art. 47b. 1. Organ paszportowy przyjmujący wniosek o wydanie dokumentu paszportowego dokonuje z urzędu sprawdzenia danych w ewidencjach paszportowych, w centralnej ewidencji oraz w rejestrze PESEL, o którym mowa w ustawie z dnia 24 września 2010 r. o ewidencji ludności (Dz. U. z 2018 r. poz. 1382 i 1544 oraz z 2019 r. poz. 60 i 730), porównuje dane w nich zamieszczone z danymi zawartymi we wniosku o wydanie dokumentu paszportowego oraz w przedkładanej dokumentacji. 2. W przypadku stwierdzenia niezgodności danych, o których mowa w art. 18 ust. 1 pkt 1-5 i 9 oraz w art. 46 ust. 3 pkt 2, 3 i 7-14, w ewidencjach i rejestrze, o których mowa w ust. 1, z danymi zawartymi we wniosku o wydanie dokumentu paszportowego oraz przedkładanej dokumentacji organ, który stwierdził niezgodność, podejmuje działania celem usunięcia niezgodności, zgodnie z art. 11 ust. 2 ustawy z dnia 24 września 2010 r. o ewidencji ludności. 3. W przypadku braku bezpośredniego dostępu do rejestru PESEL, o niezgodności, o której mowa w ust. 2, konsulowie niezwłocznie zawiadamiają ministra właściwego do spraw informatyzacji. ” ;

uchyla się art. 48;

w art. 49:

po art. 49 dodaje się art. 49a-49c w brzmieniu:

„ Art. 49a. 1. Utrzymanie i rozwój centralnej ewidencji, w celu realizacji zadań określonych w ustawie, zapewnia minister właściwy do spraw informatyzacji, w tym: 1) zapewnia ochronę przed nieuprawnionym dostępem do centralnej ewidencji; 2) zapewnia integralność danych w centralnej ewidencji; 3) zapewnia dostępność systemu teleinformatycznego, w którym prowadzona jest centralna ewidencja, dla podmiotów przetwarzających dane w tej ewidencji; 4) przeciwdziała uszkodzeniom systemu teleinformatycznego, w którym prowadzona jest centralna ewidencja; 5) określa zasady bezpieczeństwa przetwarzanych danych, w tym danych osobowych; 6) określa zasady zgłaszania naruszenia ochrony danych osobowych; 7) zapewnia rozliczalność działań dokonywanych na danych centralnej ewidencji; 8) zapewnia poprawność danych przetwarzanych w centralnej ewidencji. 2. Minister właściwy do spraw informatyzacji wykonuje obowiązki, o których mowa w art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁶⁴⁾, zwanego dalej „rozporządzeniem 2016/679”. Art. 49b. 1. Utrzymanie i rozwój systemu teleinformatycznego, za pomocą którego organy paszportowe prowadzą ewidencje paszportowe, w celu realizacji zadań określonych w ustawie, zapewnia minister właściwy do spraw wewnętrznych, w tym: 1) zapewnia ochronę przed nieuprawnionym dostępem do ewidencji paszportowych; 2) zapewnia integralność danych w ewidencjach paszportowych; 3) zapewnia dostępność systemu teleinformatycznego, w którym prowadzone są ewidencje paszportowe, dla podmiotów przetwarzających dane w tych ewidencjach; 4) przeciwdziała uszkodzeniom systemu teleinformatycznego, w którym prowadzone są ewidencje paszportowe; 5) określa zasady bezpieczeństwa przetwarzanych danych, w tym danych osobowych; 6) określa zasady zgłaszania naruszenia ochrony danych osobowych; 7) zapewnia rozliczalność działań dokonywanych na danych ewidencji paszportowych. 2. Minister właściwy do spraw wewnętrznych zapewnia funkcjonowanie wydzielonej sieci umożliwiającej łączność elektroniczną między centralną ewidencją a ewidencjami paszportowymi. 3. Minister właściwy do spraw zagranicznych zapewnia funkcjonowanie wydzielonej sieci umożliwiającej łączność elektroniczną między centralną ewidencją a ewidencjami paszportowymi prowadzonymi przez konsulów. 4. Organy paszportowe wykonują obowiązki, o których mowa w art. 15 rozporządzenia 2016/679. Art. 49c. Minister właściwy do spraw wewnętrznych, minister właściwy do spraw informatyzacji, minister właściwy do spraw zagranicznych, konsul oraz wojewoda posiadają dostęp do centralnej ewidencji. ” ;

uchyla się art. 50-52;

w art. 53 dodaje się ust. 3 w brzmieniu:

„ 3. Dokumentację, o której mowa w ust. 1, przechowuje się na zasadach i w trybie określonych w przepisach wydanych na podstawie art. 6 ust. 2 i 2b ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2019 r. poz. 553 i 730). ” ;

po rozdziale 6 dodaje się rozdział 6a w brzmieniu:

„ Rozdział 6a Udostępnianie danych Art. 54a. Minister właściwy do spraw informatyzacji udostępnia dane zgromadzone w centralnej ewidencji, z wyłączeniem danych biometrycznych w postaci odcisków palców: 1) Policji, 2) Straży Granicznej, 3) Biuru Nadzoru Wewnętrznego, 4) Agencji Bezpieczeństwa Wewnętrznego, 5) Agencji Wywiadu, 6) Centralnemu Biuru Antykorupcyjnemu, 7) ministrowi właściwemu do spraw finansów publicznych, 8) prokuratorowi, 9) sądom, 10) Służbie Więziennej, 11) Służbie Kontrwywiadu Wojskowego, 12) Służbie Wywiadu Wojskowego, 13) Żandarmerii Wojskowej, 14) Szefowi Krajowego Centrum Informacji Kryminalnych, 15) Służbie Ochrony Państwa - w zakresie niezbędnym do realizacji ich ustawowych zadań. Art. 54b. 1. Dane z centralnej ewidencji udostępnia się w trybie: 1) pełnej teletransmisji danych; 2) jednostkowym. 2. Dane z centralnej ewidencji udostępnia się nieodpłatnie. Art. 54c. 1. Minister właściwy do spraw informatyzacji może wyrazić zgodę, w drodze decyzji administracyjnej, na udostępnienie danych zgromadzonych w centralnej ewidencji, podmiotom, o których mowa w art. 54a, za pomocą urządzeń teletransmisji danych, po złożeniu jednorazowego, uproszczonego wniosku, jeżeli spełniają łącznie następujące warunki: 1) posiadają urządzenia umożliwiające odnotowanie w systemie, kto, kiedy, w jakim celu oraz jakie dane uzyskał; 2) posiadają zabezpieczenia techniczne i organizacyjne uniemożliwiające wykorzystanie danych niezgodnie z celem ich uzyskania; 3) jest to uzasadnione specyfiką lub zakresem ustawowo określonych zadań. 2. Minister właściwy do spraw informatyzacji, w drodze decyzji administracyjnej, odmawia udostępnienia danych w trybie pełnej teletransmisji danych, jeżeli podmioty uprawnione nie spełniają wymogów określonych w ust. 1. Art. 54d. W trybie jednostkowym z centralnej ewidencji minister właściwy do spraw informatyzacji udostępnia dane dotyczące dokumentu lub jego posiadacza z wyłączeniem danych biometrycznych w postaci odcisków palców, na jednorazowy wniosek podmiotów, o których mowa w art. 54a, złożony w formie pisemnej lub w formie dokumentu elektronicznego przy wykorzystaniu środków komunikacji elektronicznej. Art. 54e. 1. Organy paszportowe udostępniają dokumentację, o której mowa w art. 53 ust. 1, znajdującą się w ich posiadaniu. 2. Dokumentację paszportową, o której mowa w art. 53 ust. 1, udostępnia się na uzasadniony wniosek złożony przez osobę, której ta dokumentacja dotyczy albo przez podmiot, o którym mowa w art. 54a, jeżeli uzyskanie danych przez ten podmiot jest uzasadnione zakresem wykonywanych zadań określonych w ustawach szczególnych. 3. Dokumentację paszportową udostępnia się nieodpłatnie. Art. 54f. 1. Organy paszportowe na wniosek osoby, której dane dotyczą, złożony w formie pisemnej lub w formie dokumentu elektronicznego przy wykorzystaniu środków komunikacji elektronicznej, wydają zaświadczenie zawierające pełny odpis danych dotyczących tej osoby przetwarzanych w prowadzonych przez nie ewidencjach paszportowych, z wyłączeniem danych biometrycznych w postaci odcisków palców. 2. Zaświadczenie sporządza się, w zależności od żądania wnioskodawcy, w formie pisemnej lub w formie dokumentu elektronicznego, który podlega przekazaniu przy wykorzystaniu środków komunikacji elektronicznej. Zaświadczenia wydawane w formie dokumentu elektronicznego opatruje się kwalifikowanym podpisem elektronicznym, podpisem zaufanym lub podpisem osobistym. 3. Zaświadczenie może mieć formę wydruku z systemu teleinformatycznego. Art. 54g. 1. Organ paszportowy udostępnia z ewidencji paszportowej dane dotyczące dokumentu lub jego posiadacza, z wyłączeniem danych biometrycznych w postaci odcisków palców, na jednorazowy wniosek podmiotu, o którym mowa w art. 54a, złożony w formie pisemnej lub w formie dokumentu elektronicznego przy wykorzystaniu środków komunikacji elektronicznej. 2. W trybie, o którym mowa w ust. 1, dane udostępnia się nieodpłatnie. Art. 54h. Minister właściwy do spraw informatyzacji w porozumieniu z ministrem właściwym do spraw wewnętrznych określi, w drodze rozporządzenia wzór wniosku o: 1) udostępnienie danych z ewidencji paszportowych i z centralnej ewidencji w trybie jednostkowym, 2) udostępnianie danych z centralnej ewidencji w trybie pełnej teletransmisji danych, 3) udostępnienie dokumentacji, o której mowa w art. 53 ust. 1 - uwzględniając potrzebę zapewnienia sprawności i bezpieczeństwa udostępniania danych oraz dokumentacji, o której mowa w art. 53 ust. 1. ” .

w art. 24b ust. 1 i 2 otrzymują brzmienie:

„ 1. Dysponent lotniczych zespołów ratownictwa medycznego będący jednostką nadzorowaną przez ministra właściwego do spraw zdrowia administruje SWD PRM, który umożliwia bezpieczne przetwarzanie danych, w tym kontrolę dostępu użytkowników do danych, oraz dokumentuje dokonywane przez nich zmiany, umożliwiając w szczególności odtworzenie historii każdego zgłoszenia alarmowego i powiadomienia o zdarzeniu. 2. Minister właściwy do spraw zdrowia, wojewodowie, dysponent lotniczych zespołów ratownictwa medycznego będący jednostką nadzorowaną przez ministra właściwego do spraw zdrowia i dysponenci zespołów ratownictwa medycznego przetwarzają dane zarejestrowane w SWD PRM, w tym nagrania rozmów, dane osobowe osoby zgłaszającej, dane innych osób wskazanych w trakcie przyjmowania zgłoszenia, pozycje geograficzne, dane teleadresowe lub opis zdarzenia, i udostępniają je na wniosek sądu, prokuratury, Policji, Rzecznika Praw Pacjenta lub Narodowego Funduszu Zdrowia. ” ;

art. 24c otrzymuje brzmienie:

„ Art. 24c. 1. Minister właściwy do spraw zdrowia, wojewodowie, dysponent lotniczych zespołów ratownictwa medycznego będący jednostką nadzorowaną przez ministra właściwego do spraw zdrowia i dysponenci zespołów ratownictwa medycznego są współadministratorami danych w SWD PRM oraz innych danych uzyskanych w związku z przyjmowaniem oraz obsługą zgłoszeń alarmowych i powiadomień o zdarzeniach z wykorzystaniem SWD PRM. 2. Minister właściwy do spraw zdrowia: 1) wydaje i cofa upoważnienia do przetwarzania danych osobowych w SWD PRM dla pracowników urzędu obsługującego ministra właściwego do spraw zdrowia oraz konsultantów krajowych i wojewódzkich, o których mowa w ustawie z dnia 6 listopada 2008 r. o konsultantach w ochronie zdrowia (Dz. U. z 2017 r. poz. 890 oraz z 2018 r. poz. 1669), w zakresie, o którym mowa w pkt 2; 2) określa zakres danych, które mogą być udostępniane konsultantom krajowym i wojewódzkim, o których mowa w ustawie z dnia 6 listopada 2008 r. o konsultantach w ochronie zdrowia, oraz podmiotom, o których mowa w art. 39; 3) określa uprawnienia w SWD PRM; 4) przetwarza dane w SWD PRM niezbędne do realizacji zadań, o których mowa w art. 19 ust. 1 oraz art. 24a ust. 1; 5) realizuje obowiązki wynikające z art. 19 i art. 34 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁶⁷⁾, zwanego dalej „rozporządzeniem 2016/679”. 3. Wojewodowie: 1) wydają i cofają upoważnienia do przetwarzania danych osobowych w SWD PRM dla pracowników urzędu wojewódzkiego; 2) nadają i cofają uprawnienia w SWD PRM; 3) przetwarzają dane w SWD PRM niezbędne do realizacji zadań, o których mowa w art. 19 ust. 2; 4) realizują obowiązki wynikające z art. 15 i art. 16 rozporządzenia 2016/679 w zakresie wprowadzonych przez nich danych do SWD PRM; 5) realizują obowiązki wynikające z art. 19 i art. 34 rozporządzenia 2016/679. 4. Dysponent lotniczych zespołów ratownictwa medycznego będący jednostką nadzorowaną przez ministra właściwego do spraw zdrowia: 1) przetwarza w SWD PRM dane niezbędne do realizacji zadań, o których mowa w art. 27a ust. 2 i art. 48; 2) przetwarza dane w celu zapewnienia utrzymania, rozbudowy, modyfikacji i obsługi technicznej SWD PRM; 3) wydaje i cofa upoważnienia do przetwarzania danych osobowych w zakresie obejmującym zadania wynikające z administrowania SWD PRM; 4) nadaje i cofa uprawnienia w SWD PRM w ramach realizacji powierzonych zadań; 5) może powierzyć przetwarzanie danych przetwarzanych w SWD PRM podmiotom wyspecjalizowanym w zapewnianiu obsługi technicznej systemów teleinformatycznych, w zakresie niezbędnym do prawidłowej realizacji zadań związanych z utrzymaniem i funkcjonowaniem, rozbudową i modyfikacjami SWD PRM; 6) realizuje obowiązki wynikające z art. 15 i art. 16 rozporządzenia 2016/679 w zakresie wprowadzonych przez niego danych do SWD PRM; 7) realizuje obowiązki wynikające z art. 19 i art. 34 rozporządzenia 2016/679. 5. Dysponenci zespołów ratownictwa medycznego: 1) wydają i cofają upoważnienia do przetwarzania danych osobowych w SWD PRM dla pracowników; 2) nadają i cofają uprawnienia w SWD PRM; 3) przetwarzają dane w SWD PRM w celu i zakresie niezbędnym do prawidłowej realizacji zadań wynikających z przepisów ustawy; 4) realizują obowiązki wynikające z art. 15 i art. 16 rozporządzenia 2016/679 w zakresie wprowadzonych przez nich danych do SWD PRM; 5) realizują obowiązki wynikające z art. 19 i art. 34 rozporządzenia 2016/679. 6. Dane osobowe, o których mowa w ust. 1, podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w poufności. 7. Podmioty, o których mowa w ust. 2-5, podejmują działania mające na celu: 1) zapewnienie ochrony przed nieuprawnionym dostępem do SWD PRM; 2) zapewnienie integralności danych w SWD PRM; 3) zapewnienie dostępności SWD PRM dla podmiotów przetwarzających dane w tym systemie; 4) przeciwdziałanie uszkodzeniom SWD PRM; 5) określenie zasad bezpieczeństwa przetwarzanych danych, w tym danych osobowych; 6) określenie zasad zgłaszania naruszenia ochrony danych osobowych; 7) zapewnienie rozliczalności w SWD PRM; 8) zapewnienie poprawności danych przetwarzanych w SWD PRM. 8. Podmioty wyspecjalizowane w zapewnieniu obsługi technicznej systemów teleinformatycznych, którym powierzono przetwarzanie danych osobowych w SWD PRM, nie mogą powierzać przetwarzania danych innym podmiotom ani udostępniać danych innym podmiotom niż upoważnionym na podstawie przepisów prawa. 9. W przypadku zaistnienia konieczności udostępnienia danych osobowych podmiotom upoważnionym na podstawie przepisów prawa, podmiot wyspecjalizowany w zapewnieniu obsługi technicznej systemów teleinformatycznych, który udostępnił dane, informuje o tym fakcie administratora SWD PRM, nie później niż w terminie 3 dni od dnia zaistnienia tego faktu. 10. W przypadku zaistnienia okoliczności skutkujących zaprzestaniem przetwarzania danych przetwarzanych w SWD PRM przez podmioty wyspecjalizowane w zapewnianiu obsługi technicznej systemów teleinformatycznych, podmioty te są obowiązane, w terminie 3 dni od dnia zaistnienia okoliczności skutkujących zaprzestaniem przetwarzania danych, do przekazania przetwarzanych danych administratorowi SWD PRM. 11. Podmioty, o których mowa w ust. 2-5, realizują obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, w związku z przetwarzaniem danych osobowych w SWD PRM, przez udostępnienie informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej lub na swojej stronie internetowej. 12. Osoba zwracająca się z żądaniem na podstawie art. 15 rozporządzenia 2016/679 obowiązana jest do podania informacji o okolicznościach zdarzenia, którego to żądanie dotyczy, w tym daty i miejsca zdarzenia oraz numeru telefonu, z którego zostało wykonane połączenie dotyczące powiadomienia o zdarzeniu. 13. Podmioty, o których mowa w ust. 2-5, udostępniają informację o ograniczeniach, o których mowa w ust. 12, w Biuletynie Informacji Publicznej na swojej stronie podmiotowej lub na swojej stronie internetowej. 14. Podmioty, o których mowa w ust. 2-5, prowadzą ewidencję osób upoważnionych do przetwarzania danych, którym wydały upoważnienia do przetwarzania danych osobowych w SWD PRM. ” ;

w art. 24e:

po art. 5 dodaje się art. 5a w brzmieniu:

„ Art. 5a. W przypadku gdy spółka wykonuje obowiązek zarządcy drogi, o którym mowa w art. 20 pkt 12 ustawy z dnia 21 marca 1985 r. o drogach publicznych, przepis art. 20h tej ustawy stosuje się odpowiednio. ” ;

w art. 7a dodaje się ust. 4 w brzmieniu:

„ 4. Drogowa spółka specjalnego przeznaczenia staje się administratorem danych osobowych, których administratorem był Generalny Dyrektor Dróg Krajowych i Autostrad, w związku z decyzjami administracyjnymi i postanowieniami, o których mowa w ust. 1, jak również sprawami, o których mowa w ust. 2, oraz umowami i porozumieniami, o których mowa w ust. 3. ” .

w art. 15:

w art. 22 w ust. 1 wyrazy „mogą gromadzić i przetwarzać” zastępuje się wyrazem „przetwarzają”;

po art. 22 dodaje się art. 22a w brzmieniu:

„ Art. 22a. 1. Dane osobowe, o których mowa w art. 22 ust. 1, podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazaniu polegającym co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w poufności. ” .

w art. 24:

w art. 26 w ust. 3 pkt 2 otrzymuje brzmienie:

„ 2) organom władzy publicznej, w tym Rzecznikowi Praw Pacjenta, Narodowemu Funduszowi Zdrowia, organom samorządu zawodów medycznych oraz konsultantom w ochronie zdrowia, a także Rzecznikowi Praw Pacjenta Szpitala Psychiatrycznego, w zakresie niezbędnym do wykonywania przez te podmioty ich zadań, w szczególności nadzoru i kontroli; ” ;

w art. 28 ust. 2a otrzymuje brzmienie:

„ 2a. Opłaty, o której mowa w ust. 1, nie pobiera się w przypadku udostępnienia dokumentacji medycznej: 1) pacjentowi albo jego przedstawicielowi ustawowemu po raz pierwszy w żądanym zakresie i w sposób, o którym mowa w art. 27 ust. 1 pkt 2 i 5 oraz ust. 3; 2) w związku z postępowaniem przed wojewódzką komisją do spraw orzekania o zdarzeniach medycznych, o której mowa w art. 67e ust. 1. ” ;

w art. 30a:

w art. 47:

po art. 47 dodaje się art. 47a w brzmieniu:

„ Art. 47a. 1. Rzecznik może przetwarzać wszelkie informacje, w tym dane osobowe niezbędne do realizacji swoich ustawowych zadań. 2. Rzecznik przetwarza dane osobowe, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679, wyłącznie w celu ochrony praw pacjentów przy realizacji zadań, o których mowa w art. 47 ust. 1 pkt 1-3a i 7-10. 3. Administratorem danych, o których mowa w ust. 1 i 2, jest Rzecznik. 4. Dane osobowe podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu przez administratora danych do przetwarzania danych osobowych wyłącznie osób pisemnie do tego upoważnionych; 2) pisemnym zobowiązaniu się osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy; 3) regularnym testowaniu i doskonaleniu stosowanych środków technicznych i organizacyjnych. ” .

w art. 21 dodaje się ust. 6 i 7 w brzmieniu:

„ 6. Prezydent Rzeczypospolitej Polskiej po otrzymaniu wniosku może zwrócić się do właściwych organów, organizacji lub instytucji o udzielenie informacji, które mogą mieć istotne znaczenie w sprawie o nadanie obywatelstwa polskiego. 7. Organy, organizacje lub instytucje, o których mowa w ust. 6, obowiązane są udzielić pisemnej informacji w terminie 30 dni od dnia otrzymania zapytania. W szczególnie uzasadnionych przypadkach termin ten może być przedłużony do 3 miesięcy, o czym organ, organizacja lub instytucja obowiązana do udzielenia informacji powiadamia Prezydenta Rzeczypospolitej Polskiej. ” ;

w art. 49 dodaje się ust. 6 i 7 w brzmieniu:

„ 6. Prezydent Rzeczypospolitej Polskiej po otrzymaniu wniosku może zwrócić się do właściwych organów, organizacji lub instytucji o udzielenie informacji, które mogą mieć istotne znaczenie w sprawie o zrzeczenie się obywatelstwa polskiego. 7. Organy, organizacje lub instytucje, o których mowa w ust. 6, obowiązane są udzielić pisemnej informacji w terminie 30 dni od dnia otrzymania zapytania. W szczególnie uzasadnionych przypadkach termin ten może być przedłużony do 3 miesięcy, o czym organ, organizacja lub instytucja obowiązana do udzielenia informacji powiadamia Prezydenta Rzeczypospolitej Polskiej. ” ;

w art. 59 ust. 2 otrzymuje brzmienie:

„ 2. Minister właściwy do spraw wewnętrznych jest administratorem danych przetwarzanych w rejestrze centralnym. ” .

pkt 1 otrzymuje brzmienie:

„ 1) imię lub imiona i nazwisko wnioskodawcy, datę i miejsce urodzenia, imiona rodziców, numer PESEL, numer telefonu lub adres poczty elektronicznej oraz adres miejsca zamieszkania lub adres korespondencyjny oraz stopień pokrewieństwa lub powinowactwa łączący go ze zmarłą ofiarą zbiorowego wystąpienia wolnościowego; ” ;

po pkt 1 dodaje się pkt 1a w brzmieniu:

„ 1a) imię lub imiona i nazwisko osoby, o której mowa w art. 1 ust. 1, nazwisko rodowe, datę i miejsce urodzenia, imiona rodziców, numer PESEL, jeśli był nadany, oraz datę zgonu; ” ;

pkt 4 otrzymuje brzmienie:

„ 4) wskazanie formy wypłaty świadczenia pieniężnego wraz z informacją o nazwie banku i numerze rachunku bankowego wnioskodawcy w przypadku wyboru tej formy wypłaty; ” .

w ust. 1 pkt 1 otrzymuje brzmienie:

„ 1) Głównemu Inspektorowi oraz Prezesowi Agencji Restrukturyzacji i Modernizacji Rolnictwa, za pośrednictwem środków komunikacji elektronicznej w formie dokumentu elektronicznego opatrzonego kwalifikowanym podpisem elektronicznym, do dnia 30 listopada każdego roku, wykaz producentów, o których mowa w ustawie z dnia 18 grudnia 2003 r. o krajowym systemie ewidencji producentów, ewidencji gospodarstw rolnych oraz ewidencji wniosków o przyznanie płatności (Dz. U. z 2017 r. poz. 1853), którzy spełnili określone wymagania dotyczące produkcji ekologicznej zgodnie z przepisami dotyczącymi rolnictwa ekologicznego, według stanu na dzień 15 listopada tego roku; ” ;

ust. 1a otrzymuje brzmienie:

„ 1a. Jeżeli w wyniku kontroli przeprowadzonej przez jednostkę certyfikującą zostanie stwierdzona konieczność uzupełnienia lub zmiany danych zawartych w wykazie, o którym mowa w ust. 1 pkt 1, jednostka certyfikująca uzupełnia lub zmienia ten wykaz, według stanu na dzień 31 grudnia tego roku, i przekazuje go Głównemu Inspektorowi oraz Prezesowi Agencji Restrukturyzacji i Modernizacji Rolnictwa w sposób i w formie określonej w ust. 1 pkt 1, w terminie do dnia 14 stycznia roku następującego po roku przekazania tego wykazu. ” .

w ust. 2 pkt 1 otrzymuje brzmienie:

„ 1) podmiotach korzystających ze środowiska, osobach uprawnionych do reprezentowania tych podmiotów oraz osobach będących użytkownikami Krajowej bazy: a) imię i nazwisko, b) nazwę podmiotu i jego formę prawną, c) adres miejsca zamieszkania, d) adres siedziby, e) adres poczty elektronicznej, adres strony internetowej, numer telefonu komórkowego, numer telefonu stacjonarnego, f) numer PESEL, a w przypadku braku numeru PESEL - serię i numer dokumentu potwierdzającego tożsamość, g) numer identyfikacyjny w krajowym rejestrze urzędowym podmiotów gospodarki narodowej (REGON), numer identyfikacji podatkowej (NIP) oraz numer w Krajowym Rejestrze Sądowym (KRS); ” ;

dodaje się ust. 5 w brzmieniu:

„ 5. Dane osobowe przetwarzane w ramach Krajowego systemu podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w poufności. ” .

po art. 16a dodaje się art. 16b w brzmieniu:

„ Art. 16b. Do działalności kas stosuje się odpowiednio przepisy art. 106d i art. 106e ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe. ” ;

w art. 18 dodaje się ust. 6 w brzmieniu:

„ 6. Do oceny rękojmi ostrożnego i stabilnego zarządzania kasą stosuje się odpowiednio przepisy art. 22aa ust. 1 oraz 10-12 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe. ” ;

w art. 51 po ust. 1 dodaje się ust. 1a w brzmieniu:

„ 1a. Członkowie zarządu kasy powinni mieć wiedzę, umiejętności i doświadczenie, odpowiednie do pełnionych przez nich funkcji i powierzonych im obowiązków, oraz dawać rękojmię należytego wykonywania tych obowiązków. Rękojmia, o której mowa w zdaniu poprzedzającym, odnosi się w szczególności do reputacji, uczciwości i rzetelności danej osoby oraz zdolności do prowadzenia spraw kasy w sposób ostrożny i stabilny. Do oceny rękojmi ostrożnego i stabilnego zarządzania kasą stosuje się odpowiednio przepisy art. 22aa ust. 10-12 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe. ” .

w art. 2 w ust. 2 w pkt 7 kropkę zastępuje się średnikiem i dodaje się pkt 8 w brzmieniu:

„ 8) rozporządzeniu 2016/679 - rozumie się przez to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁷⁰⁾. ” ;

art. 3 otrzymuje brzmienie:

„ Art. 3. 1. Do przetwarzania danych osobowych o dłużniku przez biuro informacji gospodarczej w związku z udostępnianiem informacji gospodarczych: 1) przepis art. 19 rozporządzenia 2016/679 stosuje się w ten sposób, że biuro informacji gospodarczej informuje o sprostowaniu lub usunięciu lub ograniczeniu przetwarzania danych osobowych w zakresie określonym w art. 2 ust. 1 pkt 2 lit. a i c, pkt 3 lit. a, b i d oraz pkt 4 lit. b-f i h-j odbiorcę, któremu ujawniono dane osobowe, jeżeli nie upłynęło 90 dni od dnia ich otrzymania przez odbiorcę; 2) nie stosuje się przepisu art. 21 ust. 1 rozporządzenia 2016/679. 2. Realizacja uprawnienia dłużnika do żądania ograniczenia przetwarzania danych osobowych w przypadku, o którym mowa w art. 18 ust. 1 lit. a i b rozporządzenia 2016/679, następuje w trybie określonym w art. 21a ust. 1. Obowiązki biura informacji gospodarczej w zakresie ograniczenia przetwarzania danych osobowych określa art. 21a ust. 3. 3. Do przetwarzania danych osobowych przez wierzycieli w związku z przekazaniem do biura informacji gospodarczej informacji gospodarczych o dłużniku będącym osobą fizyczną nie stosuje się przepisu art. 21 ust. 1 rozporządzenia 2016/679. 4. O ograniczeniach, o których mowa w ust. 1, biuro informacji gospodarczej informuje osobę, której dane dotyczą, najpóźniej przy pierwszej czynności skierowanej do tej osoby. 5. O ograniczeniu, o którym mowa w ust. 3, wierzyciel informuje dłużnika w wezwaniu do zapłaty, o którym mowa w art. 14 ust. 1 pkt 3 albo art. 15 ust. 1 pkt 3 albo ust. 1a. 6. Administrator danych zapewnia odpowiednie środki służące ochronie interesu lub podstawowych praw i wolności osoby, której dane dotyczą. ” ;

po art. 22a dodaje się art. 22b w brzmieniu:

„ Art. 22b. 1. Każdy ma prawo dostępu do dotyczących go informacji gospodarczych przechowywanych przez biuro, przekazanych zgodnie z art. 14-18. 2. Osoby fizyczne mają prawo dostępu do przechowywanych przez biuro danych osobowych ich dotyczących na zasadach określonych w rozporządzeniu 2016/679. Wysokość opłat, które biuro może pobrać zgodnie z rozporządzeniem 2016/679, określa cennik uchwalany przez zarząd biura. 3. Dostęp do danych w zakresie, o którym mowa w ust. 2, dla dłużników będących konsumentami jest bezpłatny, jeżeli następuje nie częściej niż raz na 6 miesięcy. 4. W przypadku podmiotów niebędących osobami fizycznymi, dostęp do danych, o którym mowa w ust. 1, podlega opłacie zgodnie z obowiązującym w biurze cennikiem, która nie może być wyższa niż 0,5% minimalnego wynagrodzenia za pracę ustalanego na podstawie przepisów ustawy z dnia 10 października 2002 r. o minimalnym wynagrodzeniu za pracę (Dz. U. z 2018 r. poz. 2177). ” ;

w art. 23:

art. 55 otrzymuje brzmienie:

„ Art. 55. 1. Rejestr Dowodów Osobistych jest rejestrem centralnym prowadzonym w systemie teleinformatycznym. 2. Utrzymanie i rozwój Rejestru Dowodów Osobistych, w celu realizacji zadań określonych w ustawie, zapewnia minister właściwy do spraw informatyzacji, w tym: 1) zapewnia ochronę przed nieuprawnionym dostępem do Rejestru Dowodów Osobistych; 2) zapewnia integralność danych w Rejestrze Dowodów Osobistych; 3) zapewnia dostępność systemu teleinformatycznego, w którym Rejestr Dowodów Osobistych jest prowadzony, dla podmiotów przetwarzających dane w tym rejestrze; 4) przeciwdziała uszkodzeniom systemu teleinformatycznego, w którym Rejestr Dowodów Osobistych jest prowadzony; 5) określa zasady bezpieczeństwa przetwarzanych danych, w tym danych osobowych; 6) określa zasady zgłaszania naruszenia ochrony danych osobowych; 7) zapewnia rozliczalność działań dokonywanych na danych Rejestru Dowodów Osobistych; 8) zapewnia poprawność danych przetwarzanych w Rejestrze Dowodów Osobistych. 3. Minister właściwy do spraw wewnętrznych na wniosek ministra właściwego do spraw informatyzacji może uczestniczyć w realizacji zadań związanych z rozwojem Rejestru Dowodów Osobistych oraz zapewnieniem poprawności danych przetwarzanych w tym rejestrze. 4. Minister właściwy do spraw wewnętrznych zapewnia funkcjonowanie wydzielonej sieci umożliwiającej dostęp organom, o których mowa w ust. 7, do Rejestru Dowodów Osobistych. 5. Minister właściwy do spraw zagranicznych zapewnia funkcjonowanie wydzielonej sieci umożliwiającej dostęp konsulom do Rejestru Dowodów Osobistych. 6. Dane do Rejestru Dowodów Osobistych wprowadzają bezpośrednio w czasie rzeczywistym: 1) organ gminy właściwy do wydania dowodu osobistego w zakresie: a) danych zawartych we wniosku o wydanie dowodu osobistego określonych w art. 28 pkt 1-7, wraz z zeskanowaną fotografią albo plikiem zawierającym fotografię, oraz danych określonych w art. 56 ust. 1 pkt 3 lit. b, pkt 4 lit. d tiret od trzeciego do szóstego, tiret dziewiąty i jedenasty oraz lit. e, b) daty i przyczyny pozostawienia wniosku o wydanie dowodu osobistego bez rozpoznania, c) numeru i daty wydania decyzji administracyjnej o odmowie wydania dowodu osobistego, o której mowa w art. 32, d) numeru i daty wydania decyzji administracyjnej o stwierdzeniu nieważności dowodu osobistego, o której mowa w art. 52; 2) minister właściwy do spraw wewnętrznych - w zakresie danych określonych w art. 56 ust. 1, z wyłączeniem danych wprowadzonych przez organ gminy. 7. W celu realizacji zadań określonych w ustawie dostęp do Rejestru Dowodów Osobistych posiadają: organ gminy, wojewoda, konsul, minister właściwy do spraw wewnętrznych oraz minister właściwy do spraw informatyzacji. 8. Minister właściwy do spraw informatyzacji wykonuje obowiązki, o których mowa w art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁷¹⁾. ” ;

w art. 56 dotychczasową treść oznacza się jako ust. 1 i dodaje się ust. 2 i 3 w brzmieniu:

„ 2. Danych zgromadzonych w Rejestrze Dowodów Osobistych nie usuwa się. 3. W Rejestrze Dowodów Osobistych gromadzi się dane dotyczące wszystkich dowodów osobistych spersonalizowanych dla danej osoby, w tym nieważnych i spersonalizowanych wadliwie. ” ;

po art. 56 dodaje się art. 56a i art. 56b w brzmieniu:

„ Art. 56a. 1. Organ gminy, przyjmując wniosek o wydanie nowego dowodu osobistego, z urzędu dokonuje sprawdzenia danych zawartych we wniosku o wydanie dowodu osobistego z danymi zawartymi w Rejestrze Dowodów Osobistych oraz w rejestrze PESEL. 2. W przypadku stwierdzenia niezgodności danych zawartych we wniosku z danymi zawartymi w rejestrach, o których mowa w ust. 1, organ, który stwierdził niezgodność danych, podejmuje działania w celu usunięcia niezgodności zgodnie z art. 11 ustawy z dnia 24 września 2010 r. o ewidencji ludności (Dz. U. z 2018 r. poz. 1382 i 1544 oraz z 2019 r. poz. 60 i 730). Art. 56b. W przypadku stwierdzenia błędu lub braku danych w Rejestrze Dowodów Osobistych w odniesieniu do danych, o których mowa w art. 56 ust. 1 pkt 2-4 i 6, organy według swojej właściwości przekazują niezwłocznie informację o potrzebie ich sprostowania lub uzupełnienia do ministra właściwego do spraw informatyzacji, z wykorzystaniem systemu teleinformatycznego. ” ;

uchyla się art. 57-58;

w art. 63 w ust. 1 wyrazy „art. 56 pkt 1, 3, 4, 7 i 8” zastępuje się wyrazami „art. 56 ust. 1 pkt 1, 3, 4, 7 i 8”;

w art. 66 uchyla się ust. 4.

art. 6 otrzymuje brzmienie:

„ Art. 6. 1. Rejestr PESEL jest centralnym zbiorem danych, o których mowa w art. 8, prowadzonym w systemie teleinformatycznym. 2. Utrzymanie i rozwój rejestru PESEL, w celu realizacji zadań określonych w ustawie, zapewnia minister właściwy do spraw informatyzacji, w tym: 1) zapewnia ochronę przed nieuprawnionym dostępem do rejestru PESEL; 2) zapewnia integralność danych w rejestrze PESEL; 3) zapewnia dostępność systemu teleinformatycznego, w którym rejestr PESEL jest prowadzony, dla podmiotów przetwarzających dane w tym rejestrze; 4) przeciwdziała uszkodzeniom systemu teleinformatycznego, w którym rejestr PESEL jest prowadzony; 5) określa zasady bezpieczeństwa przetwarzanych danych, w tym danych osobowych; 6) określa zasady zgłaszania naruszenia ochrony danych osobowych; 7) zapewnia rozliczalność działań dokonywanych na danych rejestru PESEL; 8) zapewnia poprawność danych przetwarzanych w rejestrze PESEL. 3. Minister właściwy do spraw wewnętrznych na wniosek ministra właściwego do spraw informatyzacji może uczestniczyć w realizacji zadań związanych z rozwojem rejestru PESEL oraz zapewnieniem poprawności danych w tym rejestrze. 4. Minister właściwy do spraw wewnętrznych zapewnia funkcjonowanie wydzielonej sieci umożliwiającej dostęp do rejestru PESEL organom, o których mowa w ust. 7, z wyłączeniem konsulów. 5. Minister właściwy do spraw zagranicznych zapewnia funkcjonowanie wydzielonej sieci umożliwiającej konsulom dostęp do rejestru PESEL. 6. Minister właściwy do spraw informatyzacji wykonuje obowiązki, o których mowa w art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁷²⁾. 7. W celu realizacji zadań określonych w ustawie organ gminy, kierownik urzędu stanu cywilnego, organy paszportowe, wojewoda, minister właściwy do spraw wewnętrznych oraz minister właściwy do spraw informatyzacji posiadają dostęp do rejestru. ” ;

po art. 6 dodaje się art. 6a w brzmieniu:

„ Art. 6a. 1. Rejestr mieszkańców jest prowadzony zgodnie z właściwością miejscową przez wójta (burmistrza, prezydenta miasta), zwanego dalej „organem gminy”. 2. Utrzymanie i rozwój rejestru mieszkańców zapewnia organ właściwy do jego prowadzenia, który w zakresie tego rejestru podejmuje działania wskazane w art. 6 ust. 2. ” ;

w art. 10 po ust. 6 dodaje się ust. 6a w brzmieniu:

„ 6a. Zapisy w dziennikach systemów (logach) przechowywane są przez 5 lat od dnia ich utworzenia. ” ;

w art. 11 po ust. 2a dodaje się ust. 2b i 2c w brzmieniu:

„ 2b. Usunięcie niezgodności może polegać w szczególności na sprostowaniu danych nieprawidłowych lub uzupełnieniu danych. 2c. Wniosek, o którym mowa w ust. 1, zawiera imię (imiona) i nazwisko, numer PESEL, adres do korespondencji - jeżeli korespondencja ma być prowadzona drogą pocztową, oraz uzasadnienie. ” ;

po art. 12 dodaje się art. 12a w brzmieniu:

„ Art. 12a. Danych i zapisów zgromadzonych w rejestrze PESEL i rejestrach mieszkańców nie usuwa się, z zastrzeżeniem art. 10 ust. 6 i 6a. ” ;

uchyla się art. 45a;

w art. 47 ust. 3a otrzymuje brzmienie:

„ 3a. Organ, który otrzymał wniosek w formie, o której mowa w ust. 1, skierowany przez podmiot zobowiązany na podstawie art. 48 do korzystania z urządzeń teletransmisji danych, odmawia, w drodze postanowienia, wszczęcia postępowania. ” ;

w art. 48 ust. 2 otrzymuje brzmienie:

„ 2. Podmiotom, o których mowa w art. 46 ust. 1, które nie posiadają decyzji o wyrażeniu zgody na udostępnienie danych za pomocą urządzeń teletransmisji danych, o której mowa w art. 51 ust. 1 pkt 1, dane z rejestru PESEL albo rejestru mieszkańców udostępnia się w sposób określony w art. 47 w liczbie nieprzekraczającej trzystu danych jednostkowych w roku kalendarzowym. ” .

w art. 23 ust. 2 otrzymuje brzmienie:

„ 2. Przepisu ust. 1 nie stosuje się do praktyk zawodowych, o których mowa w art. 18 ust. 4 i 6, art. 19 ust. 4 i 6 oraz art. 19a ust. 3, jeżeli w ramach tych praktyk nie prowadzi się obserwacji pomieszczeń, o której mowa w art. 23a ust. 1. ” ;

po art. 23 dodaje się art. 23a w brzmieniu:

„ Art. 23a. 1. Kierownik podmiotu wykonującego działalność leczniczą może określić w regulaminie organizacyjnym sposób obserwacji pomieszczeń: 1) ogólnodostępnych, jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pacjentów lub pracowników pomieszczeń, 2) w których są udzielane świadczenia zdrowotne oraz pobytu pacjentów, w szczególności pokoi łóżkowych, pomieszczeń higieniczno-sanitarnych, przebieralni, szatni, jeżeli wynika to z przepisów odrębnych - za pomocą urządzeń umożliwiających rejestrację obrazu (monitoring). 2. Nagrania obrazu uzyskane w wyniku monitoringu, o którym mowa w ust. 1 pkt 1, zawierające dane osobowe, podmiot wykonujący działalność leczniczą przetwarza wyłącznie do celów, dla których zostały zebrane, i przechowuje przez okres nie dłuższy niż 3 miesiące od dnia nagrania. 3. Po upływie okresu, o którym mowa w ust. 2, uzyskane w wyniku monitoringu nagrania obrazu zawierające dane osobowe podlegają zniszczeniu, o ile przepisy odrębne nie stanowią inaczej. ” ;

w art. 24 ust. 2 otrzymuje brzmienie:

„ 2. Aktualne informacje, o których mowa w ust. 1 pkt 4, 9, 11 i 12 oraz art. 23a ust. 1, podaje się do wiadomości pacjentów przez ich wywieszenie w widoczny sposób w miejscu udzielania świadczeń oraz na stronie internetowej podmiotu wykonującego działalność leczniczą i udostępnienie w Biuletynie Informacji Publicznej, w przypadku podmiotu obowiązanego do jego prowadzenia. ” .

w art. 2 pkt 1 otrzymuje brzmienie:

„ 1) administrator danych - administratora, o którym mowa w art. 4 pkt 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁷⁴⁾; ” ;

w art. 9a w ust. 2 skreśla się zdanie drugie;

w art. 19:

w art. 3 w ust. 2 w pkt 8 kropkę zastępuje się średnikiem i dodaje się pkt 10 w brzmieniu:

„ 10) sprawuje nadzór nad przetwarzaniem danych osobowych przez Trybunał Konstytucyjny, Trybunał Stanu, Sąd Najwyższy, Naczelny Sąd Administracyjny oraz sądy apelacyjne, w ramach prowadzonych przez nie postępowań. ” ;

w art. 20 ust. 1 otrzymuje brzmienie:

„ 1. Rada obraduje na posiedzeniach plenarnych. Obrady są transmitowane za pośrednictwem Internetu, chyba że Rada podejmie uchwałę o wyłączeniu jawności posiedzenia. Rada wyłącza jawność posiedzenia w całości lub części, jeżeli jawność mogłaby prowadzić do ujawnienia informacji podlegających ochronie na zasadach określonych w ustawie z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz. U. z 2018 r. poz. 412, 650, 1000, 1083 i 1669 oraz z 2019 r. poz. 125) lub naruszyć ważny interes prywatny przez ujawnienie danych, o których mowa w art. 9 ust. 1 i art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁷⁵⁾. ” .

w art. 7:

w art. 161 dodaje się ust. 5 w brzmieniu:

„ 5. Dane osobowe, o których mowa w ust. 1, podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazaniu polegającym co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy. ” .

w art. 12 w ust. 3 pkt 3 otrzymuje brzmienie:

„ 3) wykaz ratowników wodnych wraz z dokumentami potwierdzającymi spełnianie przez nich warunków określonych w art. 2 pkt 5; ” ;

w art. 14 dodaje się ust. 6 w brzmieniu:

„ 6. Dane osobowe, o których mowa w ust. 3, podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w poufności. ” ;

w art. 25 w ust. 2 w pkt 6 kropkę zastępuje się średnikiem i dodaje się pkt 7 w brzmieniu:

„ 7) przetwarzania danych osobowych, w tym danych dotyczących stanu zdrowia, osób, którym udzielono pomocy w ramach działań ratowniczych. ” .

w art. 5 w ust. 3 pkt 3 otrzymuje brzmienie:

„ 3) wykaz ratowników górskich wraz z dokumentami potwierdzającymi spełnianie przez nich warunków określonych w art. 2 pkt 9; ” ;

w art. 7 dodaje się ust. 6 w brzmieniu:

„ 6. Dane osobowe, o których mowa w ust. 3, podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w poufności. ” ;

w art. 40 w ust. 2 w pkt 6 kropkę zastępuje się średnikiem i dodaje się pkt 7 w brzmieniu:

„ 7) przetwarzania danych osobowych, w tym danych dotyczących stanu zdrowia, osób, którym udzielono pomocy w ramach działań ratowniczych. ” .

art. 10 otrzymuje brzmienie:

„ Art. 10. Dostawcy, organizacje płatnicze i podmioty prowadzące systemy płatności przetwarzają dane osobowe w zakresie niezbędnym do zapobiegania oszustwom związanym z wykonywanymi usługami płatniczymi, prowadzeniem schematu płatniczego lub prowadzeniem systemu płatności oraz dochodzenia i wykrywania tego rodzaju oszustw przez właściwe organy. ” ;

po art. 10 dodaje się art. 10a w brzmieniu:

„ Art. 10a. Dostawcy, organizacje płatnicze i podmioty prowadzące systemy płatności będący administratorami danych nie są obowiązani do wykonywania obowiązków, o których mowa w art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁷⁶⁾, w zakresie, w jakim jest to niezbędne dla prawidłowej realizacji zadań dotyczących przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu oraz zapobiegania przestępstwom. ” .

w art. 80 po ust. 1 dodaje się ust. 1a-1c w brzmieniu:

„ 1a. Marszałek województwa w celu realizacji zadań związanych z prowadzeniem BDO przetwarza dane osobowe i jest administratorem tych danych. 1b. Dane osobowe, o których mowa w ust. 1a, przechowuje się: 1) w przypadku ewidencji odpadów - przez okres 5 lat od końca roku kalendarzowego, w którym zostały sporządzone dokumenty ewidencji odpadów; 2) w przypadku pozostałych danych - przez okres 100 lat od końca roku kalendarzowego, w którym zostały sporządzone dokumenty zawierające te dane. 1c. Dane osobowe, o których mowa w ust. 1a, podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w poufności. ” ;

w art. 81 po ust. 1 dodaje się ust. 1a w brzmieniu:

„ 1a. Administratorem danych osobowych przetwarzanych w systemie BDO jest minister właściwy do spraw środowiska. ” .

w art. 8 w ust. 1 pkt 2 otrzymuje brzmienie:

„ 2) wprowadzanie do systemu teleinformatycznego, o którym mowa w art. 10, i ewidencjonowanie w tym systemie danych dotyczących treści zgłoszeń alarmowych, w tym nagrań rozmów telefonicznych obejmujących całość zgłoszenia alarmowego, danych osób zgłaszających i innych osób wskazanych w trakcie przyjmowania zgłoszenia, pozycji geograficznych, informacji o miejscu zdarzenia i jego rodzaju oraz skróconego opisu zdarzenia; ” ;

art. 10 otrzymuje brzmienie:

„ Art. 10. 1. Wykonywanie zadań centrum jest wspomagane przez system teleinformatyczny. 2. Dane, o których mowa w art. 8 ust. 1 pkt 2, są przechowywane w systemie teleinformatycznym przez 3 lata. 3. Utrzymanie i rozwój systemu teleinformatycznego zapewnia minister właściwy do spraw administracji publicznej. 4. Minister właściwy do spraw administracji publicznej może powierzyć, w drodze porozumienia, ministrowi właściwemu do spraw finansów publicznych wykonywanie czynności w zakresie zapewnienia utrzymania powierzchni serwerowej. W takim przypadku realizacja zadania jest finansowana z budżetu państwa, z części, której dysponentem jest minister właściwy do spraw finansów publicznych. 5. Minister właściwy do spraw administracji publicznej, wojewoda lub podmiot, o którym mowa w art. 7 ust. 2, są współadministratorami danych przetwarzanych w systemie teleinformatycznym uzyskanych w związku z obsługą zgłoszeń alarmowych. 6. Dane osobowe przetwarzane w systemie teleinformatycznym podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez współadministratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w poufności. 7. Minister właściwy do spraw administracji publicznej: 1) wydaje upoważnienia do przetwarzania danych osobowych w systemie teleinformatycznym dla pracowników urzędu obsługującego ministra właściwego do spraw administracji publicznej, realizujących zadania z zakresu systemu powiadamiania ratunkowego; 2) określa zakres przetwarzania danych. 8. Wojewoda lub podmiot, o którym mowa w art. 7 ust. 2: 1) wydają upoważnienia do przetwarzania danych osobowych w systemie teleinformatycznym dla podległych pracowników, realizujących zadania z zakresu powiadamiania ratunkowego; 2) określają zakres przetwarzania danych. 9. Minister właściwy do spraw administracji publicznej, wojewoda lub podmiot, o którym mowa w art. 7 ust. 2: 1) zapewniają ochronę przed nieuprawnionym dostępem do systemu teleinformatycznego; 2) zapewniają integralność danych w systemie teleinformatycznym; 3) zapewniają dostępność systemu teleinformatycznego dla podmiotów przetwarzających dane w tym systemie; 4) przeciwdziałają uszkodzeniom systemu teleinformatycznego; 5) określają zasady bezpieczeństwa przetwarzanych danych, w tym danych osobowych; 6) określają zasady zgłaszania naruszenia ochrony danych osobowych; 7) zapewniają rozliczalność działań dokonywanych na danych w systemie teleinformatycznym; 8) zapewniają poprawność danych przetwarzanych w systemie teleinformatycznym. 10. Minister właściwy do spraw administracji publicznej zapewnia: 1) zachowanie ciągłości funkcjonowania systemu teleinformatycznego; 2) rozwiązania techniczne przeznaczone do szkolenia operatorów numerów alarmowych. 11. Minister właściwy do spraw administracji publicznej usuwa dane dotyczące treści zgłoszeń alarmowych przetwarzane w systemie teleinformatycznym po upływie terminu, o którym mowa w ust. 2. 12. Minister właściwy do spraw administracji publicznej, wojewoda lub podmiot, o którym mowa w art. 7 ust. 2, przetwarza dane w systemie teleinformatycznym uzyskane w związku z wykonywaniem zadań centrum, o których mowa w art. 8, w tym dane, o których mowa w art. 9 ust. 1 i art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁸⁰⁾, zwanego dalej „rozporządzeniem 2016/679”, podane przez zgłaszającego. 13. W związku z przetwarzaniem danych osobowych w systemie teleinformatycznym wykonanie obowiązku, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, następuje przez udostępnienie informacji w Biuletynie Informacji Publicznej na stronie podmiotowej ministra właściwego do spraw administracji publicznej, wojewody lub podmiotu, o którym mowa w art. 7 ust. 2, na ich stronach internetowych oraz w widocznym miejscu w ich siedzibie. 14. Wojewoda lub podmiot, o którym mowa w art. 7 ust. 2, udostępnia dane przetwarzane w systemie teleinformatycznym, o których mowa w art. 8 ust. 1 pkt 2, na wniosek sądu, prokuratury lub Policji. 15. Osoba występująca z żądaniem na podstawie art. 15 rozporządzenia 2016/679 jest obowiązana do podania informacji o okolicznościach zdarzenia, którego to żądanie dotyczy, w tym daty i miejsca zdarzenia oraz numeru telefonu, z którego zostało wykonane połączenie dotyczące powiadomienia o zdarzeniu. ” ;

uchyla się art. 10a i art. 11.

art. 5 otrzymuje brzmienie:

„ Art. 5. 1. Rejestr stanu cywilnego jest prowadzony w systemie teleinformatycznym. 2. Utrzymanie i rozwój rejestru stanu cywilnego, w celu realizacji zadań określonych w ustawie, zapewnia minister właściwy do spraw informatyzacji, w tym: 1) zapewnia ochronę przed nieuprawnionym dostępem do rejestru stanu cywilnego; 2) zapewnia integralność danych w rejestrze stanu cywilnego; 3) zapewnia dostępność systemu teleinformatycznego, w którym rejestr stanu cywilnego jest prowadzony, dla podmiotów przetwarzających dane w tym rejestrze; 4) przeciwdziała uszkodzeniom systemu teleinformatycznego, w którym rejestr stanu cywilnego jest prowadzony; 5) określa zasady bezpieczeństwa przetwarzanych danych, w tym danych osobowych; 6) określa zasady zgłoszenia naruszenia ochrony danych osobowych; 7) zapewnia rozliczalność działań dokonywanych na danych w rejestrze stanu cywilnego; 8) zapewnia poprawność danych przetwarzanych w rejestrze stanu cywilnego. 3. Minister właściwy do spraw wewnętrznych na wniosek ministra właściwego do spraw informatyzacji może uczestniczyć w realizacji zadań związanych z rozwojem rejestru stanu cywilnego oraz zapewnieniem poprawności danych przetwarzanych w tym rejestrze. 4. Minister właściwy do spraw wewnętrznych zapewnia funkcjonowanie wydzielonej sieci umożliwiającej łączność elektroniczną pozwalającą na dostęp organom, o których mowa w ust. 6, do rejestru stanu cywilnego. 5. Wpisu w rejestrze stanu cywilnego dokonuje kierownik urzędu stanu cywilnego lub zastępca kierownika urzędu stanu cywilnego. 6. W celu realizacji zadań określonych w ustawie kierownik urzędu stanu cywilnego, zastępca kierownika urzędu stanu cywilnego, wojewoda, minister właściwy do spraw wewnętrznych oraz minister właściwy do spraw informatyzacji posiadają dostęp do rejestru stanu cywilnego. 7. Minister właściwy do spraw informatyzacji wykonuje obowiązki, o których mowa w art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁸³⁾. ” ;

w art. 28:

art. 51 otrzymuje brzmienie:

„ Art. 51. Dokumenty z rejestru stanu cywilnego wydaje się przez okresy przechowywania aktów, o których mowa w art. 28 ust. 1 i 3, a także po upływie tych okresów, a przed przekazaniem aktów stanu cywilnego do właściwego archiwum państwowego. ” ;

w art. 124 w ust. 8 dodaje się zdanie drugie i trzecie w brzmieniu:

„ Po przeniesieniu aktu stanu cywilnego do rejestru stanu cywilnego dane wykorzystane do przeniesienia aktu ulegają trwałemu usunięciu z systemu komputerowego. Do czasu przeniesienia aktu stanu cywilnego do rejestru stanu cywilnego kierownik urzędu stanu cywilnego jest administratorem danych zgromadzonych w systemie komputerowym. ” ;

w art. 128 po ust. 1 dodaje się ust. 1a i 1b w brzmieniu:

„ 1a. Jeżeli dla osoby, dla której sporządzono akt urodzenia lub akt małżeństwa w księdze stanu cywilnego prowadzonej przed dniem wejścia w życie niniejszej ustawy, nie sporządzono aktu zgonu lub nie zarejestrowano informacji o zgonie, księgę urodzeń i księgę małżeństw, mimo upływu okresów, o których mowa w ust. 1, przechowuje się do czasu sporządzenia dla osoby, której akt dotyczy, aktu zgonu lub zarejestrowania informacji o zgonie tej osoby. 1b. Weryfikacji sporządzenia dla osoby aktu zgonu lub zarejestrowania informacji o zgonie tej osoby dokonuje się w rejestrze stanu cywilnego lub rejestrze PESEL. W przypadku stwierdzenia, że dla osoby nie sporządzono aktu zgonu i nie zarejestrowano informacji o zgonie oraz stwierdzenia, że osoba nie ma nadanego numeru PESEL, kierownik urzędu stanu cywilnego jest uprawniony do przekazania ksiąg do właściwego archiwum państwowego, po upływie okresów, o których mowa w ust. 1. ” ;

w art. 129 uchyla się ust. 5;

w art. 130 ust. 3 i 4 otrzymują brzmienie:

„ 3. Z ksiąg stanu cywilnego prowadzonych przed dniem wejścia w życie niniejszej ustawy, po upływie okresów, o których mowa w art. 128 ust. 1 i 1a, odpisów nie wydaje się. 4. Akty stanu cywilnego sporządzone w księgach stanu cywilnego prowadzonych przed dniem wejścia w życie niniejszej ustawy, po upływie okresów, o których mowa w art. 128 ust. 1 i 1a, nie podlegają przeniesieniu do rejestru stanu cywilnego. Udostępnianie ich oraz akt zbiorowych rejestracji stanu cywilnego lub skorowidzów alfabetycznych przez kierownika urzędu stanu cywilnego przed przekazaniem księgi stanu cywilnego do właściwego archiwum państwowego odbywa się na zasadach określonych w ustawie z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2019 r. poz. 553 i 730). ” ;

po art. 130 dodaje się art. 130a w brzmieniu:

„ Art. 130a. 1. Dokumenty, o których mowa w art. 44 ust. 1, z aktów sporządzonych w księgach stanu cywilnego prowadzonych przed dniem wejścia w życie niniejszej ustawy i przekazanych do archiwum państwowego przed upływem okresów, o których mowa w art. 128 ust. 1 i 1a, wydaje się po przeniesieniu aktu do rejestru stanu cywilnego przez kierownika urzędu stanu cywilnego, który akt sporządził lub przechowywał i przekazał do archiwum. 2. Kierownik urzędu stanu cywilnego dokonuje przeniesienia aktu, o którym mowa w ust. 1, na podstawie uwierzytelnionej przez archiwum kopii aktu i wpisuje w akcie stanu cywilnego sporządzonym w księdze przechowywanej w archiwum państwowym wzmiankę dodatkową o jego przeniesieniu do rejestru stanu cywilnego i zakazie udostępniania aktu na zasadach określonych w ustawie z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach przez właściwe archiwum państwowe. Wzmianka o zakazie udostępnienia aktu jest unieważniana przez kierownika urzędu stanu cywilnego, który wzmiankę sporządził po przekazaniu przeniesionego aktu do właściwego archiwum państwowego, zgodnie z art. 131. ” ;

art. 131 otrzymuje brzmienie:

„ Art. 131. 1. Akty stanu cywilnego przeniesione do rejestru stanu cywilnego z ksiąg aktów stanu cywilnego prowadzonych na podstawie przepisów dotychczasowych, dla których minęły okresy przechowywania określone w art. 128 ust. 1, przekazuje się z rejestru stanu cywilnego do właściwego archiwum państwowego w ciągu 10 lat od dnia przeniesienia, zgodnie z przepisami wydanymi na podstawie art. 5 ust. 2c ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach. 2. Jeżeli osoba, której dotyczy akt urodzenia lub akt małżeństwa żyje dłużej niż okres, o którym mowa w ust. 1, akt jest przechowywany w rejestrze stanu cywilnego do czasu sporządzenia dla tej osoby aktu zgonu lub zarejestrowania informacji o zgonie tej osoby. 3. Do weryfikacji sporządzenia dla osoby aktu zgonu lub zarejestrowania informacji o zgonie tej osoby stosuje się odpowiednio przepis art. 128 ust. 1b. ” .

w ust. 1 we wprowadzeniu do wyliczenia wyrazy „mogą przetwarzać” zastępuje się wyrazem „przetwarzają”;

w ust. 1a we wprowadzeniu do wyliczenia wyrazy „może przetwarzać” zastępuje się wyrazem „przetwarza”;

w ust. 4 wyrazy „mogą być przetwarzane” zastępuje się wyrazami „są przetwarzane”;

dodaje się ust. 6 i 7 w brzmieniu:

„ 6. Dane osobowe, o których mowa w ust. 1, podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazaniu polegającym co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym obowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w poufności. 7. Osoby przetwarzające dane osobowe, o których mowa w ust. 1, są obowiązane do zachowania ich w poufności. ” .

w art. 5 po ust. 2 dodaje się ust. 2a i 2b w brzmieniu:

„ 2a. Wniosek składany przez działacza opozycji antykomunistycznej lub osobę represjonowaną z powodów politycznych zawiera imię lub imiona oraz nazwisko wnioskodawcy, datę i miejsce urodzenia, imiona rodziców, numer PESEL, adres miejsca zamieszkania lub adres korespondencyjny, numer telefonu lub adres poczty elektronicznej. 2b. Wniosek składany przez członka rodziny zmarłego działacza opozycji antykomunistycznej lub osoby represjonowanej z powodów politycznych, oprócz danych, o których mowa w ust. 2a, zawiera datę zgonu działacza opozycji antykomunistycznej lub osoby represjonowanej z powodów politycznych, imię lub imiona wnioskodawcy, nazwisko rodowe, datę i miejsce jego urodzenia, imiona rodziców, numer PESEL, o ile był nadany, oraz stopień pokrewieństwa lub powinowactwa łączący wnioskodawcę z działaczem opozycji antykomunistycznej lub osobą represjonowaną z powodów politycznych. ” ;

w art. 8 dotychczasową treść oznacza się jako ust. 1 i dodaje się ust. 2-4 w brzmieniu:

„ 2. Wniosek o świadczenie pieniężne zawiera imię i nazwisko wnioskodawcy, datę urodzenia, numer PESEL, adres miejsca zamieszkania lub adres korespondencyjny, numer telefonu lub adres poczty elektronicznej oraz nazwę banku i numer rachunku bankowego, na który ma być przekazane świadczenie pieniężne, jeżeli wnioskodawca wybiera taką formę wypłaty. 3. Wniosek o przyznanie pomocy pieniężnej zawiera dane, o których mowa w ust. 2, a także imiona, nazwiska, stopień pokrewieństwa oraz dochód netto osób, z którymi wnioskodawca prowadzi wspólne gospodarstwo domowe. 4. Do wniosku o przyznanie pomocy pieniężnej należy dołączyć kopie dokumentów, które będą stanowić podstawę ustalenia stanu zdrowia, sytuacji rodzinnej i materialnej osoby występującej o przyznanie pomocy pieniężnej lub osób prowadzących wspólne gospodarstwo domowe z wnioskodawcą, w szczególności: 1) orzeczenie o inwalidztwie, o niezdolności do pracy lub o stopniu niepełnosprawności; 2) dokument potwierdzający wysokość dochodu netto, w szczególności aktualną decyzję o waloryzacji renty lub emerytury, zaświadczenie pracodawcy o wysokości wynagrodzenia za pracę; 3) nakaz płatniczy podatku rolnego oraz zaświadczenie z urzędu gminy o wielkości gospodarstwa rolnego w hektarach przeliczeniowych; 4) zaświadczenie o kontynuowaniu przez dziecko wnioskodawcy nauki w gimnazjum, szkole ponadgimnazjalnej, szkole ponadpodstawowej lub szkole wyższej; 5) decyzję o uznaniu lub odmowie uznania danej osoby za bezrobotną oraz utracie statusu bezrobotnego, przyznaniu, odmowie przyznania, wstrzymaniu lub wznowieniu wypłaty oraz utracie lub pozbawieniu prawa do zasiłku, stypendium i innych finansowanych z Funduszu Pracy świadczeń niewynikających z zawartych umów albo oświadczenie o pozostawaniu w ewidencji bezrobotnych lub poszukujących pracy. ” ;

w art. 10:

w art. 37 uchyla się ust. 8;

w art. 47 uchyla się ust. 3.

w art. 3 w ust. 1 po pkt 33 dodaje się pkt 33a w brzmieniu:

„ 33a) profilowanie - profilowanie osób fizycznych w rozumieniu art. 4 pkt 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁸⁶⁾, zwanego dalej „rozporządzeniem 2016/679”; ” ;

w art. 35 ust. 7 otrzymuje brzmienie:

„ 7. Obowiązek, o którym mowa w ust. 1, ma zastosowanie do Polskiej Izby Ubezpieczeń, Ubezpieczeniowego Funduszu Gwarancyjnego i Polskiego Biura Ubezpieczycieli Komunikacyjnych oraz osób w nich zatrudnionych w zakresie wykonywania ustawowych zadań. ” ;

po art. 35 dodaje się art. 35a i art. 35b w brzmieniu:

„ Art. 35a. Zakład ubezpieczeń może przetwarzać dane osobowe, w tym dane osobowe objęte obowiązkiem zachowania tajemnicy, o którym mowa w art. 35 ust. 1, w przypadku uzasadnionego podejrzenia popełnienia przestępstwa na szkodę zakładu ubezpieczeń w celu i zakresie niezbędnym do zapobiegania temu przestępstwu. Art. 35b. Do przetwarzania danych osobowych przez zakład ubezpieczeń przepisu art. 15 rozporządzenia 2016/679 w zakresie, w jakim jest to niezbędne dla prawidłowej realizacji zadań dotyczących przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu oraz zapobiegania przestępstwom, nie stosuje się. ” ;

w art. 38:

w art. 39 w ust. 1 skreśla się użyty dwukrotnie w różnym rodzaju i przypadku wyraz „pisemny”;

w art. 41:

w art. 42 po ust. 2 dodaje się ust. 2a w brzmieniu:

„ 2a. W przypadkach, o których mowa w ust. 1 i 2, zakład ubezpieczeń, Ubezpieczeniowy Fundusz Gwarancyjny, Polskie Biuro Ubezpieczycieli Komunikacyjnych i Rzecznik Finansowy przetwarzają dane osobowe osób odpowiedzialnych za zajście zdarzenia losowego, o których mowa w art. 10 rozporządzenia 2016/679. ” .

po art. 6 dodaje się art. 6a w brzmieniu:

„ Art. 6a. Wójt, burmistrz albo prezydent miasta wykonuje obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁸⁷⁾, zwanego dalej „rozporządzeniem 2016/679”, przez udostępnienie stosownych informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, na swojej stronie internetowej oraz w widocznym miejscu w swojej siedzibie, a w przypadku czynności, o których mowa w art. 6 ust. 2, dodatkowo w obwieszczeniu i ogłoszeniu. ” ;

po art. 24 dodaje się art. 24a i art. 24b w brzmieniu:

„ Art. 24a. 1. W przypadku przetwarzania danych osobowych przez wójta, burmistrza albo prezydenta miasta, w celu realizacji zadania polegającego na sporządzeniu gminnego programu rewitalizacji prawo, o którym mowa w art. 15 ust. 1 lit. g rozporządzenia 2016/679, przysługuje w zakresie, w jakim nie wpływa na ochronę praw i wolności osoby, od której dane pozyskano. 2. W przypadku gdy okres przechowywania danych osobowych, o których mowa w ust. 1, nie wynika z przepisów ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2019 r. poz. 553 i 730) organy, o których mowa w ust. 1, przechowują dane przez okres ustalony na podstawie art. 6 ust. 2b tej ustawy. 3. Dane osobowe, o których mowa w ust. 1, podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazaniu polegającym co najmniej na: 1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w poufności. 4. Organy, o których mowa w ust. 1, informują o ograniczeniu, o którym mowa w ust. 1, przez udostępnienie stosownych informacji w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, na swojej stronie internetowej oraz w widocznym miejscu w swojej siedzibie, a w przypadku czynności, o których mowa w art. 6 ust. 2, dodatkowo w obwieszczeniu i ogłoszeniu. Art. 24b. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie wpływa na przebieg i wynik postępowań. ” .

w art. 12 w ust. 3 wyrazy „może przetwarzać” zastępuje się wyrazem „przetwarza”;

w art. 14:

po art. 14 dodaje się art. 14a w brzmieniu:

„ Art. 14a. 1. Bank krajowy oraz spółdzielcza kasa oszczędnościowo-kredytowa, o których mowa w art. 13 ust. 5 pkt 3, oraz Zakład Ubezpieczeń Społecznych, na potrzeby złożenia wniosku i załączników do wniosku określonych w art. 13 ust. 4, składanych w postaci elektronicznej za pomocą systemu, o którym mowa odpowiednio w art. 13 ust. 5 pkt 2 lub 3, w imieniu organu właściwego, przetwarzają następujące dane osobowe dotyczące osób ubiegających się o świadczenie wychowawcze oraz członków ich rodzin: 1) imię i nazwisko; 2) datę urodzenia; 3) adres miejsca zamieszkania; 4) stan cywilny; 5) obywatelstwo; 6) płeć; 7) numer PESEL, a w przypadku gdy nie nadano numeru PESEL - numer i serię dokumentu potwierdzającego tożsamość; 8) adres poczty elektronicznej i numer telefonu - w przypadku osoby występującej o przyznanie świadczenia wychowawczego - o ile je posiada; 9) dochód; 10) informacje wynikające z zaświadczeń i oświadczeń, o których mowa w art. 13 ust. 4 pkt 3. 2. Osoby upoważnione przez bank krajowy, spółdzielczą kasę oszczędnościowo-kredytową albo Zakład Ubezpieczeń Społecznych do przetwarzania danych osobowych, o których mowa w ust. 1, są obowiązane do zachowania ich w poufności. 3. Bank krajowy, spółdzielcza kasa oszczędnościowo-kredytowa oraz Zakład Ubezpieczeń Społecznych zapewniające możliwość złożenia wniosku i załączników do wniosku określonych w art. 13 ust. 4, za pomocą systemu, o którym mowa odpowiednio w art. 13 ust. 5 pkt 2 lub 3, zapewniają niezbędne środki techniczne i organizacyjne służące zapewnieniu bezpieczeństwa przetwarzanych danych osobowych, o których mowa w ust. 1, oraz środki określone w art. 32 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁸⁸⁾. 4. Bank krajowy, spółdzielcza kasa oszczędnościowo-kredytowa oraz Zakład Ubezpieczeń Społecznych zapewniające możliwość złożenia wniosku i załączników do wniosku określonych w art. 13 ust. 4, za pomocą systemu, o którym mowa odpowiednio w art. 13 ust. 5 pkt 2 lub 3, udostępniają organowi właściwemu informacje służące potwierdzeniu spełniania obowiązków określonych w art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), a także umożliwiają organowi właściwemu przeprowadzenie audytów i inspekcji. 5. W przypadku gdy bank krajowy, spółdzielcza kasa oszczędnościowo-kredytowa lub Zakład Ubezpieczeń Społecznych, w celu umożliwienia złożenia wniosku i załączników do wniosku określonych w art. 13 ust. 4, za pomocą systemu, o którym mowa w art. 13 ust. 5 pkt 2 lub 3, korzystają z usług innego podmiotu, który będzie przetwarzał dane osobowe, o których mowa w ust. 1, podmiot ten przetwarza dane osobowe w imieniu organu właściwego. Przepisy ust. 2-4 oraz art. 13 ust. 21 stosuje się odpowiednio. ” ;

w art. 24:

w art. 7:

w art. 14 w ust. 1 w pkt 3 kropkę zastępuje się średnikiem i dodaje się pkt 4 w brzmieniu:

„ 4) informacji sektora publicznego zawierającej dane osobowe. ” .

w tytule ustawy ogólne określenie przedmiotu ustawy otrzymuje brzmienie:

„ o szczególnych zasadach wykonywania niektórych zadań dotyczących informatyzacji w zakresie działów administracji rządowej budżet i finanse publiczne ” ;

art. 1 otrzymuje brzmienie:

„ Art. 1. Ustawa określa zasady wykonywania niektórych projektów informatycznych o publicznym zastosowaniu w rozumieniu art. 3 pkt 6 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2019 r. poz. 700 i 730) z zakresu spraw objętych działami administracji rządowej budżet i finanse publiczne, w celu zapewnienia ministrowi właściwemu do spraw budżetu i finansów publicznych, zwanemu dalej „ministrem właściwym do spraw finansów publicznych”, oraz innym organom Krajowej Administracji Skarbowej, systemów i rozwiązań teleinformatycznych, wspierających wykrywanie naruszenia przepisów prawa podatkowego oraz wyższą efektywność poboru podatków, opłat oraz niepodatkowych należności budżetowych, w oparciu o dane uzyskiwane z systemów teleinformatycznych ministra właściwego do spraw finansów publicznych oraz organów Krajowej Administracji Skarbowej oraz systemów teleinformatycznych służących do obsługi budżetu państwa. ” ;

w art. 2 w ust. 2 wprowadzenie do wyliczenia otrzymuje brzmienie:

„ W ramach realizacji projektów informatycznych, o których mowa w art. 1, spółka celowa wykonuje na rzecz Skarbu Państwa reprezentowanego przez ministra właściwego do spraw finansów publicznych zadania publiczne w zakresie: ” ;

w art. 17:

w art. 18:

po art. 5 dodaje się art. 5a w brzmieniu:

„ Art. 5a. Fundusz przetwarza dane osobowe w zakresie niezbędnym do realizacji zadań określonych w art. 5 ust. 1-6. ” ;

w art. 42 uchyla się ust. 4;

w art. 45 po ust. 2 dodaje się ust. 2a w brzmieniu:

„ 2a. Podmiot, o którym mowa w ust. 1, przetwarza dane osobowe w zakresie niezbędnym do realizacji wypłat środków gwarantowanych. ” .

w art. 13 po ust. 2 dodaje się ust. 2a w brzmieniu:

„ 2a. Zamawiający udostępnia dane osobowe, o których mowa w art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁹¹⁾, zwanego dalej „rozporządzeniem 2016/679”, w celu umożliwienia korzystania ze środków ochrony prawnej, o których mowa w rozdziale 10, do upływu terminu na ich wniesienie. ” ;

po art. 13 dodaje się art. 13a w brzmieniu:

„ Art. 13a. Zamawiający przechowuje dokumentację postępowania, w tym umowę koncesji, przez okres 5 lat od dnia zakończenia postępowania o zawarcie umowy koncesji, w sposób gwarantujący jej nienaruszalność. Jeżeli czas trwania umowy koncesji przekracza 5 lat, zamawiający przechowuje umowę przez cały czas jej trwania. ” ;

po art. 16 dodaje się art. 16a w brzmieniu:

„ Art. 16a. 1. Zamawiający realizuje obowiązki, o których mowa w art. 13 ust. 1-3 rozporządzenia 2016/679, przez zamieszczenie wymaganych informacji w ogłoszeniu o koncesji, wstępnym ogłoszeniu informacyjnym, zaproszeniu do ubiegania się o zawarcie umowy koncesji, w dokumentach koncesji lub przy pierwszej czynności skierowanej do wykonawcy. 2. W przypadku gdy w postępowaniu o zawarcie umowy koncesji albo po jego zakończeniu wykonanie obowiązków, o których mowa w art. 15 ust. 1-3 rozporządzenia 2016/679, wymagałoby niewspółmiernie dużego wysiłku, zamawiający może żądać od osoby, której dane dotyczą, wskazania dodatkowych informacji mających na celu sprecyzowanie żądania, w szczególności nazwy lub daty postępowania o zawarcie umowy koncesji. 3. Skorzystanie przez osobę, której dane dotyczą, z uprawnienia do sprostowania lub uzupełnienia, o którym mowa w art. 16 rozporządzenia 2016/679, nie może skutkować zmianą wyniku postępowania o zawarcie umowy koncesji ani zmianą postanowień umowy koncesji w zakresie niezgodnym z ustawą oraz naruszeniem integralności przechowywanej dokumentacji postępowania. 4. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie ogranicza przetwarzania danych osobowych do czasu zakończenia postępowania o zawarcie umowy koncesji. 5. Zamawiający informuje o ograniczeniach stosowania przepisów rozporządzenia 2016/679, o których mowa w ust. 2 i 4, na stronie internetowej prowadzonego postępowania, w ogłoszeniu o koncesji, wstępnym ogłoszeniu informacyjnym, zaproszeniu do ubiegania się o zawarcie umowy koncesji, w dokumentach koncesji lub w inny sposób dostępny dla osoby, której dane dotyczą. ” ;

po art. 18 dodaje się art. 18a w brzmieniu:

„ Art. 18a. 1. W przypadku danych osobowych zamieszczonych przez zamawiającego w Biuletynie Zamówień Publicznych prawa, o których mowa w art. 15 i art. 16 rozporządzenia 2016/679, są wykonywane w drodze żądania skierowanego do zamawiającego. 2. Prezes Urzędu Zamówień Publicznych zapewnia techniczne utrzymanie systemu teleinformatycznego, przy użyciu którego udostępniany jest Biuletyn Zamówień Publicznych, oraz określa okres przechowywania danych osobowych zamieszczanych w Biuletynie Zamówień Publicznych. ” ;

w art. 26 dodaje się ust. 8 w brzmieniu:

„ 8. Sposób dokumentowania zatrudnienia oraz uprawnienia zamawiającego, o których mowa w ust. 7 pkt 1 i 2, uwzględniają możliwość żądania przez zamawiającego: 1) oświadczenia koncesjonariusza lub podwykonawcy o zatrudnieniu pracownika na podstawie umowy o pracę, 2) poświadczonej za zgodność z oryginałem kopii umowy o pracę zatrudnionego pracownika, 3) innych dokumentów - zawierających informacje, w tym dane osobowe, niezbędne do weryfikacji zatrudnienia na podstawie umowy o pracę, w szczególności: imię i nazwisko zatrudnionego pracownika, datę zawarcia umowy o pracę, rodzaj umowy o pracę, zakres obowiązków pracownika. ” ;

w art. 29 dodaje się ust. 7 w brzmieniu:

„ 7. Zamawiający przetwarza dane osobowe zebrane w toku oraz po zakończeniu postępowania o zawarcie umowy koncesji w sposób gwarantujący ich zabezpieczenie przed ich bezprawnym rozpowszechnianiem. ” ;

w art. 30 dodaje się ust. 6 w brzmieniu:

„ 6. Do przetwarzania danych osobowych, o których mowa w art. 10 rozporządzenia 2016/679, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie. Osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w poufności. ” .

po art. 34 dodaje się art. 34a w brzmieniu:

„ Art. 34a. 1. Organ KAS może upoważnić do przetwarzania danych osobowych osoby zatrudnione lub funkcjonariuszy pełniących służbę w jednostkach organizacyjnych KAS w zakresie niezbędnym do realizacji zadań powierzonych tym osobom. Upoważnienie jest wydawane w formie pisemnej w drodze imiennego upoważnienia, upoważnienia stanowiskowego lub aktu wewnętrznego, chyba że przepis szczególny stanowi inaczej. Organ KAS prowadzi rejestr osób upoważnionych do przetwarzania danych osobowych. 2. Przepis ust. 1 stosuje się odpowiednio do Krajowej Szkoły Skarbowości. ” ;

w art. 35:

w art. 47:

po art. 47a dodaje się art. 47b-47e w brzmieniu:

„ Art. 47b. Organy KAS przetwarzają dane osobowe, w tym w CRDP, w celach realizacji zadań lub obowiązków określonych w ustawie, przez okres niezbędny do osiągnięcia tych celów. Art. 47c. Prowadzenie działalności analitycznej, prognostycznej i badawczej dotyczącej zjawisk pozostających we właściwości KAS oraz dokonywanie analizy ryzyka, o których mowa w art. 2 ust. 1 pkt 10 i 12a, może polegać na zautomatyzowanym przetwarzaniu danych lub na zautomatyzowanym podejmowaniu decyzji w tym profilowaniu, wywołującym skutki prawne wobec osoby profilowanej lub której dane podlegają zautomatyzowanemu przetwarzaniu. Art. 47d. 1. W celu wykonywania obowiązku, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, organy KAS mogą udostępniać informacje o przetwarzaniu danych osobowych w miejscu publicznie dostępnym w siedzibie organu KAS oraz na swojej stronie internetowej lub w Biuletynie Informacji Publicznej na stronie podmiotowej tego organu lub urzędu obsługującego ten organ. W takim przypadku organ KAS podczas pozyskiwania danych osobowych przekazuje osobie, której dane dotyczą, informacje o miejscu udostępnienia tych informacji. 2. Wykonywanie obowiązku, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, odbywa się niezależnie od obowiązków organów KAS i nie wpływa na przebieg i wynik procedur, o których mowa w działach IV i V. Art. 47e. Dane osobowe przetwarzane w celu wykonywania zadań wynikających z ustawy podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu przez administratora danych do przetwarzania danych osobowych wyłącznie osób do tego uprawnionych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy; 3) regularnym testowaniu i doskonaleniu stosowanych środków technicznych i organizacyjnych; 4) zapewnieniu bezpiecznej komunikacji w sieciach teleinformatycznych, w szczególności poprzez zagwarantowanie, by proces pozyskiwania i przekazywania danych osobowych podmiotom zewnętrznym wykorzystywał techniki kryptograficzne; 5) zapewnieniu ochrony przed nieuprawnionym dostępem do systemów informatycznych KAS; 6) zapewnieniu integralności danych w systemach informatycznych KAS; 7) określeniu zasad bezpieczeństwa przetwarzanych danych osobowych. ” ;

po art. 145 dodaje się art. 145a w brzmieniu:

„ Art. 145a. 1. Przetwarzanie danych osobowych, o których mowa w: 1) art. 9 ust. 1 rozporządzenia 2016/679, z wyłączeniem danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe oraz danych genetycznych, 2) art. 10 rozporządzenia 2016/679 - dotyczących funkcjonariuszy, jest dopuszczalne wyłącznie w zakresie, w jakim jest to niezbędne do realizacji zadania ministra właściwego do spraw finansów publicznych, Szefa Krajowej Administracji Skarbowej lub dyrektora izby administracji skarbowej nałożonego przepisem prawa. 2. Przetwarzanie danych biometrycznych funkcjonariusza jest dopuszczalne także wtedy, gdy podanie takich danych jest niezbędne ze względu na kontrolę dostępu do pomieszczeń wymagających szczególnej ochrony lub szczególnie ważnych informacji, których ujawnienie może narazić na szkodę organy, o których mowa w ust. 1. 3. Do przetwarzania danych osobowych, o których mowa w ust. 1, mogą być dopuszczeni wyłącznie funkcjonariusze posiadający pisemne upoważnienie do przetwarzania takich danych wydane przez Szefa Krajowej Administracji Skarbowej lub dyrektora izby administracji skarbowej. Funkcjonariusze dopuszczeni do przetwarzania takich danych są obowiązani do zachowania ich w tajemnicy. 4. W zakresie nieuregulowanym ustawą do spraw związanych z przetwarzaniem danych osobowych przepisy art. 22² i art. 22³ ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz. U. z 2018 r. poz. 917, z późn. zm.⁹⁴⁾), zwanej dalej „Kodeksem pracy”, stosuje się odpowiednio. ” ;

art. 214 otrzymuje brzmienie:

„ Art. 214. Do funkcjonariusza stosuje się przepisy Kodeksu pracy dotyczące uprawnień pracowników związanych z rodzicielstwem, chyba że przepisy ustawy są korzystniejsze. ” .

po art. 30 dodaje się art. 30a w brzmieniu:

„ Art. 30a. 1. Inne formy wychowania przedszkolnego, szkoły, placówki, organy prowadzące szkoły lub placówki, organy sprawujące nadzór pedagogiczny oraz inne podmioty realizujące zadania i obowiązki określone w ustawie przetwarzają dane osobowe w zakresie niezbędnym dla realizacji zadań i obowiązków wynikających z tych przepisów. 2. Nauczyciele oraz inne osoby pełniące funkcje lub wykonujące pracę w podmiotach, o których mowa w ust. 1, są obowiązani do zachowania w poufności informacji uzyskanych w związku z pełnioną funkcją lub wykonywaną pracą, dotyczących zdrowia, potrzeb rozwojowych i edukacyjnych, możliwości psychofizycznych, seksualności, orientacji seksualnej, pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych lub światopoglądowych uczniów. 3. Przepisu ust. 2 nie stosuje się: 1) w przypadku zagrożenia zdrowia ucznia; 2) jeżeli uczeń, a w przypadku ucznia niepełnoletniego jego rodzic, wyrazi zgodę na ujawnienie określonych informacji; 3) w przypadku gdy przewidują to przepisy szczególne. ” ;

w art. 68 w ust. 1 w pkt 11 kropkę zastępuje się średnikiem i dodaje się pkt 12 w brzmieniu:

„ 12) wdraża odpowiednie środki techniczne i organizacyjne zapewniające zgodność przetwarzania danych osobowych przez szkołę lub placówkę z przepisami o ochronie danych osobowych. ” .

w art. 6 dotychczasową treść oznacza się jako ust. 1 i dodaje się ust. 2 w brzmieniu:

„ 2. Dane osobowe przetwarzane w celu wykonywania zadań wynikających z ustawy podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu przez administratora danych do przetwarzania danych osobowych wyłącznie osób do tego uprawnionych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy; 3) regularnym testowaniu i doskonaleniu stosowanych środków technicznych i organizacyjnych; 4) zapewnieniu bezpiecznej komunikacji w sieciach teleinformatycznych, w szczególności poprzez zagwarantowanie, by proces pozyskiwania i przekazywania danych osobowych podmiotom zewnętrznym wykorzystywał techniki kryptograficzne; 5) zapewnieniu ochrony przed nieuprawnionym dostępem do systemów informatycznych; 6) zapewnieniu integralności danych w systemach informatycznych; 7) określeniu zasad bezpieczeństwa przetwarzanych danych osobowych. ” ;

w art. 30 ust. 1 otrzymuje brzmienie:

„ 1. Raportująca instytucja finansowa wykonuje obowiązki, o których mowa w art. 13 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)⁹⁸⁾, w terminie pozwalającym na zrealizowanie przez osobę raportowaną jej uprawnień, określonych w art. 15-20 tego rozporządzenia, przed przekazaniem informacji, o których mowa w art. 33 ust. 1 oraz art. 36 ust. 1. ” .

w art. 5 w ust. 1 po pkt 3 dodaje się pkt 3a w brzmieniu:

„ 3a) prowadzenie czynności wyjaśniających zmierzających do ustalenia odpowiedzialności dyscyplinarnej za doping w sporcie zawodnika lub, w przypadkach, o których mowa w art. 3 ust. 1 pkt 5-9, osoby pomagającej w przygotowaniu do współzawodnictwa sportowego; ” ;

po art. 27 dodaje się art. 27a w brzmieniu:

„ Art. 27a. W związku z planowaniem i przeprowadzaniem kontroli antydopingowej w okresie podczas zawodów oraz w okresie poza nimi, Agencja przetwarza następujące dane osobowe kontrolerów: 1) wizerunek twarzy; 2) płeć; 3) podpis; 4) adres poczty elektronicznej; 5) numer telefonu; 6) informacje o realizowanej dotychczas kontroli antydopingowej. ” ;

w art. 29:

po art. 2 dodaje się art. 2a i art. 2b w brzmieniu:

„ Art. 2a. Polska Izba Biegłych Rewidentów jest administratorem danych przetwarzanych w celach realizacji zadań lub obowiązków przez organy samorządu biegłych rewidentów, związanych z działalnością Komisji Egzaminacyjnej, zwanej dalej „Komisją”, oraz organizacją egzaminów dla kandydatów na biegłych rewidentów. Art. 2b. 1. Dane osobowe przetwarzane w celu realizacji zadań lub obowiązków określonych w ustawie i rozporządzeniu nr 537/2014 podlegają przeglądowi nie rzadziej niż co 5 lat od dnia ich uzyskania. 2. Dane osobowe podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu przez administratora danych do przetwarzania danych osobowych wyłącznie osób do tego uprawnionych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy; 3) regularnym testowaniu i doskonaleniu stosowanych środków technicznych i organizacyjnych; 4) zapewnieniu bezpiecznej komunikacji w sieciach teleinformatycznych; 5) zapewnieniu ochrony przed nieuprawnionym dostępem do systemów informatycznych; 6) zapewnieniu integralności danych w systemach informatycznych; 7) określeniu zasad bezpieczeństwa przetwarzanych danych osobowych. 3. Obowiązek zachowania tajemnicy, o której mowa w art. 78 i art. 95, nie ustaje w przypadku, gdy z żądaniem ujawnienia informacji uzyskanych w związku z wykonywaniem zawodu biegłego rewidenta albo wykonywaniem zadań przez podmioty, o których mowa w tych przepisach, występuje Prezes Urzędu Ochrony Danych Osobowych. ” ;

w art. 4 w ust. 2 w pkt 5 w części wspólnej skreśla się wyrazy „Egzaminacyjną, zwaną dalej „Komisją” „.

w art. 34 uchyla się ust. 6;

art. 66 otrzymuje brzmienie:

„ Art. 66. Do przetwarzania danych osobowych zgromadzonych w Rejestrze nie stosuje się przepisów art. 15 ust. 1 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)¹⁰¹⁾. ” .

w art. 158 ust. 3 otrzymuje brzmienie:

„ 3. Minister Sprawiedliwości jest administratorem systemu teleinformatycznego służącego do przetwarzania danych osobowych zawartych w dokumentacji, o której mowa w art. 155 ust. 1 i art. 156. ” ;

po art. 159 dodaje się art. 159a w brzmieniu:

„ Art. 159a. 1. Dane osobowe zawarte w systemie teleinformatycznym, utworzonym do dnia 1 stycznia 2021 r., o którym mowa w art. 158 ust. 1, podlegają z dniem uruchomienia systemu zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu, w szczególności poprzez stosowanie proporcjonalnych środków technicznych i organizacyjnych gwarantujących zapewnienie ochrony przed nieuprawnionym dostępem do systemu teleinformatycznego. 2. Administratorami danych znajdujących się w systemie są komornicy w zakresie, w jakim dane te dotyczą prowadzonych przez nich spraw. ” ;

po art. 164 dodaje się art. 164a w brzmieniu:

„ Art. 164a. 1. Wykonując obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)¹⁰²⁾, zwanego dalej „rozporządzeniem 2016/679”, komornik: 1) przekazuje osobie, której dane dotyczą, informacje, o których mowa w art. 13 ust. 1 lit. a i c rozporządzenia 2016/679, podczas pozyskiwania od niej tych danych; 2) udostępnia w miejscu publicznie dostępnym w siedzibie kancelarii lub na stronie internetowej kancelarii pozostałe podlegające udostępnieniu informacje, o czym informuje osobę, której dane dotyczą, podczas pozyskiwania od niej danych osobowych. 2. Obowiązki wynikające z art. 15 rozporządzenia 2016/679 realizowane są na zasadach określonych w art. 9 ustawy z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego i wyłącznie w zakresie, w jakim nie narusza to obowiązku zachowania przez komornika tajemnicy zawodowej, o której mowa w art. 27. 3. W zakresie prowadzonych postępowań lub czynności podejmowanych przez komornika na podstawie art. 3 ust. 3 i ust. 4 pkt 1 i 2 ustawy, przepis art. 16 rozporządzenia 2016/679 stosuje się wyłącznie w zakresie i na zasadach przewidzianych w ustawie z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego. 4. W ramach wykonywania przez komornika zadań, o których mowa w art. 3 ust. 3 i ust. 4 pkt 1 i 2, skorzystanie przez daną osobę z prawa do ograniczenia przetwarzania danych osobowych, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, odbywa się wyłącznie w sposób przewidziany w art. 767 ustawy z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego. ” .

po art. 5 dodaje się art. 5a w brzmieniu:

„ Art. 5a. 1. Administrator, który otrzymał dane osobowe od podmiotu realizującego zadanie publiczne, nie wykonuje obowiązków, o których mowa w art. 15 ust. 1-3 rozporządzenia 2016/679, w przypadku gdy podmiot przekazujący dane osobowe wystąpił z żądaniem w tym zakresie ze względu na konieczność prawidłowego wykonania zadania publicznego mającego na celu: 1) zapobieganie przestępczości, wykrywanie lub ściganie czynów zabronionych lub wykonywanie kar, w tym ochronę przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganie takim zagrożeniom; 2) ochronę interesów gospodarczych i finansowych państwa obejmującą w szczególności: a) realizację i dochodzenie dochodów z podatków, opłat, niepodatkowych należności budżetowych oraz innych należności, b) wykonywanie egzekucji administracyjnej należności pieniężnych i niepieniężnych oraz wykonywanie zabezpieczenia należności pieniężnych i niepieniężnych, c) przeciwdziałanie wykorzystywaniu działalności banków i instytucji finansowych do celów mających związek z wyłudzeniami skarbowymi, d) ujawnianie i odzyskiwanie mienia zagrożonego przepadkiem w związku z przestępstwami, e) prowadzenie kontroli, w tym kontroli celno-skarbowych. 2. W przypadku, o którym mowa w ust. 1, administrator udziela odpowiedzi na żądanie wniesione na podstawie art. 15 rozporządzenia 2016/679 w sposób, który uniemożliwia ustalenie, że administrator przetwarza dane osobowe otrzymane od podmiotu wykonującego zadanie publiczne. ” ;

po art. 6 dodaje się art. 6a w brzmieniu:

„ Art. 6a. 1. Do przetwarzania danych osobowych w ramach wykonywania konstytucyjnych i ustawowych kompetencji Prezydenta Rzeczypospolitej Polskiej, w zakresie nieobjętym bezpieczeństwem narodowym, stosuje się odpowiednio przepisy art. 4-7, art. 11, art. 12, art. 16, art. 17, art. 24 ust. 1 i 2, art. 25 ust. 1 i 2, art. 28-30, art. 32, art. 34, art. 35, art. 37-39 i art. 86 rozporządzenia 2016/679 oraz przepisy art. 6 i art. 11 ustawy. 2. Przetwarzanie danych, o których mowa w art. 9 i art. 10 rozporządzenia 2016/679, następuje w zakresie niezbędnym do realizacji konstytucyjnych i ustawowych kompetencji Prezydenta Rzeczypospolitej Polskiej, jeżeli prawa lub wolności osoby, której dane dotyczą, nie są nadrzędne w stosunku do realizacji zadań wynikających z tych kompetencji. ” ;

po art. 11 dodaje się art. 11a w brzmieniu:

„ Art. 11a. 1. Podmiot, który wyznaczył inspektora, może wyznaczyć osobę zastępującą inspektora w czasie jego nieobecności, z uwzględnieniem kryteriów, o których mowa w art. 37 ust. 5 i 6 rozporządzenia 2016/679. 2. W związku z wykonywaniem obowiązków inspektora w czasie jego nieobecności do osoby go zastępującej stosuje się odpowiednio przepisy dotyczące inspektora. 3. Podmiot, który wyznaczył osobę zastępującą inspektora, zawiadamia Prezesa Urzędu o jej wyznaczeniu w trybie określonym w art. 10 oraz udostępnia jej dane zgodnie z art. 11. ” ;

w art. 57 ust. 1 otrzymuje brzmienie:

„ 1. Administrator może wystąpić do Prezesa Urzędu z wnioskiem o przeprowadzenie uprzednich konsultacji, o których mowa w art. 36 rozporządzenia 2016/679. ” ;

po art. 101 dodaje się art. 101a w brzmieniu:

„ Art. 101a. 1. W związku z toczącym się postępowaniem w sprawie nałożenia administracyjnej kary pieniężnej, podmiot, o którym mowa w art. 101, jest obowiązany do dostarczenia Prezesowi Urzędu, na każde jego żądanie, w terminie 30 dni od dnia otrzymania żądania, danych niezbędnych do określenia podstawy wymiaru administracyjnej kary pieniężnej. 2. W przypadku niedostarczenia danych przez podmiot, o którym mowa w art. 101, lub gdy dostarczone przez ten podmiot dane uniemożliwiają ustalenie podstawy wymiaru administracyjnej kary pieniężnej, Prezes Urzędu ustala podstawę wymiaru administracyjnej kary pieniężnej w sposób szacunkowy uwzględniając wielkość podmiotu, specyfikę prowadzonej przez niego działalności lub ogólnie dostępne dane finansowe dotyczące podmiotu. ” ;

w art. 108 dotychczasową treść oznacza się jako ust. 1 i dodaje się ust. 2 w brzmieniu:

„ 2. Tej samej karze podlega kto, w związku z toczącym się postępowaniem w sprawie nałożenia administracyjnej kary pieniężnej, nie dostarcza danych niezbędnych do określenia podstawy wymiaru administracyjnej kary pieniężnej lub dostarcza dane, które uniemożliwiają ustalenie podstawy wymiaru administracyjnej kary pieniężnej. ” .

w art. 176 pkt 1 otrzymuje brzmienie:

„ 1) art. 24 ust. 9, art. 177-180, art. 182-226, art. 259-262, art. 264, art. 266, art. 267 ust. 1, art. 268-270, art. 322, art. 343, art. 345, art. 346, art. 348-350, art. 351 ust. 4, art. 354, art. 355, art. 360-362, art. 408, art. 409 ust. 2-5, art. 410, art. 411, art. 420, art. 423, art. 425-428, art. 432, art. 469a i art. 469b; ” ;

w art. 258 uchyla się ust. 3;

po dziale XIV dodaje się dział XIVa w brzmieniu:

„ Dział XIVa Przetwarzanie danych osobowych Art. 469a. Obowiązek wynikający z realizacji żądania zgłoszonego na podstawie art. 16 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)¹⁰⁴⁾, zwanego dalej „rozporządzeniem 2016/679”, wykonuje podmiot, który pozyskał dane od osoby, której dane dotyczą. Art. 469b. 1. Do przetwarzania danych osobowych przez podmioty, o których mowa w art. 7 ust. 1 pkt 1 i 4-7, do celów badań naukowych i prac rozwojowych wyłącza się stosowanie przepisów art. 15, art. 16, art. 18 i art. 21 rozporządzenia 2016/679, jeżeli zachodzi prawdopodobieństwo, że prawa określone w tych przepisach uniemożliwią lub poważnie utrudnią realizację celów badań naukowych i prac rozwojowych, i jeżeli wyłączenia te są konieczne do realizacji tych celów. 2. W zakresie niezbędnym do prowadzenia badań naukowych i prac rozwojowych dopuszcza się przetwarzanie danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzanie danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby, pod warunkiem że publikowanie wyników tych badań i prac następuje w sposób uniemożliwiający identyfikację osoby fizycznej, której dane zostały przetworzone. 3. Przy przetwarzaniu danych osobowych, o których mowa w ust. 1 i 2, administrator danych wdraża odpowiednie zabezpieczenia techniczne i organizacyjne praw i wolności osób fizycznych, których dane osobowe są przetwarzane, zgodnie z rozporządzeniem 2016/679, w szczególności przez pseudonimizację albo szyfrowanie danych, nadawanie uprawnień do ich przetwarzania minimalnej liczbie osób niezbędnych do prowadzenia badań naukowych i prac rozwojowych, kontrolę dostępu do pomieszczeń, w których przechowywane są dokumenty zawierające dane osobowe, oraz opracowanie procedury określającej sposób zabezpieczenia danych. 4. Dane osobowe, o których mowa w ust. 1 i 2, poddaje się anonimizacji niezwłocznie po osiągnięciu celu badań naukowych lub prac rozwojowych. Do tego czasu dane, które można wykorzystać do identyfikacji danej osoby fizycznej, zapisuje się osobno. Można je łączyć z informacjami szczegółowymi dotyczącymi danej osoby fizycznej wyłącznie, jeżeli wymaga tego cel badań naukowych lub prac rozwojowych. 5. Do przetwarzania danych osobowych w celu przygotowania pracy dyplomowej lub rozprawy doktorskiej wymaganej do uzyskania odpowiednio dyplomu ukończenia studiów lub stopnia naukowego przepisy ust. 1-4 stosuje się. ” .

art. 14g ust. 5 ustawy zmienianej w art. 20 zachowują moc do dnia wejścia w życie przepisów wykonawczych wydanych na podstawie art. 14g ust. 3 ustawy zmienianej w art. 20, w brzmieniu nadanym niniejszą ustawą, jednak nie dłużej niż przez okres 24 miesięcy od dnia wejścia w życie niniejszej ustawy;

art. 21 ust. 3 ustawy zmienianej w art. 33 zachowują moc do dnia wejścia w życie przepisów wykonawczych wydanych na podstawie art. 21 ust. 3 ustawy zmienianej w art. 33, w brzmieniu nadanym niniejszą ustawą, jednak nie dłużej niż przez okres 12 miesięcy od dnia wejścia w życie niniejszej ustawy;

art. 6 ust. 3 ustawy zmienianej w art. 55 zachowują moc do dnia wejścia w życie przepisów wykonawczych wydanych na podstawie art. 6 ust. 11 ustawy zmienianej w art. 55, w brzmieniu nadanym niniejszą ustawą, jednak nie dłużej niż przez okres 12 miesięcy od dnia wejścia w życie niniejszej ustawy;

art. 33 ust. 5 ustawy zmienianej w art. 75 zachowują moc do dnia wejścia w życie przepisów wykonawczych wydanych na podstawie art. 33 ust. 5 ustawy zmienianej w art. 75, jednak nie dłużej niż przez okres 12 miesięcy od dnia wejścia w życie niniejszej ustawy;

art. 38 ust. 9 ustawy zmienianej w art. 138 zachowują moc do dnia wejścia w życie przepisów wykonawczych wydanych na podstawie art. 38 ust. 9 ustawy zmienianej w art. 138, jednak nie dłużej niż przez okres 12 miesięcy od dnia wejścia w życie niniejszej ustawy.

art. 87 pkt 1, który wchodzi w życie po upływie 90 dni od dnia ogłoszenia;

art. 107 pkt 7 i 8, które wchodzą w życie z dniem 1 maja 2019 r.;

art. 157 pkt 2, który wchodzi w życie z dniem 13 października 2019 r.