Dlatego w nowej ustawie o ochronie danych osobowych dano art. 11a. Na podstawie tego przepisu, Podmiot, który wyznaczył inspektora, może wyznaczyć osobę zastępującą inspektora w czasie jego nieobecności. Oczywiście co do osoby zastępującej inspektora ochrony danych osobowych:
- stosuje się takie same wymagania jak wobec inspektora.
- stosuje się odpowiednio przepisy dotyczące inspektora w czasie jego nieobecności.
Podmiot , który wyznaczył osobę zastępującą inspektora, zobowiązany jest zawiadomić o tym Prezesa Urzędu, w trybie określonym w art. 10 oraz udostępnić dane osoby zastępującej inspektora zgodnie z art. 11.
Wprowadzone rozwiązanie oceniam bardzo dobrze, przy niepokoi mnie, że np. ochrona która przysługuje inspektorowi dotyczy osoby go zastępującej tylko w okresie jego nieobecności.
Z innych zmian w ustawie o ochronie danych osobowych należy zwrócić uwagę na:
- pozbawienie podmiotu przetwarzającego uprawnienia do wystąpienia do Prezesa UODO z wnioskiem o przeprowadzenie uprzednich konsultacji, o których mowa w art. 36 rozporządzenia 2016/679
- nałożono na podmiot obowiązany do przestrzegania RODO [1] obowiązek dostarczenia Prezesowi Urzędu, na każde jego żądanie, w związku z toczącym się postępowaniem w sprawie nałożenia administracyjnej kary pieniężnej, w terminie 30 dni od dnia otrzymania żądania, danych niezbędnych do określenia podstawy wymiaru administracyjnej kary pieniężne. W przypadku niedostarczenia danych lub gdy dane uniemożliwiają ustalenie podstawy wymiaru administracyjnej kary pieniężnej, Prezes Urzędu ustala podstawę wymiaru administracyjnej kary pieniężnej w sposób szacunkowy uwzględniając wielkość podmiotu, specyfikę prowadzonej przez niego działalności lub ogólnie dostępne dane finansowe dotyczące podmiotu. Nadmienię tylko, że dobrze jakby Prezes Urzędu zawsze to brał pod uwagę.
- rozszerzono odpowiedzialność karną z art. 108 na osoby, które w związku z toczącym się postępowaniem w sprawie nałożenia administracyjnej kary pieniężnej, nie dostarcza danych niezbędnych do określenia podstawy wymiaru administracyjnej kary pieniężnej lub dostarcza dane, które uniemożliwiają ustalenie podstawy wymiaru administracyjnej kary pieniężnej.
- Zwolniono Administratora, który otrzymał dane osobowe od podmiotu realizującego zadanie publiczne, z obowiązku, o których mowa w art. 15 ust. 1–3 rozporządzenia 2016/679, w przypadku gdy podmiot przekazujący dane osobowe wystąpił z żądaniem w tym zakresie ze względu na konieczność prawidłowego wykonania zadania publicznego mającego na celu:
- zapobieganie przestępczości, wykrywanie lub ściganie czynów zabronionych lub wykonywanie kar, w tym ochronę przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganie takim zagrożeniom;
- ochronę interesów gospodarczych i finansowych państwa obejmującą w szczególności:
- realizację i dochodzenie dochodów z podatków, opłat, niepodatkowych należności budżetowych oraz innych należności,
- wykonywanie egzekucji administracyjnej należności pieniężnych i niepieniężnych oraz wykonywanie zabezpieczenia należności pieniężnych i niepieniężnych,
- przeciwdziałanie wykorzystywaniu działalności banków i instytucji finansowych do celów mających związek z wyłudzeniami skarbowymi,
- ujawnianie i odzyskiwanie mienia zagrożonego przepadkiem w związku z przestępstwami,
- prowadzenie kontroli, w tym kontroli celno-skarbowych.
W przypadku, gdy Administratora wpłynie pytanie na podstawie art. 15 RODO, udziela odpowiedzi on odpowiedzi w sposób, który uniemożliwia ustalenie, że administrator przetwarza dane osobowe otrzymane od podmiotu wykonującego zadanie publiczne.
[1] Inny niż jednostka finansów publicznych, instytut badawczy i NBP
Paweł Ludwiczak, radca prawny