Ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)

1. Minister Sprawiedliwości jest administratorem danych osobowych zgromadzonych w Rejestrze.

Art. 145.

W ustawie z dnia 10 czerwca 2016 r. o Bankowym Funduszu Gwarancyjnym, systemie gwarantowania depozytów oraz przymusowej restrukturyzacji wprowadza się następujące zmiany:

1) po art. 5 dodaje się art. 5a w brzmieniu:

Art. 5a. Fundusz przetwarza dane osobowe w zakresie niezbędnym do realizacji zadań określonych w art. 5 ust. 1-6.

2) w art. 42 uchyla się ust. 4;

3) w art. 45 po ust. 2 dodaje się ust. 2a w brzmieniu:

2a. Podmiot, o którym mowa w ust. 1, przetwarza dane osobowe w zakresie niezbędnym do realizacji wypłat środków gwarantowanych.

Art. 146.

W ustawie z dnia 21 października 2016 r. o umowie koncesji na roboty budowlane lub usługi wprowadza się następujące zmiany:

1) w art. 13 po ust. 2 dodaje się ust. 2a w brzmieniu:

2a. Zamawiający udostępnia dane osobowe, o których mowa w art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) , zwanego dalej „rozporządzeniem 2016/679”, w celu umożliwienia korzystania ze środków ochrony prawnej, o których mowa w rozdziale 10, do upływu terminu na ich wniesienie.

2) po art. 13 dodaje się art. 13a w brzmieniu:

Art. 13a. Zamawiający przechowuje dokumentację postępowania, w tym umowę koncesji, przez okres 5 lat od dnia zakończenia postępowania o zawarcie umowy koncesji, w sposób gwarantujący jej nienaruszalność. Jeżeli czas trwania umowy koncesji przekracza 5 lat, zamawiający przechowuje umowę przez cały czas jej trwania.

3) po art. 16 dodaje się art. 16a w brzmieniu:

Art. 16a. 1. Zamawiający realizuje obowiązki, o których mowa w art. 13 ust. 1-3 rozporządzenia 2016/679, przez zamieszczenie wymaganych informacji w ogłoszeniu o koncesji, wstępnym ogłoszeniu informacyjnym, zaproszeniu do ubiegania się o zawarcie umowy koncesji, w dokumentach koncesji lub przy pierwszej czynności skierowanej do wykonawcy. 2. W przypadku gdy w postępowaniu o zawarcie umowy koncesji albo po jego zakończeniu wykonanie obowiązków, o których mowa w art. 15 ust. 1-3 rozporządzenia 2016/679, wymagałoby niewspółmiernie dużego wysiłku, zamawiający może żądać od osoby, której dane dotyczą, wskazania dodatkowych informacji mających na celu sprecyzowanie żądania, w szczególności nazwy lub daty postępowania o zawarcie umowy koncesji. 3. Skorzystanie przez osobę, której dane dotyczą, z uprawnienia do sprostowania lub uzupełnienia, o którym mowa w art. 16 rozporządzenia 2016/679, nie może skutkować zmianą wyniku postępowania o zawarcie umowy koncesji ani zmianą postanowień umowy koncesji w zakresie niezgodnym z ustawą oraz naruszeniem integralności przechowywanej dokumentacji postępowania. 4. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie ogranicza przetwarzania danych osobowych do czasu zakończenia postępowania o zawarcie umowy koncesji. 5. Zamawiający informuje o ograniczeniach stosowania przepisów rozporządzenia 2016/679, o których mowa w ust. 2 i 4, na stronie internetowej prowadzonego postępowania, w ogłoszeniu o koncesji, wstępnym ogłoszeniu informacyjnym, zaproszeniu do ubiegania się o zawarcie umowy koncesji, w dokumentach koncesji lub w inny sposób dostępny dla osoby, której dane dotyczą.

4) po art. 18 dodaje się art. 18a w brzmieniu:

Art. 18a. 1. W przypadku danych osobowych zamieszczonych przez zamawiającego w Biuletynie Zamówień Publicznych prawa, o których mowa w art. 15 i art. 16 rozporządzenia 2016/679, są wykonywane w drodze żądania skierowanego do zamawiającego. 2. Prezes Urzędu Zamówień Publicznych zapewnia techniczne utrzymanie systemu teleinformatycznego, przy użyciu którego udostępniany jest Biuletyn Zamówień Publicznych, oraz określa okres przechowywania danych osobowych zamieszczanych w Biuletynie Zamówień Publicznych.

5) w art. 26 dodaje się ust. 8 w brzmieniu:

1. Sposób dokumentowania zatrudnienia oraz uprawnienia zamawiającego, o których mowa w ust. 7 pkt 1 i 2, uwzględniają możliwość żądania przez zamawiającego: 1) oświadczenia koncesjonariusza lub podwykonawcy o zatrudnieniu pracownika na podstawie umowy o pracę, 2) poświadczonej za zgodność z oryginałem kopii umowy o pracę zatrudnionego pracownika, 3) innych dokumentów - zawierających informacje, w tym dane osobowe, niezbędne do weryfikacji zatrudnienia na podstawie umowy o pracę, w szczególności: imię i nazwisko zatrudnionego pracownika, datę zawarcia umowy o pracę, rodzaj umowy o pracę, zakres obowiązków pracownika.

6) w art. 29 dodaje się ust. 7 w brzmieniu:

1. Zamawiający przetwarza dane osobowe zebrane w toku oraz po zakończeniu postępowania o zawarcie umowy koncesji w sposób gwarantujący ich zabezpieczenie przed ich bezprawnym rozpowszechnianiem.

7) w art. 30 dodaje się ust. 6 w brzmieniu:

1. Do przetwarzania danych osobowych, o których mowa w art. 10 rozporządzenia 2016/679, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie. Osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w poufności.

Art. 147.

W ustawie z dnia 16 listopada 2016 r. o Krajowej Administracji Skarbowej wprowadza się następujące zmiany:

1) po art. 34 dodaje się art. 34a w brzmieniu:

Art. 34a. 1. Organ KAS może upoważnić do przetwarzania danych osobowych osoby zatrudnione lub funkcjonariuszy pełniących służbę w jednostkach organizacyjnych KAS w zakresie niezbędnym do realizacji zadań powierzonych tym osobom. Upoważnienie jest wydawane w formie pisemnej w drodze imiennego upoważnienia, upoważnienia stanowiskowego lub aktu wewnętrznego, chyba że przepis szczególny stanowi inaczej. Organ KAS prowadzi rejestr osób upoważnionych do przetwarzania danych osobowych. 2. Przepis ust. 1 stosuje się odpowiednio do Krajowej Szkoły Skarbowości.

2) w art. 35:

d) innych dokumentów i informacji przekazanych organom KAS w celu realizacji zadań ustawowych;

1. Szef Krajowej Administracji Skarbowej, dyrektor Krajowej Informacji Skarbowej, dyrektor izby administracji skarbowej, naczelnik urzędu skarbowego oraz naczelnik urzędu celno-skarbowego wprowadzają do CRDP dane zawarte w dokumentach i informacjach, o których mowa w ust. 3 pkt 1.

3) w art. 47:

• mogą przetwarzać niezbędne informacje zawierające dane osobowe.

1. Dane, o których mowa w art. 9 ust. 1 i art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) , zwanego dalej „rozporządzeniem 2016/679”, mogą być przetwarzane przez organy KAS wyłącznie, gdy jest to niezbędne ze względu na zakres lub charakter prowadzonego postępowania lub przeprowadzanych czynności.

4) po art. 47a dodaje się art. 47b-47e w brzmieniu:

Art. 47b. Organy KAS przetwarzają dane osobowe, w tym w CRDP, w celach realizacji zadań lub obowiązków określonych w ustawie, przez okres niezbędny do osiągnięcia tych celów. Art. 47c. Prowadzenie działalności analitycznej, prognostycznej i badawczej dotyczącej zjawisk pozostających we właściwości KAS oraz dokonywanie analizy ryzyka, o których mowa w art. 2 ust. 1 pkt 10 i 12a, może polegać na zautomatyzowanym przetwarzaniu danych lub na zautomatyzowanym podejmowaniu decyzji w tym profilowaniu, wywołującym skutki prawne wobec osoby profilowanej lub której dane podlegają zautomatyzowanemu przetwarzaniu. Art. 47d. 1. W celu wykonywania obowiązku, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, organy KAS mogą udostępniać informacje o przetwarzaniu danych osobowych w miejscu publicznie dostępnym w siedzibie organu KAS oraz na swojej stronie internetowej lub w Biuletynie Informacji Publicznej na stronie podmiotowej tego organu lub urzędu obsługującego ten organ. W takim przypadku organ KAS podczas pozyskiwania danych osobowych przekazuje osobie, której dane dotyczą, informacje o miejscu udostępnienia tych informacji. 2. Wykonywanie obowiązku, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia 2016/679, odbywa się niezależnie od obowiązków organów KAS i nie wpływa na przebieg i wynik procedur, o których mowa w działach IV i V. Art. 47e. Dane osobowe przetwarzane w celu wykonywania zadań wynikających z ustawy podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu przez administratora danych do przetwarzania danych osobowych wyłącznie osób do tego uprawnionych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy; 3) regularnym testowaniu i doskonaleniu stosowanych środków technicznych i organizacyjnych; 4) zapewnieniu bezpiecznej komunikacji w sieciach teleinformatycznych, w szczególności poprzez zagwarantowanie, by proces pozyskiwania i przekazywania danych osobowych podmiotom zewnętrznym wykorzystywał techniki kryptograficzne; 5) zapewnieniu ochrony przed nieuprawnionym dostępem do systemów informatycznych KAS; 6) zapewnieniu integralności danych w systemach informatycznych KAS; 7) określeniu zasad bezpieczeństwa przetwarzanych danych osobowych.

5) po art. 145 dodaje się art. 145a w brzmieniu:

Art. 145a. 1. Przetwarzanie danych osobowych, o których mowa w: 1) art. 9 ust. 1 rozporządzenia 2016/679, z wyłączeniem danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe oraz danych genetycznych, 2) art. 10 rozporządzenia 2016/679 - dotyczących funkcjonariuszy, jest dopuszczalne wyłącznie w zakresie, w jakim jest to niezbędne do realizacji zadania ministra właściwego do spraw finansów publicznych, Szefa Krajowej Administracji Skarbowej lub dyrektora izby administracji skarbowej nałożonego przepisem prawa. 2. Przetwarzanie danych biometrycznych funkcjonariusza jest dopuszczalne także wtedy, gdy podanie takich danych jest niezbędne ze względu na kontrolę dostępu do pomieszczeń wymagających szczególnej ochrony lub szczególnie ważnych informacji, których ujawnienie może narazić na szkodę organy, o których mowa w ust. 1. 3. Do przetwarzania danych osobowych, o których mowa w ust. 1, mogą być dopuszczeni wyłącznie funkcjonariusze posiadający pisemne upoważnienie do przetwarzania takich danych wydane przez Szefa Krajowej Administracji Skarbowej lub dyrektora izby administracji skarbowej. Funkcjonariusze dopuszczeni do przetwarzania takich danych są obowiązani do zachowania ich w tajemnicy. 4. W zakresie nieuregulowanym ustawą do spraw związanych z przetwarzaniem danych osobowych przepisy art. 22^2^iart. 22^3^ ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy , zwanej dalej „Kodeksem pracy”, stosuje się odpowiednio.

6) art. 214 otrzymuje brzmienie:

Art. 214. Do funkcjonariusza stosuje się przepisy Kodeksu pracy dotyczące uprawnień pracowników związanych z rodzicielstwem, chyba że przepisy ustawy są korzystniejsze.

Art. 148.

W ustawie z dnia 14 grudnia 2016 r. - Prawo oświatowe wprowadza się następujące zmiany:

1) po art. 30 dodaje się art. 30a w brzmieniu:

Art. 30a. 1. Inne formy wychowania przedszkolnego, szkoły, placówki, organy prowadzące szkoły lub placówki, organy sprawujące nadzór pedagogiczny oraz inne podmioty realizujące zadania i obowiązki określone w ustawie przetwarzają dane osobowe w zakresie niezbędnym dla realizacji zadań i obowiązków wynikających z tych przepisów. 2. Nauczyciele oraz inne osoby pełniące funkcje lub wykonujące pracę w podmiotach, o których mowa w ust. 1, są obowiązani do zachowania w poufności informacji uzyskanych w związku z pełnioną funkcją lub wykonywaną pracą, dotyczących zdrowia, potrzeb rozwojowych i edukacyjnych, możliwości psychofizycznych, seksualności, orientacji seksualnej, pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych lub światopoglądowych uczniów. 3. Przepisu ust. 2 nie stosuje się: 1) w przypadku zagrożenia zdrowia ucznia; 2) jeżeli uczeń, a w przypadku ucznia niepełnoletniego jego rodzic, wyrazi zgodę na ujawnienie określonych informacji; 3) w przypadku gdy przewidują to przepisy szczególne.

2) w art. 68 w ust. 1 w pkt 11 kropkę zastępuje się średnikiem i dodaje się pkt 12 w brzmieniu:

12) wdraża odpowiednie środki techniczne i organizacyjne zapewniające zgodność przetwarzania danych osobowych przez szkołę lub placówkę z przepisami o ochronie danych osobowych.

Art. 149.

W ustawie z dnia 15 grudnia 2016 r. o Prokuratorii Generalnej Rzeczypospolitej Polskiej po art. 6 dodaje się art. 6a w brzmieniu:

Art. 6a. 1. Do przetwarzania danych osobowych, w tym danych, o których mowa w art. 9 ust. 1 i art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) , zwanego dalej „rozporządzeniem 2016/679”, w celu realizacji ustawowych zadań Prokuratorii Generalnej oraz Prezesa Prokuratorii Generalnej określonych w ustawie oraz w ustawie z dnia 16 grudnia 2016 r. o zasadach zarządzania mieniem państwowym , przepisy art. 15 ust. 1 i 3 i art. 19 rozporządzenia 2016/679 stosuje się w zakresie, w jakim nie narusza to tajemnicy Prokuratorii Generalnej, o której mowa w rozdziale 4. 2. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, nie wpływa na wykonywanie zadań Prokuratorii Generalnej lub Prezesa Prokuratorii Generalnej. 3. Przepisu art. 21 ust. 1 rozporządzenia 2016/679 nie stosuje się w przypadku danych osobowych pozyskanych przez Prokuratorię Generalną w związku z udzielaniem pomocy prawnej podmiotom, o których mowa w art. 12 ust. 1 pkt 2 i 3. 4. Prezes Prokuratorii Generalnej dokonuje przeglądu danych osobowych pod względem niezbędności ich przechowywania: 1) co 2 lata - w odniesieniu do danych przetwarzanych w związku z realizacją przez Prezesa Prokuratorii Generalnej zadań, o których mowa w ustawie z dnia 16 grudnia 2016 r. o zasadach zarządzania mieniem państwowym; 2) co 10 lat - w odniesieniu do danych przetwarzanych w związku z realizacją przez Prokuratorię Generalną lub Prezesa Prokuratorii Generalnej pozostałych zadań ustawowych. 5. Prezes Prokuratorii Generalnej na wniosek osoby, której dane dotyczą, informuje o ograniczeniach, o których mowa w ust. 1-3. 6. Obowiązek zachowania tajemnicy Prokuratorii Generalnej, o której mowa w rozdziale 4, nie ustaje w przypadku gdy z żądaniem ujawnienia informacji uzyskanych przez Prokuratorię Generalną w związku z dokonaniem czynności, o których mowa w art. 38 ust. 1, występuje Prezes Urzędu Ochrony Danych Osobowych.

Art. 150.

W ustawie z dnia 16 grudnia 2016 r. o zasadach zarządzania mieniem państwowym po art. 8 dodaje się art. 8a w brzmieniu:

Art. 8a. 1. Kancelaria Prezesa Rady Ministrów prowadzi listę: 1) członków organów zarządzających i nadzorczych spółek oraz pełnomocników wspólnika, o którym mowa w art. 11 ust. 2 ustawy z dnia 30 sierpnia 1996 r. o komercjalizacji i niektórych uprawnieniach pracowników; 2) osób będących akcjonariuszami spółek z udziałem Skarbu Państwa reprezentującymi co najmniej jedną dwudziestą kapitału zakładowego; 3) osób, które złożyły egzamin, o którym mowa w art. 19 ust. 1 pkt 1 lit. h-j, oraz osób, które uzyskały uprawnienia do zasiadania w organach nadzorczych na podstawie wcześniej obowiązujących przepisów. 2. Kancelaria Prezesa Rady Ministrów oraz podmioty, o których mowa w art. 8 ust. 1, są współadministratorami danych osobowych osób, o których mowa w ust. 1 pkt 1 i 2, w zakresie wykonywania uprawnień przekazanych przez Prezesa Rady Ministrów. Wzajemne prawa i obowiązki współadministratorów określa porozumienie. 3. Kancelaria Prezesa Rady Ministrów może udostępnić podmiotom, o których mowa w art. 8 ust. 1, dane osobowe osób, o których mowa w ust. 1 pkt 3, w zakresie niezbędnym do wykonywania przez te podmioty uprawnień przekazanych przez Prezesa Rady Ministrów.

Art. 151.

W ustawie z dnia 16 grudnia 2016 r. - Przepisy wprowadzające ustawę o zasadach zarządzania mieniem państwowym po art. 109 dodaje się art. 109a w brzmieniu:

Art. 109a. Minister właściwy do spraw gospodarki może powierzyć, w drodze porozumienia, Kancelarii Prezesa Rady Ministrów wykonywanie zadań związanych z wdrożeniem, utrzymaniem i rozwojem systemu teleinformatycznego wspierającego wykonywanie umów, o których mowa w art. 109.

Art. 152.

W ustawie z dnia 9 marca 2017 r. o wymianie informacji podatkowych z innymi państwami wprowadza się następujące zmiany:

1) w art. 6 dotychczasową treść oznacza się jako ust. 1 i dodaje się ust. 2 w brzmieniu:

1. Dane osobowe przetwarzane w celu wykonywania zadań wynikających z ustawy podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu przez administratora danych do przetwarzania danych osobowych wyłącznie osób do tego uprawnionych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy; 3) regularnym testowaniu i doskonaleniu stosowanych środków technicznych i organizacyjnych; 4) zapewnieniu bezpiecznej komunikacji w sieciach teleinformatycznych, w szczególności poprzez zagwarantowanie, by proces pozyskiwania i przekazywania danych osobowych podmiotom zewnętrznym wykorzystywał techniki kryptograficzne; 5) zapewnieniu ochrony przed nieuprawnionym dostępem do systemów informatycznych; 6) zapewnieniu integralności danych w systemach informatycznych; 7) określeniu zasad bezpieczeństwa przetwarzanych danych osobowych.

2) w art. 30 ust. 1 otrzymuje brzmienie:

1. Raportująca instytucja finansowa wykonuje obowiązki, o których mowa w art. 13 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) , w terminie pozwalającym na zrealizowanie przez osobę raportowaną jej uprawnień, określonych w art. 15-20 tego rozporządzenia, przed przekazaniem informacji, o których mowa w art. 33 ust. 1 oraz art. 36 ust. 1.

Art. 153.

W ustawie z dnia 9 marca 2017 r. o systemie monitorowania drogowego i kolejowego przewozu towarów w art. 4 uchyla się ust. 6.

Art. 154.

W ustawie z dnia 21 kwietnia 2017 r. o zwalczaniu dopingu w sporcie wprowadza się następujące zmiany:

1) w art. 5 w ust. 1 po pkt 3 dodaje się pkt 3a w brzmieniu:

3a) prowadzenie czynności wyjaśniających zmierzających do ustalenia odpowiedzialności dyscyplinarnej za doping w sporcie zawodnika lub, w przypadkach, o których mowa w art. 3 ust. 1 pkt 5-9, osoby pomagającej w przygotowaniu do współzawodnictwa sportowego;

2) po art. 27 dodaje się art. 27a w brzmieniu:

Art. 27a. W związku z planowaniem i przeprowadzaniem kontroli antydopingowej w okresie podczas zawodów oraz w okresie poza nimi, Agencja przetwarza następujące dane osobowe kontrolerów: 1) wizerunek twarzy; 2) płeć; 3) podpis; 4) adres poczty elektronicznej; 5) numer telefonu; 6) informacje o realizowanej dotychczas kontroli antydopingowej.

3) w art. 29:

1. Agencja, przeprowadzając kontrolę antydopingową w okresie podczas zawodów lub w okresie poza nimi, wykonuje zadanie realizowane w interesie publicznym, którego celem jest zapewnienie uczciwości współzawodnictwa sportowego, ujawnienie przestępstw, o których mowa w art. 48 ust. 1 i art. 49, oraz ochrona zdrowia zawodników.

3a. Dane osobowe zawodników podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazaniu, polegającym co najmniej na dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych oraz pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy.

1. Dane osobowe zawodników mogą być przetwarzane w systemie teleinformatycznym. 5. Agencja przechowuje dane osobowe zawodników przez okres niezbędny do zakończenia czynności związanych z kontrolą antydopingową oraz ustaleniem odpowiedzialności dyscyplinarnej za doping w sporcie, nie dłużej jednak niż przez okres 10 lat od dnia ich uzyskania. 6. Dane osobowe zawodników, o których mowa w ust. 2 pkt 1, 2, 8, 13 i 18, Agencja może przechowywać przez okres dłuższy niż określony w ust. 5, jeżeli są one niezbędne dla ustalenia odpowiedzialności dyscyplinarnej za doping w sporcie. 7. Nie rzadziej niż co 18 miesięcy Agencja dokonuje weryfikacji zgromadzonych danych osobowych zawodników, z wyjątkiem danych, o których mowa w ust. 6, które Agencja weryfikuje nie rzadziej niż co 10 lat. 8. Z zastrzeżeniem ust. 6, po upływie terminu, o którym mowa w ust. 5, lub po przeprowadzeniu weryfikacji, o której mowa w ust. 7, zgromadzone dane osobowe zawodników lub dane takie uznane za zbędne podlegają protokolarnemu i komisyjnemu zniszczeniu, które zarządza Dyrektor Agencji.

1. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) , nie wpływa na realizację zadania, o którym mowa w ust. 1.

Art. 155.

W ustawie z dnia 11 maja 2017 r. o biegłych rewidentach, firmach audytorskich oraz nadzorze publicznym wprowadza się następujące zmiany:

1) po art. 2 dodaje się art. 2a i art. 2b w brzmieniu:

Art. 2a. Polska Izba Biegłych Rewidentów jest administratorem danych przetwarzanych w celach realizacji zadań lub obowiązków przez organy samorządu biegłych rewidentów, związanych z działalnością Komisji Egzaminacyjnej, zwanej dalej „Komisją”, oraz organizacją egzaminów dla kandydatów na biegłych rewidentów. Art. 2b. 1. Dane osobowe przetwarzane w celu realizacji zadań lub obowiązków określonych w ustawie i rozporządzeniu nr 537/2014 podlegają przeglądowi nie rzadziej niż co 5 lat od dnia ich uzyskania. 2. Dane osobowe podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na: 1) dopuszczeniu przez administratora danych do przetwarzania danych osobowych wyłącznie osób do tego uprawnionych; 2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy; 3) regularnym testowaniu i doskonaleniu stosowanych środków technicznych i organizacyjnych; 4) zapewnieniu bezpiecznej komunikacji w sieciach teleinformatycznych; 5) zapewnieniu ochrony przed nieuprawnionym dostępem do systemów informatycznych; 6) zapewnieniu integralności danych w systemach informatycznych; 7) określeniu zasad bezpieczeństwa przetwarzanych danych osobowych. 3. Obowiązek zachowania tajemnicy, o której mowa w art. 78 i art. 95, nie ustaje w przypadku, gdy z żądaniem ujawnienia informacji uzyskanych w związku z wykonywaniem zawodu biegłego rewidenta albo wykonywaniem zadań przez podmioty, o których mowa w tych przepisach, występuje Prezes Urzędu Ochrony Danych Osobowych.

2) w art. 4 w ust. 2 w pkt 5 w części wspólnej skreśla się wyrazy „Egzaminacyjną, zwaną dalej „Komisją” „.

Art. 156.

W ustawie z dnia 27 października 2017 r. o podstawowej opiece zdrowotnej art. 20 otrzymuje brzmienie:

Art. 20. Świadczeniodawca udzielający świadczeń z zakresu podstawowej opieki zdrowotnej jest obowiązany do przetwarzania, przechowywania i udostępniania danych osobowych zawartych w deklaracji wyboru oraz w informacjach, o których mowa w art. 16-18, zgodnie z przepisami ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta oraz przepisami o ochronie danych osobowych.

Art. 157.

W ustawie z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu wprowadza się następujące zmiany:

1) w art. 34 uchyla się ust. 6;

2) art. 66 otrzymuje brzmienie:

Art. 66. Do przetwarzania danych osobowych zgromadzonych w Rejestrze nie stosuje się przepisów art. 15 ust. 1 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) .

Art. 158.

W ustawie z dnia 6 marca 2018 r. o Centralnej Ewidencji i Informacji o Działalności Gospodarczej i Punkcie Informacji dla Przedsiębiorcy uchyla się art. 50.

Art. 159.

W ustawie z dnia 22 marca 2018 r. o komornikach sądowych wprowadza się następujące zmiany:

1) w art. 158 ust. 3 otrzymuje brzmienie:

1. Minister Sprawiedliwości jest administratorem systemu teleinformatycznego służącego do przetwarzania danych osobowych zawartych w dokumentacji, o której mowa w art. 155 ust. 1 i art. 156.

2) po art. 159 dodaje się art. 159a w brzmieniu:

Art. 159a. 1. Dane osobowe zawarte w systemie teleinformatycznym, utworzonym do dnia 1 stycznia 2021 r., o którym mowa w art. 158 ust. 1, podlegają z dniem uruchomienia systemu zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu, w szczególności poprzez stosowanie proporcjonalnych środków technicznych i organizacyjnych gwarantujących zapewnienie ochrony przed nieuprawnionym dostępem do systemu teleinformatycznego. 2. Administratorami danych znajdujących się w systemie są komornicy w zakresie, w jakim dane te dotyczą prowadzonych przez nich spraw.

3) po art. 164 dodaje się art. 164a w brzmieniu:

Art. 164a. 1. Wykonując obowiązek, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) , zwanego dalej „rozporządzeniem 2016/679”, komornik: 1) przekazuje osobie, której dane dotyczą, informacje, o których mowa w art. 13 ust. 1 lit. a i c rozporządzenia 2016/679, podczas pozyskiwania od niej tych danych; 2) udostępnia w miejscu publicznie dostępnym w siedzibie kancelarii lub na stronie internetowej kancelarii pozostałe podlegające udostępnieniu informacje, o czym informuje osobę, której dane dotyczą, podczas pozyskiwania od niej danych osobowych. 2. Obowiązki wynikające z art. 15 rozporządzenia 2016/679 realizowane są na zasadach określonych w art. 9 ustawy z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego i wyłącznie w zakresie, w jakim nie narusza to obowiązku zachowania przez komornika tajemnicy zawodowej, o której mowa w art. 27. 3. W zakresie prowadzonych postępowań lub czynności podejmowanych przez komornika na podstawie art. 3 ust. 3 i ust. 4 pkt 1 i 2 ustawy, przepis art. 16 rozporządzenia 2016/679 stosuje się wyłącznie w zakresie i na zasadach przewidzianych w ustawie z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego. 4. W ramach wykonywania przez komornika zadań, o których mowa w art. 3 ust. 3 i ust. 4 pkt 1 i 2, skorzystanie przez daną osobę z prawa do ograniczenia przetwarzania danych osobowych, o którym mowa w art. 18 ust. 1 rozporządzenia 2016/679, odbywa się wyłącznie w sposób przewidziany w art. 767 ustawy z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego.

Art. 160.

W ustawie z dnia 9 maja 2018 r. o zmianie ustawy - Prawo o ruchu drogowym oraz niektórych innych ustaw po art. 16 dodaje się art. 16a w brzmieniu:

Art. 16a. Do dnia wskazanego w komunikacie, o którym mowa w art. 16 ust. 2, policjant zatrzyma prawo jazdy za pokwitowaniem w razie przekroczenia przez kierującego pojazdem liczby 24 punktów otrzymanych za naruszenia, o których mowa w art. 130 ustawy zmienianej w art. 1. Przepisy art. 135 ust. 2, art. 136 ust. 1 i 1a oraz art. 139 ustawy zmienianej w art. 1 stosuje się odpowiednio.

Art. 161.

W ustawie z dnia 10 maja 2018 r. o ochronie danych osobowych wprowadza się następujące zmiany:

1) po art. 5 dodaje się art. 5a w brzmieniu:

Art. 5a. 1. Administrator, który otrzymał dane osobowe od podmiotu realizującego zadanie publiczne, nie wykonuje obowiązków, o których mowa w art. 15 ust. 1-3 rozporządzenia 2016/679, w przypadku gdy podmiot przekazujący dane osobowe wystąpił z żądaniem w tym zakresie ze względu na konieczność prawidłowego wykonania zadania publicznego mającego na celu: 1) zapobieganie przestępczości, wykrywanie lub ściganie czynów zabronionych lub wykonywanie kar, w tym ochronę przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganie takim zagrożeniom; 2) ochronę interesów gospodarczych i finansowych państwa obejmującą w szczególności: a) realizację i dochodzenie dochodów z podatków, opłat, niepodatkowych należności budżetowych oraz innych należności, b) wykonywanie egzekucji administracyjnej należności pieniężnych i niepieniężnych oraz wykonywanie zabezpieczenia należności pieniężnych i niepieniężnych, c) przeciwdziałanie wykorzystywaniu działalności banków i instytucji finansowych do celów mających związek z wyłudzeniami skarbowymi, d) ujawnianie i odzyskiwanie mienia zagrożonego przepadkiem w związku z przestępstwami, e) prowadzenie kontroli, w tym kontroli celno-skarbowych. 2. W przypadku, o którym mowa w ust. 1, administrator udziela odpowiedzi na żądanie wniesione na podstawie art. 15 rozporządzenia 2016/679 w sposób, który uniemożliwia ustalenie, że administrator przetwarza dane osobowe otrzymane od podmiotu wykonującego zadanie publiczne.

2) po art. 6 dodaje się art. 6a w brzmieniu:

Art. 6a. 1. Do przetwarzania danych osobowych w ramach wykonywania konstytucyjnych i ustawowych kompetencji Prezydenta Rzeczypospolitej Polskiej, w zakresie nieobjętym bezpieczeństwem narodowym, stosuje się odpowiednio przepisy art. 4-7, art. 11, art. 12, art. 16, art. 17, art. 24 ust. 1 i 2, art. 25 ust. 1 i 2, art. 28-30, art. 32, art. 34, art. 35, art. 37-39 i art. 86 rozporządzenia 2016/679 oraz przepisy art. 6 i art. 11 ustawy. 2. Przetwarzanie danych, o których mowa w art. 9 i art. 10 rozporządzenia 2016/679, następuje w zakresie niezbędnym do realizacji konstytucyjnych i ustawowych kompetencji Prezydenta Rzeczypospolitej Polskiej, jeżeli prawa lub wolności osoby, której dane dotyczą, nie są nadrzędne w stosunku do realizacji zadań wynikających z tych kompetencji.

3) po art. 11 dodaje się art. 11a w brzmieniu:

Art. 11a. 1. Podmiot, który wyznaczył inspektora, może wyznaczyć osobę zastępującą inspektora w czasie jego nieobecności, z uwzględnieniem kryteriów, o których mowa w art. 37 ust. 5 i 6 rozporządzenia 2016/679. 2. W związku z wykonywaniem obowiązków inspektora w czasie jego nieobecności do osoby go zastępującej stosuje się odpowiednio przepisy dotyczące inspektora. 3. Podmiot, który wyznaczył osobę zastępującą inspektora, zawiadamia Prezesa Urzędu o jej wyznaczeniu w trybie określonym w art. 10 oraz udostępnia jej dane zgodnie z art. 11.

4) w art. 57 ust. 1 otrzymuje brzmienie:

1. Administrator może wystąpić do Prezesa Urzędu z wnioskiem o przeprowadzenie uprzednich konsultacji, o których mowa w art. 36 rozporządzenia 2016/679.

5) po art. 101 dodaje się art. 101a w brzmieniu:

Art. 101a. 1. W związku z toczącym się postępowaniem w sprawie nałożenia administracyjnej kary pieniężnej, podmiot, o którym mowa w art. 101, jest obowiązany do dostarczenia Prezesowi Urzędu, na każde jego żądanie, w terminie 30 dni od dnia otrzymania żądania, danych niezbędnych do określenia podstawy wymiaru administracyjnej kary pieniężnej. 2. W przypadku niedostarczenia danych przez podmiot, o którym mowa w art. 101, lub gdy dostarczone przez ten podmiot dane uniemożliwiają ustalenie podstawy wymiaru administracyjnej kary pieniężnej, Prezes Urzędu ustala podstawę wymiaru administracyjnej kary pieniężnej w sposób szacunkowy uwzględniając wielkość podmiotu, specyfikę prowadzonej przez niego działalności lub ogólnie dostępne dane finansowe dotyczące podmiotu.

6) w art. 108 dotychczasową treść oznacza się jako ust. 1 i dodaje się ust. 2 w brzmieniu:

1. Tej samej karze podlega kto, w związku z toczącym się postępowaniem w sprawie nałożenia administracyjnej kary pieniężnej, nie dostarcza danych niezbędnych do określenia podstawy wymiaru administracyjnej kary pieniężnej lub dostarcza dane, które uniemożliwiają ustalenie podstawy wymiaru administracyjnej kary pieniężnej.

Art. 162.

W ustawie z dnia 20 lipca 2018 r. - Prawo o szkolnictwie wyższym i nauce wprowadza się następujące zmiany:

1) w art. 176 pkt 1 otrzymuje brzmienie:

1) art. 24 ust. 9, art. 177-180, art. 182-226, art. 259-262, art. 264, art. 266, art. 267 ust. 1, art. 268-270, art. 322, art. 343, art. 345, art. 346, art. 348-350, art. 351 ust. 4, art. 354, art. 355, art. 360-362, art. 408, art. 409 ust. 2-5, art. 410, art. 411, art. 420, art. 423, art. 425-428, art. 432, art. 469a i art. 469b;

2) w art. 258 uchyla się ust. 3;

3) po dziale XIV dodaje się dział XIVa w brzmieniu:

Dział XIVa Przetwarzanie danych osobowych Art. 469a. Obowiązek wynikający z realizacji żądania zgłoszonego na podstawie art. 16 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) , zwanego dalej „rozporządzeniem 2016/679”, wykonuje podmiot, który pozyskał dane od osoby, której dane dotyczą. Art. 469b. 1. Do przetwarzania danych osobowych przez podmioty, o których mowa w art. 7 ust. 1 pkt 1 i 4-7, do celów badań naukowych i prac rozwojowych wyłącza się stosowanie przepisów art. 15, art. 16, art. 18 i art. 21 rozporządzenia 2016/679, jeżeli zachodzi prawdopodobieństwo, że prawa określone w tych przepisach uniemożliwią lub poważnie utrudnią realizację celów badań naukowych i prac rozwojowych, i jeżeli wyłączenia te są konieczne do realizacji tych celów. 2. W zakresie niezbędnym do prowadzenia badań naukowych i prac rozwojowych dopuszcza się przetwarzanie danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzanie danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby, pod warunkiem że publikowanie wyników tych badań i prac następuje w sposób uniemożliwiający identyfikację osoby fizycznej, której dane zostały przetworzone. 3. Przy przetwarzaniu danych osobowych, o których mowa w ust. 1 i 2, administrator danych wdraża odpowiednie zabezpieczenia techniczne i organizacyjne praw i wolności osób fizycznych, których dane osobowe są przetwarzane, zgodnie z rozporządzeniem 2016/679, w szczególności przez pseudonimizację albo szyfrowanie danych, nadawanie uprawnień do ich przetwarzania minimalnej liczbie osób niezbędnych do prowadzenia badań naukowych i prac rozwojowych, kontrolę dostępu do pomieszczeń, w których przechowywane są dokumenty zawierające dane osobowe, oraz opracowanie procedury określającej sposób zabezpieczenia danych. 4. Dane osobowe, o których mowa w ust. 1 i 2, poddaje się anonimizacji niezwłocznie po osiągnięciu celu badań naukowych lub prac rozwojowych. Do tego czasu dane, które można wykorzystać do identyfikacji danej osoby fizycznej, zapisuje się osobno. Można je łączyć z informacjami szczegółowymi dotyczącymi danej osoby fizycznej wyłącznie, jeżeli wymaga tego cel badań naukowych lub prac rozwojowych. 5. Do przetwarzania danych osobowych w celu przygotowania pracy dyplomowej lub rozprawy doktorskiej wymaganej do uzyskania odpowiednio dyplomu ukończenia studiów lub stopnia naukowego przepisy ust. 1-4 stosuje się.

Art. 163.

Art. 164.

Dotychczasowe przepisy wykonawcze wydane na podstawie:

1) art. 14g ust. 5 ustawy zmienianej w art. 20 zachowują moc do dnia wejścia w życie przepisów wykonawczych wydanych na podstawie art. 14g ust. 3 ustawy zmienianej w art. 20, w brzmieniu nadanym niniejszą ustawą, jednak nie dłużej niż przez okres 24 miesięcy od dnia wejścia w życie niniejszej ustawy;

2) art. 21 ust. 3 ustawy zmienianej w art. 33 zachowują moc do dnia wejścia w życie przepisów wykonawczych wydanych na podstawie art. 21 ust. 3 ustawy zmienianej w art. 33, w brzmieniu nadanym niniejszą ustawą, jednak nie dłużej niż przez okres 12 miesięcy od dnia wejścia w życie niniejszej ustawy;

3) art. 6 ust. 3 ustawy zmienianej w art. 55 zachowują moc do dnia wejścia w życie przepisów wykonawczych wydanych na podstawie art. 6 ust. 11 ustawy zmienianej w art. 55, w brzmieniu nadanym niniejszą ustawą, jednak nie dłużej niż przez okres 12 miesięcy od dnia wejścia w życie niniejszej ustawy;

4) art. 33 ust. 5 ustawy zmienianej w art. 75 zachowują moc do dnia wejścia w życie przepisów wykonawczych wydanych na podstawie art. 33 ust. 5 ustawy zmienianej w art. 75, jednak nie dłużej niż przez okres 12 miesięcy od dnia wejścia w życie niniejszej ustawy;

5) art. 38 ust. 9 ustawy zmienianej w art. 138 zachowują moc do dnia wejścia w życie przepisów wykonawczych wydanych na podstawie art. 38 ust. 9 ustawy zmienianej w art. 138, jednak nie dłużej niż przez okres 12 miesięcy od dnia wejścia w życie niniejszej ustawy.

Art. 165.

Uchwały wydane przed dniem wejścia w życie niniejszej ustawy na podstawie art. 6n ustawy zmienianej w art. 37 zachowują moc do czasu wydania uchwał na podstawie art. 6n ustawy zmienianej w art. 37, w brzmieniu nadanym niniejszą ustawą, jednak nie dłużej niż przez okres 12 miesięcy od dnia wejścia w życie niniejszej ustawy.

Art. 166.

Przepis art. 143e ustawy zmienianej w art. 72 stosuje się do postępowań o udzielenie zamówienia publicznego wszczętych po wejściu w życie niniejszej ustawy.

Art. 167.

Sprawy wszczęte i niezakończone przed dniem wejścia w życie art. 13a ustawy zmienianej w art. 87 niniejszej ustawy prowadzi się na podstawie przepisów dotychczasowych.

Art. 168.

Przepisy art. 130a i art. 131 ustawy zmienianej w art. 129, w brzmieniu nadanym niniejszą ustawą, stosuje się odpowiednio do aktów urodzenia i aktów małżeństwa sporządzonych w księdze stanu cywilnego dotyczących osób, dla których nie sporządzono aktu zgonu lub nie zarejestrowano informacji o zgonie, jeżeli księgi urodzeń i księgi małżeństw, w których sporządzono te akty, zostały przekazane do właściwego archiwum państwowego na podstawie art. 128 ustawy zmienianej w art. 129, w brzmieniu dotychczasowym.

Art. 169.

W sprawach wszczętych na podstawie art. 57 ustawy zmienianej w art. 161, w brzmieniu dotychczasowym, i niezakończonych przed dniem wejścia w życie niniejszej ustawy, uprzednich konsultacji nie udziela się, a wszczęte postępowania umarza się.

Art. 170.

Rejestr centralny utworzony na podstawie art. 4 ust. 4 ustawy zmienianej w art. 75, zawierający dane osób, o których mowa w art. 4 ust. 5a ustawy zmienianej w art. 75, staje się rejestrem centralnym, o którym mowa w art. 4 ust. 4a ustawy zmienianej w art. 75.

Art. 171.

Podmioty, o których mowa w art. 4 ust. 5k ustawy zmienianej w art. 75, spełnią zabezpieczenia określone w art. 4 ust. 5d ustawy zmienianej w art. 75 w terminie 6 miesięcy od dnia wejścia w życie niniejszej ustawy.

Art. 172.

Art. 173.

Ustawa wchodzi w życie po upływie 14 dni od dnia ogłoszenia, z wyjątkiem:

1) art. 87 pkt 1, który wchodzi w życie po upływie 90 dni od dnia ogłoszenia;

2) art. 107 pkt 7 i 8, które wchodzą w życie z dniem 1 maja 2019 r.;

3) art. 157 pkt 2, który wchodzi w życie z dniem 13 października 2019 r.