DGA i ustawa o zarządzaniu danymi a RODO – nowe obowiązki administratora
Zarządzanie danymi wchodzi w kolejny etap. Po tym, jak w czerwcu 2022 r. zaczął obowiązywać unijny akt w sprawie zarządzania danymi (DGA), polski ustawodawca uzupełnił unijne rozporządzenie o niezbędne przepisy krajowe – ustawę z 27.03.2026 r. o zarządzaniu danymi, która zaczęła obowiązywać od 23 lipca br. DGA nie dotyczy danych otwartych, lecz danych chronionych znajdujących się w posiadaniu podmiotów sektora publicznego. Nowa regulacja koncentruje się na trzech obszarach: ponownym wykorzystywaniu chronionych danych będących w posiadaniu sektora publicznego, usłudze pośrednictwa danych oraz altruizmie danych.
DGA nie zastępuje RODO
DGA pozostaje bez uszczerbku dla RODO. W praktyce oznacza to, że rozporządzenie o zarządzaniu danymi nie tworzy nowej podstawy prawnej przetwarzania danych osobowych ani nie kreuje samodzielnego prawa do ich ponownego wykorzystania. Gdy w grę wchodzą dane osobowe, podstawy trzeba nadal szukać w RODO lub w innych przepisach prawa unijnego bądź krajowego.
Oba akty są więc względem siebie komplementarne: RODO reguluje zasady ochrony danych, a DGA tworzy ramy ich ponownego użycia – ale wyłącznie wtedy, gdy przetwarzanie jest dopuszczalne w świetle RODO. Prosty przykład: zanim podmiot publiczny udostępni dane do ponownego wykorzystania, musi najpierw ocenić, czy w ogóle istnieje ku temu podstawa prawna.
Ocena statusu danych
Nowe obowiązki ustawowe zaczynają się od oceny statusu danych. Zarządzający musi ustalić, czy udostępniane informacje pozwalają zidentyfikować osobę fizyczną, odnosząc to przede wszystkim do identyfikatorów z art. 4 pkt 1 RODO.
Trudność pojawia się przy zbiorach mieszanych, w których dane osobowe są nierozerwalnie powiązane z nieosobowymi. Jak wtedy rozgraniczyć oba reżimy? Kiedy dane spseudonimizowane wciąż pozostają danymi osobowymi? I jakie środki – od anonimizacji po bezpieczne środowisko przetwarzania – dobrać w zależności od skali udostępnianego zbioru? To pytania, od których zależy prawidłowość całego procesu.
Organy, zakazy i kary
Ustawa wskazuje również, kto będzie czuwał nad prawidłowością zarządzania danymi. Funkcję organu właściwego do spraw usług pośrednictwa danych oraz rejestracji organizacji altruizmu danych powierzono Prezesowi UODO – ze względu na jego doświadczenie w obszarze ochrony danych osobowych. Odrębną rolę „właściwego podmiotu”, wspierającego sektor publiczny w udostępnianiu danych, pełni Prezes GUS.
Z ponownym wykorzystywaniem informacji wiążą się też wyraźne zakazy – m.in. ponownej identyfikacji osoby, której dane dotyczą – oraz administracyjne kary pieniężne sięgające 2.000.000 zł.
Praktyczne rozgraniczenie danych osobowych i nieosobowych, zasady ich bezpiecznego przetwarzania w ramach zarządzania danymi oraz szczegółowe omówienie obowiązków administratora znajdziesz w komentarzu praktycznym autorstwa dr Joanny Łukaszyk - specjalistki ds. ochrony danych osobowych: DGA i ustawa o zarządzaniu danymi a RODO.
Komentarz krok po kroku prowadzi przez ocenę statusu danych, relacje DGA – ustawa krajowa – RODO oraz zasady ochrony danych osobowych na kolejnych etapach ponownego wykorzystywania, pośrednictwa i altruizmu danych.
