Ustawa o ochronie danych osobowych

[Jakubin Kovalinov]

Ustawa o ochronie danych osobowych

z 20 września 2026 r.


Najwyższy Kongres Ludowy Drackiej Republiki Ludowo-Demokratycznej uchwala, co następuje:

Rozdział I
Przepisy ogólne

Art. 1.
Ustawa określa zasady ochrony danych osobowych osób fizycznych, zasady ich przetwarzania oraz prawa osób, których dane dotyczą.
Ustawa ma na celu zapewnienie każdemu ochrony jego prywatności, godności oraz danych osobowych przy jednoczesnym zapewnieniu Państwu możliwości wykonywania zadań publicznych.
Przepisy ustawy stosuje się z poszanowaniem Konstytucji Drackiej Republiki Ludowo-Demokratycznej.

Art. 2.
Każdy ma prawo do ochrony swoich danych osobowych.
Organy Państwa, przedsiębiorstwa, organizacje, instytucje i inne podmioty przetwarzające dane osobowe są obowiązane zapewnić ich ochronę przed nieuprawnionym dostępem, wykorzystaniem, zmianą, ujawnieniem lub utratą.
Ograniczenie prawa do ochrony danych osobowych może nastąpić wyłącznie na podstawie Konstytucji i ustawy.

Art. 3.
Ilekroć w ustawie jest mowa o:

• danych osobowych – rozumie się przez to każdą informację pozwalającą bezpośrednio lub pośrednio ustalić tożsamość osoby;

• osobie, której dane dotyczą – rozumie się przez to osobę fizyczną, której dane osobowe są przetwarzane;

• przetwarzaniu danych – rozumie się przez to w szczególności zbieranie, utrwalanie, przechowywanie, porządkowanie, modyfikowanie, wykorzystywanie, udostępnianie lub usuwanie danych;

• administratorze danych – rozumie się przez to podmiot określający cele i sposoby przetwarzania danych osobowych;

• podmiocie przetwarzającym – rozumie się przez to podmiot przetwarzający dane w imieniu administratora;

• organie ochrony danych – rozumie się przez to organ państwowy właściwy w sprawach ochrony danych osobowych;

• incydencie naruszenia danych – rozumie się przez to zdarzenie prowadzące do nieuprawnionego ujawnienia, utraty, zmiany lub dostępu do danych osobowych.

Rozdział II
Zasady przetwarzania danych osobowych

Art. 4.
Dane osobowe mogą być przetwarzane wyłącznie w celu zgodnym z prawem.
Administrator danych jest obowiązany określić cel przetwarzania danych przed ich zebraniem.
Dane nie mogą być wykorzystywane w sposób niezgodny z celem, dla którego zostały zgromadzone, z wyjątkiem przypadków określonych ustawą.

Art. 5.
Dane osobowe muszą być:

• przetwarzane zgodnie z prawem;

• zbierane dla określonych i uzasadnionych celów;

• adekwatne do celu ich przetwarzania;

• prawidłowe i aktualne;

• przechowywane przez okres nie dłuższy, niż jest to konieczne;

• chronione przed nieuprawnionym dostępem.

• Administrator danych ponosi odpowiedzialność za przestrzeganie zasad określonych w ust. 1.

Art. 6.
Przetwarzanie danych osobowych jest dopuszczalne, jeżeli:

• osoba, której dane dotyczą, wyraziła na to zgodę;

• przetwarzanie jest niezbędne do wykonania obowiązku wynikającego z ustawy;

• jest niezbędne do wykonania zadania publicznego;

• jest niezbędne do ochrony życia lub zdrowia osoby;

• jest niezbędne do wykonania umowy;

jest niezbędne do ochrony prawnie uzasadnionego interesu administratora, o ile nie narusza praw i wolności osoby.
W przypadku organów Państwa przetwarzanie danych może odbywać się również w zakresie niezbędnym do wykonywania konstytucyjnych i ustawowych kompetencji.

Art. 7.
Zgoda na przetwarzanie danych musi być dobrowolna, świadoma i jednoznaczna.
Osoba może w każdym czasie cofnąć zgodę.
Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.
Jeżeli zgoda została uzyskana poprzez wprowadzenie w błąd, groźbę lub wykorzystanie zależności osoby, uznaje się ją za nieważną.

Rozdział III
Szczególnie chronione dane osobowe

Art. 8.
Szczególnej ochronie podlegają dane dotyczące:

• zdrowia;

• życia prywatnego;

• przekonań religijnych lub ich braku;

• poglądów politycznych;

• orientacji seksualnej;

• pochodzenia etnicznego;

• danych genetycznych;

• danych biometrycznych;

• karalności i postępowań karnych.

• Przetwarzanie danych, o których mowa w ust. 1, jest dopuszczalne wyłącznie w przypadkach określonych w ustawie.

Art. 9.
Dane szczególnie chronione mogą być przetwarzane bez zgody osoby, jeżeli jest to niezbędne:

• do ochrony życia lub zdrowia;

• do wykonywania obowiązków organów wymiaru sprawiedliwości;

• do zapewnienia bezpieczeństwa Państwa;

• do wykonywania ustawowych zadań organów Państwa;

• w innych przypadkach określonych odrębnymi ustawami.
  Przetwarzanie danych szczególnie chronionych musi być ograniczone do zakresu niezbędnego dla osiągnięcia celu.

Rozdział IV
Prawa osoby, której dane dotyczą

Art. 10.
Każda osoba ma prawo do:

• informacji o przetwarzaniu jej danych;

• dostępu do własnych danych;

• żądania sprostowania nieprawidłowych danych;

• żądania usunięcia danych w przypadkach określonych ustawą;

• ograniczenia przetwarzania danych;

• sprzeciwu wobec przetwarzania danych w przypadkach określonych ustawą;

• otrzymania kopii swoich danych;

• wniesienia skargi do organu ochrony danych;

• dochodzenia swoich praw przed właściwym sądem.

Art. 11.
Administrator danych na żądanie osoby udziela informacji o:

• celu przetwarzania danych;

• zakresie przetwarzanych danych;

• okresie ich przechowywania;

• podmiotach, którym dane zostały udostępnione;

• podstawie prawnej przetwarzania.
  Informacji udziela się w sposób zrozumiały i dostępny dla osoby, której dane dotyczą.

Art. 12.
Osoba ma prawo żądać niezwłocznego sprostowania danych nieprawidłowych lub niekompletnych.
Administrator jest obowiązany dokonać sprostowania bez zbędnej zwłoki, jeżeli żądanie jest uzasadnione.

Art. 13.
Osoba może żądać usunięcia danych osobowych, jeżeli:

• dane nie są już potrzebne do celu, dla którego zostały zebrane;

• przetwarzanie odbywa się bez podstawy prawnej;

• osoba skutecznie cofnęła zgodę;

• usunięcie danych jest wymagane przepisami prawa.

• Prawo do usunięcia danych nie przysługuje, jeżeli ich zachowanie jest niezbędne do:

• wykonywania obowiązków Państwa;

• prowadzenia postępowania sądowego;

• zapobiegania lub wykrywania przestępstw;

• ochrony bezpieczeństwa Państwa;

• ochrony życia lub zdrowia;

• realizacji innych prawnie uzasadnionych celów określonych ustawą.

Rozdział V
Dane osobowe w administracji Państwowej

Art. 14.
Organy Państwa mogą przetwarzać dane osobowe wyłącznie w zakresie niezbędnym do wykonywania ich ustawowych kompetencji.
Organ Państwa nie może żądać od obywatela danych, które nie są niezbędne do realizacji konkretnego zadania.
Organy Państwa są obowiązane zabezpieczać dane przed nieuprawnionym dostępem.

Art. 15.
Organy Państwa mogą wymieniać dane osobowe między sobą, jeżeli:
wymiana jest przewidziana prawem;
jest niezbędna do realizacji zadania publicznego;
służy ochronie życia, zdrowia lub bezpieczeństwa Państwa.
Każde udostępnienie danych powinno być możliwe do ustalenia i kontroli, z wyjątkiem przypadków, w których odrębna ustawa stanowi inaczej ze względu na bezpieczeństwo Państwa.

Art. 16.
Dane zgromadzone przez organy Państwa przechowuje się przez okres niezbędny do realizacji celu, dla którego zostały zebrane.
Po upływie tego okresu dane usuwa się, anonimizuje albo archiwizuje zgodnie z przepisami prawa.
Dane archiwalne podlegają szczególnej ochronie.

Rozdział VI
Bezpieczeństwo danych

Art. 17.
Administrator danych jest obowiązany stosować środki techniczne i organizacyjne zapewniające bezpieczeństwo danych.
Środki te powinny uwzględniać w szczególności:

• zakres i charakter danych;

• ryzyko nieuprawnionego dostępu;

• możliwość utraty danych;

• możliwość ich nieuprawnionej zmiany;

• zagrożenia cybernetyczne.
  Dostęp do danych otrzymują wyłącznie osoby posiadające odpowiednie uprawnienia.

Art. 18.
Każdy administrator danych jest obowiązany prowadzić ewidencję osób posiadających dostęp do szczególnie chronionych danych.
Dostęp do danych powinien być ograniczony do zakresu niezbędnego do wykonywania obowiązków służbowych.
Zabrania się wykorzystywania danych osobowych do celów prywatnych lub niezwiązanych z wykonywanymi obowiązkami.

Art. 19.
W przypadku naruszenia bezpieczeństwa danych administrator niezwłocznie podejmuje działania mające na celu:

• powstrzymanie naruszenia;

• zabezpieczenie danych;

• ustalenie przyczyny naruszenia;

• ograniczenie jego skutków.
  Jeżeli naruszenie może powodować poważne zagrożenie dla praw lub bezpieczeństwa osób, administrator zawiadamia organ ochrony danych.

Rozdział VII
Organ Ochrony Danych Osobowych

Art. 20.
Tworzy się Państwowy Urząd Ochrony Danych Osobowych, zwany dalej „Urzędem”.
Urząd jest państwowym organem właściwym w sprawach ochrony danych osobowych.
Siedzibą Urzędu jest Wielgród.

Art. 21.

Do zadań Urzędu należy:

• kontrola przestrzegania przepisów o ochronie danych osobowych;

• rozpatrywanie skarg obywateli;

• prowadzenie postępowań w sprawach naruszeń ochrony danych;

• wydawanie decyzji w przypadkach określonych ustawą;

• prowadzenie działalności edukacyjnej;

• wydawanie wytycznych dotyczących ochrony danych;

• współpraca z organami odpowiedzialnymi za cyberbezpieczeństwo;

• prowadzenie rejestru poważnych naruszeń ochrony danych;

• przedstawianie Rządowi propozycji zmian przepisów dotyczących ochrony danych.

Art. 22.
Na czele Urzędu stoi Prezes Państwowego Urzędu Ochrony Danych Osobowych.
Prezesa powołuje i odwołuje Sekretarz Ludowy na zasadach określonych ustawą.
Prezes kieruje działalnością Urzędu i reprezentuje go na zewnątrz.
Organizację Urzędu określa ustawa oraz przepisy wydane na jej podstawie.

Art. 23.
Urząd może przeprowadzać kontrole podmiotów przetwarzających dane osobowe.
W ramach kontroli Urząd może:

• żądać przedstawienia dokumentów;

• żądać wyjaśnień;

• kontrolować stosowane zabezpieczenia;

• nakazać usunięcie stwierdzonych nieprawidłowości;

• nakazać zaprzestanie niezgodnego z prawem przetwarzania danych.
  Uprawnienia kontrolne wykonywane są z poszanowaniem Konstytucji oraz przepisów dotyczących bezpieczeństwa Państwa.

Rozdział VIII
Przetwarzanie danych przez służby Państwa

Art. 24.
Służby Państwa mogą przetwarzać dane osobowe w zakresie niezbędnym do wykonywania zadań związanych z:

• ochroną bezpieczeństwa Państwa;

• ochroną porządku publicznego;

• zapobieganiem przestępstwom;

• wykrywaniem przestępstw;

• ochroną granic Republiki;

• ochroną konstytucyjnego ustroju Republiki.
  Przetwarzanie danych przez służby odbywa się na podstawie Konstytucji i ustaw.

Art. 25.
Przepisy niniejszej ustawy nie mogą być interpretowane jako zakaz wykonywania przez organy bezpieczeństwa Państwa ich konstytucyjnych i ustawowych obowiązków.
Ograniczenie praw osoby do informacji, dostępu, usunięcia lub sprostowania danych może nastąpić, jeżeli ujawnienie informacji mogłoby:

• zagrozić bezpieczeństwu Państwa;

• utrudnić postępowanie karne;

• ujawnić metody pracy służb;

• zagrozić życiu lub zdrowiu funkcjonariusza albo innej osoby.
  Ograniczenia, o których mowa w ust. 2, stosuje się wyłącznie w zakresie niezbędnym do osiągnięcia celu.

Rozdział IX
Dane dzieci i osób wymagających szczególnej ochrony

Art. 26.
Dane osobowe dzieci podlegają szczególnej ochronie.
Podmioty przetwarzające dane dzieci są obowiązane stosować środki zapewniające szczególnie wysoki poziom bezpieczeństwa.
Przetwarzanie danych dziecka w celach innych niż wykonanie obowiązku prawnego wymaga zgody przedstawiciela ustawowego, chyba że ustawa stanowi inaczej.

Rozdział X
Przekazywanie danych poza Republikę

Art. 27.
Przekazywanie danych osobowych poza terytorium Republiki jest dopuszczalne, jeżeli zapewniona jest odpowiednia ochrona danych.
Przekazanie danych może zostać zakazane, jeżeli mogłoby zagrozić bezpieczeństwu Państwa lub prawom obywateli.
Dane dotyczące bezpieczeństwa Państwa, obronności i działalności służb mogą być przekazywane za granicę wyłącznie na zasadach określonych w odrębnych przepisach.

Rozdział XI
Odpowiedzialność

Art. 28.
Kto bez uprawnienia uzyskuje dostęp do danych osobowych, podlega odpowiedzialności określonej w przepisach prawa.
Tej samej odpowiedzialności podlega osoba, która bezprawnie:

ujawnia dane;

• wykorzystuje dane w celu innym niż dozwolony;

• zmienia lub usuwa dane;

• przekazuje dane osobie nieuprawnionej.

• Jeżeli czyn, o którym mowa w ust. 1 lub 2, dotyczy danych szczególnie chronionych albo danych o znaczeniu dla bezpieczeństwa Państwa, odpowiedzialność może być surowsza.

Art. 29.
Funkcjonariusz publiczny lub pracownik organu Państwa, który umyślnie wykorzystuje dane osobowe w celu prywatnym lub w celu uzyskania korzyści dla siebie albo innej osoby, podlega odpowiedzialności dyscyplinarnej lub karnej na zasadach określonych ustawą.
Jeżeli działanie takie powoduje poważną szkodę dla obywatela lub Państwa, stosuje się surowszą odpowiedzialność przewidzianą prawem.

Rozdział XII
Przepisy końcowe

Art. 30.
Organy Państwa, przedsiębiorstwa i inne podmioty przetwarzające dane osobowe dostosują swoje systemy i procedury do wymagań ustawy w terminie dwunastu miesięcy od dnia jej wejścia w życie.
W przypadku systemów o szczególnym znaczeniu dla bezpieczeństwa Państwa termin dostosowania może zostać określony odrębnymi przepisami.

Art. 31.
Rząd wyda przepisy wykonawcze niezbędne do wykonania ustawy, w szczególności określające:

• minimalne wymagania bezpieczeństwa danych;

• zasady prowadzenia rejestrów danych;

• procedurę zgłaszania naruszeń;

• zasady kontroli przeprowadzanych przez Urząd;

• zasady przetwarzania danych w systemach teleinformatycznych Państwa.

Art. 32.
Traci moc każda regulacja sprzeczna z niniejszą ustawą w zakresie, w jakim pozostaje z nią w sprzeczności.

Art. 33.
Ustawa wchodzi w życie po upływie 30 dni od dnia jej ogłoszenia w Dzienniku Urzędowym Drackiej Republiki Ludowo-Demokratycznej.