Ustawa o Ochronie Danych Osobowych

[Anton Talanov]

USTAWA

o ochronie danych osobowych

z dnia 24 września 2026 r.

Rozdział I

Przepisy ogólne

Art. 1.
Ustawa określa zasady ochrony danych osobowych osób fizycznych, ich przetwarzania, udostępniania, przechowywania i zabezpieczania.

Art. 2.
Celem ustawy jest zapewnienie ochrony prywatności, godności i bezpieczeństwa osób fizycznych w związku z przetwarzaniem dotyczących ich danych.

Art. 3.
Ustawę stosuje się do organów państwa, jednostek samorządu terytorialnego, przedsiębiorstw, instytucji, organizacji oraz osób fizycznych przetwarzających dane osobowe w zakresie określonym prawem.

Art. 4.
Ilekroć w ustawie jest mowa o:

1. danych osobowych, rozumie się informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej;


2. przetwarzaniu danych, rozumie się każdą czynność wykonywaną na danych osobowych;


3. administratorze danych, rozumie się podmiot określający cele i sposoby przetwarzania danych;


4. podmiocie przetwarzającym, rozumie się podmiot przetwarzający dane w imieniu administratora;


5. osobie, której dane dotyczą, rozumie się osobę fizyczną, której dane są przetwarzane;


6. naruszeniu ochrony danych, rozumie się zdarzenie prowadzące do nieuprawnionego ujawnienia, utraty, zniszczenia, zmiany lub dostępu do danych.



Rozdział II

Zasady przetwarzania danych

Art. 5.
Dane osobowe mogą być przetwarzane wyłącznie zgodnie z prawem, w określonym celu i w zakresie niezbędnym do jego realizacji.

Art. 6.
Administrator jest obowiązany zapewnić, aby przetwarzane dane były prawidłowe i aktualne.

Art. 7.
Dane nie mogą być przechowywane dłużej, niż jest to niezbędne do realizacji celu ich przetwarzania, chyba że ustawa przewiduje dłuższy okres.

Art. 8.
Administrator stosuje środki techniczne i organizacyjne zapewniające bezpieczeństwo danych odpowiednie do zagrożeń związanych z ich przetwarzaniem.

Art. 9.
Dane mogą być przetwarzane w szczególności na podstawie:

1. zgody osoby, której dane dotyczą;


2. obowiązku wynikającego z ustawy;


3. wykonywania zadania publicznego;


4. wykonania umowy;


5. ochrony życia lub zdrowia osoby;


6. prawnie uzasadnionego interesu administratora, jeżeli nie narusza on praw osoby, której dane dotyczą.



Art. 10.
Zgoda na przetwarzanie danych musi być dobrowolna, świadoma i możliwa do wycofania.

Art. 11.
Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

Rozdział III

Dane szczególnie chronione

Art. 12.
Szczególnej ochronie podlegają dane dotyczące w szczególności:

1. zdrowia;


2. pochodzenia;


3. przekonań religijnych lub światopoglądowych;


4. przynależności do organizacji;


5. życia prywatnego;


6. danych genetycznych i biometrycznych;


7. wyroków i postępowań karnych.



Art. 13.
Przetwarzanie danych szczególnie chronionych jest dopuszczalne wyłącznie w przypadkach określonych ustawą.

Art. 14.
Organy państwa mogą przetwarzać dane szczególnie chronione, jeżeli jest to niezbędne do wykonania ich ustawowych zadań i podlega odpowiednim zabezpieczeniom.

Art. 15.
Zakazuje się wykorzystywania danych szczególnie chronionych do dyskryminowania osób.

Rozdział IV

Prawa osoby, której dane dotyczą

Art. 16.
Każda osoba ma prawo uzyskać informację, czy jej dane są przetwarzane.

Art. 17.
Osoba ma prawo uzyskać dostęp do dotyczących jej danych oraz informacji o celu i sposobie ich przetwarzania.

Art. 18.
Osoba ma prawo żądać sprostowania danych nieprawidłowych lub uzupełnienia danych niekompletnych.

Art. 19.
Osoba może żądać usunięcia danych, jeżeli ich dalsze przetwarzanie nie jest niezbędne lub nie znajduje podstawy prawnej.

Art. 20.
Prawo do usunięcia danych nie ma zastosowania, jeżeli ich przechowywanie jest wymagane przez ustawę lub niezbędne do wykonywania zadań publicznych.

Art. 21.
Osoba może żądać ograniczenia przetwarzania danych w przypadkach określonych ustawą.

Art. 22.
Osoba ma prawo sprzeciwić się przetwarzaniu jej danych w przypadkach przewidzianych prawem.

Art. 23.
Administrator jest obowiązany odpowiedzieć na żądanie osoby bez zbędnej zwłoki.

Art. 24.
Odmowa realizacji prawa osoby wymaga wskazania podstawy prawnej i przyczyny odmowy.

Rozdział V

Administrator danych

Art. 25.
Administrator odpowiada za zgodne z prawem przetwarzanie danych osobowych.

Art. 26.
Administrator określa:

1. cel przetwarzania;


2. zakres danych;


3. osoby posiadające dostęp;


4. okres przechowywania;


5. środki bezpieczeństwa.



Art. 27.
Dostęp do danych mogą posiadać wyłącznie osoby upoważnione przez administratora lub posiadające takie uprawnienie na podstawie ustawy.

Art. 28.
Administrator prowadzi ewidencję osób uprawnionych do dostępu do danych.

Art. 29.
Administrator jest obowiązany przeprowadzać okresową ocenę bezpieczeństwa przetwarzania danych.

Art. 30.
Administrator ponosi odpowiedzialność za działania podmiotów, którym powierzył przetwarzanie danych, w zakresie określonym ustawą i umową.

Rozdział VI

Podmiot przetwarzający

Art. 31.
Administrator może powierzyć przetwarzanie danych innemu podmiotowi na podstawie pisemnej lub elektronicznej umowy.

Art. 32.
Umowa powierzenia określa co najmniej:

1. zakres danych;


2. cel przetwarzania;


3. czas przetwarzania;


4. zasady bezpieczeństwa;


5. zasady zwrotu lub usunięcia danych.



Art. 33.
Podmiot przetwarzający może wykorzystywać dane wyłącznie w zakresie określonym przez administratora.

Art. 34.
Administrator ma prawo kontrolować sposób przetwarzania danych przez podmiot przetwarzający.

Rozdział VII

Inspektor Ochrony Danych

Art. 35.
W organach państwa, jednostkach samorządu terytorialnego oraz innych podmiotach określonych ustawą wyznacza się Inspektora Ochrony Danych.

Art. 36.
Inspektor Ochrony Danych:

1. monitoruje przestrzeganie przepisów o ochronie danych;


2. doradza administratorowi;


3. prowadzi lub nadzoruje szkolenia;


4. współpracuje z organem nadzorczym;


5. przyjmuje zgłoszenia dotyczące ochrony danych;


6. prowadzi kontrole wewnętrzne.



Art. 37.
Inspektor wykonuje swoje zadania niezależnie i nie może ponosić negatywnych konsekwencji z powodu prawidłowego wykonywania swoich obowiązków.

Art. 38.
Dane kontaktowe Inspektora Ochrony Danych udostępnia się osobom, których dane dotyczą, oraz organowi nadzorczemu.

Rozdział VIII

Organ ochrony danych osobowych

Art. 39.
Tworzy się Dracki Urząd Ochrony Danych Osobowych, zwany dalej „DUODO”.

Art. 40.
DUODO jest centralnym organem państwowym właściwym w sprawach ochrony danych osobowych.

Art. 41.
DUODO:

1. kontroluje przestrzeganie ustawy;


2. prowadzi postępowania w sprawach naruszeń;


3. wydaje decyzje administracyjne;


4. nakazuje usunięcie naruszeń;


5. prowadzi rejestry wymagane ustawą;


6. prowadzi działalność edukacyjną;


7. przedstawia Radzie Ministrów informacje o stanie ochrony danych.



Art. 42.
Na czele DUODO stoi Prezes Drackiego Urzędu Ochrony Danych Osobowych.

Art. 43.
Prezesa DUODO powołuje i odwołuje Sekretarz Ludowy na wniosek Rady Ministrów.

Art. 44.
DUODO współpracuje z organami administracji państwowej, sądami, organami bezpieczeństwa oraz organami ochrony danych innych państw.

Rozdział IX

Naruszenia ochrony danych

Art. 45.
Administrator niezwłocznie podejmuje działania w przypadku stwierdzenia naruszenia ochrony danych.

Art. 46.
Poważne naruszenie ochrony danych podlega zgłoszeniu do DUODO.

Art. 47.
Zgłoszenie zawiera w szczególności:

1. opis naruszenia;


2. rodzaj danych;


3. liczbę osób, których dotyczy;


4. możliwe skutki;


5. zastosowane środki naprawcze.



Art. 48.
Jeżeli naruszenie może powodować poważne zagrożenie dla praw lub bezpieczeństwa osób, administrator informuje osoby, których dane dotyczą.

Art. 49.
Administrator podejmuje działania mające na celu ograniczenie skutków naruszenia i zapobieżenie jego ponownemu wystąpieniu.

Rozdział X

Bezpieczeństwo danych

Art. 50.
Podmioty przetwarzające dane stosują odpowiednie środki techniczne i organizacyjne, w szczególności kontrolę dostępu, zabezpieczenia systemów oraz kopie zapasowe.

Art. 51.
Dostęp do danych w systemach teleinformatycznych podlega rejestrowaniu w zakresie niezbędnym do zapewnienia bezpieczeństwa.

Art. 52.
Zabrania się uzyskiwania dostępu do danych bez odpowiedniego uprawnienia.

Art. 53.
Zabrania się wykorzystywania danych w celu innym niż wynikający z podstawy prawnej ich przetwarzania.

Art. 54.
Dane przechowywane elektronicznie muszą być chronione przed utratą, nieuprawnioną zmianą i nieuprawnionym dostępem.

Rozdział XI

Dane w administracji państwowej

Art. 55.
Organy państwowe mogą przetwarzać dane osobowe wyłącznie w zakresie niezbędnym do wykonywania zadań określonych prawem.

Art. 56.
Organ państwa nie może żądać od obywatela danych, które posiada już w innym państwowym rejestrze, jeżeli przepisy pozwalają na ich wykorzystanie.

Art. 57.
Wymiana danych między organami państwa odbywa się za pośrednictwem zabezpieczonych systemów teleinformatycznych.

Art. 58.
Dane państwowe podlegają ochronie również po zakończeniu postępowania lub ustaniu podstawy ich bieżącego wykorzystywania, jeżeli podlegają obowiązkowi archiwizacji.

Rozdział XII

Przekazywanie danych poza państwo

Art. 59.
Przekazywanie danych osobowych poza terytorium Dracji wymaga zapewnienia odpowiedniego poziomu ochrony danych.

Art. 60.
Przekazanie danych organom obcego państwa może nastąpić na podstawie umowy międzynarodowej, ustawy lub innej podstawy prawnej.

Art. 61.
Dane objęte tajemnicą państwową mogą być przekazywane za granicę wyłącznie na zasadach określonych w przepisach o tajemnicy państwowej.

Rozdział XIII

Kontrola i środki prawne

Art. 62.
DUODO może przeprowadzać kontrole administratorów i podmiotów przetwarzających.

Art. 63.
Kontrolujący może żądać dokumentów, informacji i wyjaśnień niezbędnych do ustalenia sposobu przetwarzania danych.

Art. 64.
W przypadku naruszenia ustawy Prezes DUODO może:

1. nakazać usunięcie naruszenia;


2. nakazać ograniczenie przetwarzania;


3. nakazać usunięcie danych;


4. nakazać zmianę zabezpieczeń;


5. nałożyć administracyjną karę pieniężną.



Art. 65.
Wysokość kary ustala się z uwzględnieniem charakteru, zakresu i skutków naruszenia, stopnia winy, czasu trwania naruszenia oraz działań podjętych w celu jego usunięcia.

Art. 66.
Od decyzji Prezesa DUODO przysługuje odwołanie do właściwego sądu na zasadach określonych w przepisach postępowania administracyjnego i sądowego.

Rozdział XIV

Odpowiedzialność

Art. 67.
Kto bez uprawnienia uzyskuje dostęp do danych osobowych, podlega odpowiedzialności określonej w Kodeksie Karnym.

Art. 68.
Kto bezprawnie ujawnia dane osobowe, podlega odpowiedzialności określonej w Kodeksie Karnym.

Art. 69.
Pracownik lub funkcjonariusz publiczny, który wykorzystuje dane osobowe niezgodnie z zakresem swoich uprawnień, podlega odpowiedzialności służbowej oraz, jeżeli czyn stanowi przestępstwo, odpowiedzialności karnej.

Rozdział XV

Przepisy końcowe

Art. 70.
Organy państwowe, przedsiębiorstwa i instytucje dostosowują istniejące systemy przetwarzania danych do wymagań niniejszej ustawy.

Art. 71.
Minister Komunikacji, w porozumieniu z Prezesem DUODO, określi w drodze rozporządzenia minimalne wymagania techniczne dla systemów służących do przetwarzania danych osobowych.

Art. 72.
Minister Komunikacji oraz Prezes DUODO współpracują przy tworzeniu standardów bezpieczeństwa danych w państwowych systemach teleinformatycznych.

Art. 73.
Przepisy niniejszej ustawy stosuje się z uwzględnieniem przepisów o informatyzacji państwa, archiwach państwowych, tajemnicy państwowej oraz postępowaniu administracyjnym.

Art. 74.
Przepisy dotyczące przetwarzania danych przez organy odpowiedzialne za bezpieczeństwo państwa stosuje się z uwzględnieniem odrębnych przepisów dotyczących ich działalności.

Art. 75.
Organy państwowe prowadzą szkolenia pracowników mających dostęp do danych osobowych.

Art. 76.
Każdy podmiot przetwarzający dane jest obowiązany prowadzić wewnętrzną dokumentację zasad ochrony danych w zakresie odpowiadającym charakterowi prowadzonego przetwarzania.

Art. 77.
Prezes DUODO przedstawia Sekretarzowi Ludowemu i Radzie Ministrów coroczne sprawozdanie o stanie ochrony danych osobowych w Dracji.

Art. 78.
W sprawach nieuregulowanych niniejszą ustawą stosuje się przepisy innych ustaw dotyczących ochrony prywatności, informatyzacji państwa i bezpieczeństwa informacji.

Art. 79.
Ustawa wchodzi w życie z dniem ogłoszenia.

Anton Talanov
Minister Gospodarki
Dnia 24 września 2026r.