Szanowna Pani Minister,

w terminie do 25 maja 2018 r. polscy przedsiębiorcy i niektóre podmioty publiczne muszą dostosować zasady zarządzania posiadanymi danymi osobowymi i ich przetwarzania do norm rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

Pomimo uchwalenia rozporządzenia już w poprzednim roku, wciąż wiele podmiotów zarówno publicznych, jak i prywatnych nie jest jeszcze gotowych do stosowania rozporządzenia. Nierzadko przyczyną takiego stanu rzeczy jest brak świadomości jak właściwie interpretować przepisy rozporządzenia. Adresaci norm zawartych w rozporządzeniu nie zawsze zdają sobie sprawę, że celem rozporządzenia było m.in. pozostawienie administratorowi danych swobody w wyborze rozwiązań, z jednoczesnym wyraźnym zobligowaniem go do przeprowadzenia wieloaspektowej analizy oraz oceny ryzyka związanego z przetwarzaniem danych. Dla administratorów danych, którzy w swojej praktyce nie wykraczają poza ramy wytyczone przez ustawę o ochronie danych osobowych i rozporządzenia wykonawcze, stosowanie przepisów rozporządzenia ogólnego może okazać się zatem dużym wyzwaniem.

Dużym problemem może być także zapewnienie nadzoru procesów bezpieczeństwa w niedofinansowanych jednostkach publicznych, takich jak biblioteki, domy kultury, muzea, ośrodki pomocy społecznej czy szpitale. W tych jednostkach często w ogóle nie ma specjalistów odpowiedzialnych za zapewnienie bezpieczeństwa informatycznego. Potrzebna jest dogłębna analiza problemu i zapewnienie tym jednostkom środków na realizację wynikających z przepisów prawa obowiązków. W związku z powyższym, kieruję do Pani Minister następujące pytania:

1.       Czy przewidywana jest akcja informacyjna mająca na celu uprzedzenie wszystkich zobowiązanych podmiotów o konieczności wdrożenia rozporządzenia?
2.       Jak przepisy rozporządzenia będą stosowane w podmiotach publicznych, zwłaszcza w odniesieniu do konieczności przeprowadzenia wieloaspektowej analizy oraz oceny ryzyka związanego z         przetwarzaniem danych?
3.       Co dotychczas organy administracji rządowej uczyniły w celu efektywnego wdrożenia rozporządzenia?
4.       Jakie działania są planowane w celu kontroli realizacji rozporządzenia po jego wejściu w życie?